[решено] XP заблокирована вирусом, вход в систему через безопасный режим невозможен

[Kaban-keb]

Вы пробовали нажимать только на одну эту кнопку ? Должно появится меню Пуск »
При нажатии на одну только эту кнопку, также ничего не происходит.

[okshef]

kaban-keb, какие сочетания приводят к положительному результату (появлению какого-нибудь окна)? Что в безопасном режиме?

[Kaban-keb]

okshef, к положительному результату не приводят точно следующие комбинации: "Ctrl+Alt+Del", "Win+R", "Win+E" (и в обычном, и в безопасном режимах), только выдаётся сообщение "диспетчер задач отключён администратором" при команде "Ctrl+Alt+Del". Окна рабочего стола в обоих режимах пустые, на запросы мыши не реагирует.

[okshef]

На Vista скачайте Regedit PE 1.1.0.0 (http://forum.simplix.ks.ua/viewtopic.php?id=18), запустите с правами администратора. Запустите поиск по "Run" (по имени раздела, имя - целиком) в реестре и экспортируйте разделы реестра RUN проблемной системы. Также произведите поиск по "userinit.exe" и так же экспортируйте файлы реестра. Экспортированные файлы прикрепите к сообщению

[Kaban-keb]

okshef, тут всё в куче.

[okshef]

kaban-keb, неплохо, найдите таким же способом все упоминания user32.exe (так же: поиск, значения параметров, имя целиком) и удалите значения параметров с участием этой программы.
[HKEY_LOCAL_MACHINE\_D_comp_software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"AutoRestartShell"=dword:00000001
"DefaultDomainName"="ADMIN-EAE1D90BE"
"DefaultUserName"="Admin"
"LegalNoticeCaption"=""
"LegalNoticeText"=""
"PowerdownAfterShutdown"="0"
"ReportBootOk"="1"

"Shell"="%SystemRoot%\\system32\\user32.exe rundll32.exe ovjp.fbo tklvr"

"ShutdownWithoutLogon"="0"
"System"=""
"Userinit"="D:\\WINDOWS\\system32\\userinit.exe,"
в цитате подчеркнутое - удалите.

Но если будет упоминание user32.exe в нижней строчке: "Userinit"="D:\\WINDOWS\\system32\\userinit.exe," - то ее нужно не удалять, а править (двойным щелчком по значению) - и приводить к такому виду - с запятой в конце.

[E-mpty]

в цитате подчеркнутое - удалите. »
Лучше заменить на Explorer.exe, а то после перезагрузки не будет проводника...
"Shell"="Explorer.exe"

Потом можно снять все ограничения с помощю АВЗ или утилитой Dial-a-fix (http://soft.oszone.net/program/5425/Dialafix/) , при запуске утилиты, если есть ограничения, выскочит окно :http://s001.radikal.ru/i193/1001/7c/b91ab8c1c8f6t.jpg (http://radikal.ru/F/s001.radikal.ru/i193/1001/7c/b91ab8c1c8f6.jpg.html) нужно нажать Remove, после этого сделать логи по правилам.

[okshef]

Потом можно снять все ограничения »
потом нужно проверить систему, а затем снимать ограничения.

[Kaban-keb]

Господа модераторы, действия выполнил; после "Shell" стоит "Explorer.exe"; пишу с проблемной ХР :). Мои действия? Выполнить рекомендации и прикрепить к следующему сообщению полученные логи?

[okshef]

kaban-keb, да, все по правилам

[Kaban-keb]

Прикрепил

[E-mpty]

Выполните скрипт: (http://virusnet.info/forum/showthread.php?t=10)


begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('D:\WINDOWS\explorer.exe','');
QuarantineFile('D:\Documents and Settings\Admin\Local Settings\Temp\~DFE854.tmp','');
QuarantineFile('D:\Documents and Settings\Admin\Local Settings\Temp\~DFDAF9.tmp','');
DeleteFile('D:\Documents and Settings\Admin\Local Settings\Temp\~DFDAF9.tmp');
DeleteFile('D:\Documents and Settings\Admin\Local Settings\Temp\~DFE854.tmp');
DelBHO('{710EB7A1-45ED-11D0-924A-0020AFC7AC4D}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После перезагрузки выполните следующий скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

После вполнения срипта, в папке с программой АВЗ, сформируется архив quarantine.zip. Отправте карантин, на newvirus@kaspersky.com

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - нажмите "Remove Selected" (удалить выделенные). Откройте лог и скопируйте в сообщение.

[Kaban-keb]

После незапланированой командировки хотелось бы продолжить лечение. Выкладываю заново логи, т.к. в моё отсутствие на машине работали, и к тому же утилита CureIt нашла зловреда. Спасибо.

[okshef]

По логам заражения не вижу, может кто что скажет дополнительно
выполните скрипт AVZ
begin
ExecuteRepair(10);
RebootWindows(true);
end.

Компьютер перезагрузится. Попробуйте войти в безопасный режим.
Скачайте MBAM (http://www.malwarebytes.org/mbam-download.php), перейдите на вкладку Обновление, выполните обновление, выполните полное сканирование, лог сканирования сохраните и прикрепите к сообщению.
По проблемам:

>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
>>> Безопасность: В IE разрешена загрузка подписанных элементов ActiveX без запроса
>>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
Запустите AVZ, нажмите файл - Мастер поиска и устранения проблем выполните проверку, выделите найденные, нажмите "Устранить"

[Kaban-keb]

Скрипт выполнил, через AVZ устранил проблемы. Прикрепляю отчёт работы MBAM.

[iskander-k]

Прикрепляю отчёт работы MBAM. »
В МБАм можете удалить всё кроме этих значений

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.


И будьте внимательны МБАМ не любит креки.
Всё что удаляете в МБАМ можно восстановить.

для удаления нужно повторить проверку и отметить нужное или наоборот снять галки.

[Kaban-keb]

Всё , кроме указанных веток реестра удалено. Предполагаю, что лечение завершено, если так, ещё несколько вопросов:
- Будет ли утилита Malwarebytes Anti-Malware 1.44 работать на Висте и 7?
-В меню AVZM выберите "Установить драйвер расширенного мониторинга процессов" (не забудьте после окончания лечения удалить драйвер AVZM) »
Как удалить драйвер (с помощью меню AVZ)?

- На второй, непроблемной Висте появились следующие папки: "$WINDOWS.~BT", "PerfLogs", "SWSetup", а также 2 файла: "msdia80.dll", и "PDOXUSRS.NET".
Кажется их не было, что делать с ними?

[okshef]

Судя по вашему сообщению, проблем больше нет? Ответы на ваши вопросы
MBAM работает на Vista и 7 после установки.
запустите AVZ - AVZPM - "Удалить и выгрузить драйвер расширенного мониторинга"
папка "$WINDOWS.~BT" - остаток от начала установки Windows, насчет файлов - не знаю

[Kaban-keb]

Могу удалить "$WINDOWS.~BT" "SWSetup"?

[okshef]

Насчет второй - не уверен, первую - можете.