[решено] Несколько проблем.

[truefail]

Здравствуйте. У меня возникли некоторые проблемы с ОСью.

1. Иногда (раз через раз) при запуске рабочего стола появляется сообщение "Ошибка приложение svchost.exe. Инструкция по адресу ... обратилась к памяти по адресу ...".
2. Не видны в трее программы, в частности антивирус. Сам антивирь тоже ведёт себя странно ибо его процессы можно легко вырубить, чего раньше не получалось.
3. Не знаю, связана ли данная проблема с вирусом/трояном/etc, или нет, но при загрузке рабочего стола три раза подряд появляется сообщение, что-то вроде "найдено устройство volume", хотя никаких новых устройств я не подключал.

Пожалуйста, помогите решить эти проблемы.

p.s. Файл log.txt лежит в log.rar. Я не виноват, что у вас тут такая политика относительно размеров файлов :(

[SolarSpark]

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/forum/showthread.php?t=2773)

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. http://data.mbamupdates.com/tools/mbam-rules.exe Загрузить обновление MBAM

[truefail]

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. »
Вы уж извините, но получше программу вы предложить не могли? Если она будет проверять все аудио-, видео-файлы, файлы изображений (да, там, оказывается, могут скрываться malware), то с моим то слабым процом она будет проверять все файлы несколько суток.

[SolarSpark]

Вы уж извините, но получше программу вы предложить не могли? »
лог Combofix вы тоже не осилите?

[truefail]

лог Combofix вы тоже не осилите? »
ааа, ну это можно

[SolarSpark]

truefail, я хочу, чтобы вы поняли, помощь хелперов - занятие добровольное.
Либо вы выполняете мои требования, либо болеете дальше

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

File::
C:\WINDOWS\svсhоst.exe
C:\WINDOWS\system32\qoogomp.exe
C:\WINDOWS\system32\bolbkfj.exe
C:\WINDOWS\system32\oapaabd.exe
C:\WINDOWS\system32\scchost.exe
C:\WINDOWS\system32\gcmcecp.exe
C:\WINDOWS\system32\bbjefcn.exe
C:\Documents and Settings\Neo\Application Data\Dat44.tmp.xsi
C:\WINDOWS\system32\ver45d6.tmp
C:\WINDOWS\system32\ver430a.tmp
C:\WINDOWS\system32\vera96b.tmp
C:\WINDOWS\system32\ver5846.tmp
C:\WINDOWS\system32\ver580a.tmp
C:\WINDOWS\system32\ver575c.tmp
C:\Documents and Settings\Neo\Application Data\Dat47.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat46.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat45.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat44.tmp
C:\Documents and Settings\Neo\Application Data\Dat3D.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat50.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat4F.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat3A.tmp.xsi
C:\WINDOWS\system32\ahelcea.exe
C:\WINDOWS\system32\drivers\srenum.sys
c:\documents and settings\Neo\Local Settings\Application Data\dfl18z32.dll
c:\documents and settings\Neo\Application Data\Dat4F.tmp
C:\WINDOWS\System32\drivers\dgderdrv.sys
Driver::
dgderdrv

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Обновляем систему до SP3. Service Pack 3 (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4) (может потребоваться активация)
Скачайте и установите критические обновления windows (http://update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=ru&&thankspage=5)

только после обновлений повторяем логи AVZ+RSIT

[truefail]

truefail, я хочу, чтобы вы поняли, помощь хелперов - занятие добровольное. »
Нет, ну почему же, я наоборот - прошу о помощи всех, кто может её оказать. Я хочу только сказать, что не все пути решения проблемы для меня приемлемы.
Ну на счёт следующих шагов... уже в процессе.

[iskander-k]

Вы уж извините, но получше программу вы предложить не могли? »
Много времени это не займет.
В полном сканировании вы выбираете только системный диск. А ваши базы с файлами как я понимаю на других локальных дисках.
Вы либо выполняете рекомендации хэлпера либо тема может быть закрыта.

[truefail]

Много времени это не займет.
В полном сканировании вы выбираете только системный диск. А ваши базы с файлами как я понимаю на других локальных дисках. »
Дело в том, что в системном диске тоже разного мусора хватает. Там у меня не одна ось стоит.
Вы либо выполняете рекомендации хэлпера либо тема может быть закрыта. »
Я скоро на коленях молить буду - хоть что буду делать, только не anti-malware :(

[alex_sev]

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Обновляем систему до SP3. Service Pack 3 (может потребоваться активация)
Скачайте и установите критические обновления windows

только после обновлений повторяем логи AVZ+RSIT

Вот это выполняйте

[truefail]

Сделал почти всё, кроме установки критических обновлений. Опять таки, после ошибки svchost.exe система не принимает некоторых действий, к пример, подключения к инету.

[SolarSpark]

файлы восстановите с дистрибутива
c:\windows\System32\wscntfy.exe ... is missing !!
c:\windows\System32\sfcfiles.dll ... is missing !!
c:\windows\System32\regsvc.dll ... is missing !!

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

File::
c:\documents and settings\Neo\Главное меню\Программы\Автозагрузка\igfxtray.exe
C:\WINDOWS\svсhоst.exe
C:\WINDOWS\system32\qoogomp.exe
C:\WINDOWS\system32\bolbkfj.exe
C:\WINDOWS\system32\oapaabd.exe
C:\WINDOWS\system32\scchost.exe
C:\WINDOWS\system32\gcmcecp.exe
C:\WINDOWS\system32\bbjefcn.exe
C:\WINDOWS\system32\ver45d6.tmp
C:\WINDOWS\system32\ver430a.tmp
C:\WINDOWS\system32\vera96b.tmp
C:\Documents and Settings\Neo\Application Data\Dat44.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat47.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat46.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat45.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat44.tmp
C:\Documents and Settings\Neo\Application Data\Dat3D.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat50.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat4F.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat3A.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat5D.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat5C.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat5B.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat5A.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat59.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat58.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat57.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat56.tmp.xsi
C:\Documents and Settings\Neo\Application Data\Dat4F.tmp
C:\Documents and Settings\Neo\Application Data\DatD8.tmp.xsi
C:\Documents and Settings\Neo\Application Data\DatC5.tmp.xsi
C:\Documents and Settings\Neo\Application Data\DatC1.tmp.xsi
C:\Documents and Settings\Neo\Application Data\DatC0.tmp.xsi
C:\Documents and Settings\Neo\Application Data\DatBC.tmp.xsi
C:\WINDOWS\system32\ahelcea.exe
C:\WINDOWS\system32\drivers\srenum.sys
c:\documents and settings\Neo\Local Settings\Application Data\dfl18z32.dll
c:\documents and settings\Neo\Application Data\Dat4F.tmp
Registry::
[-HKLM\~\startupfolder\C:^Documents and Settings^Neo^Главное меню^Программы^Автозагрузка^igfxtray.exe]

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Аваст в конце лечения переустановите

Пофиксить в HijackThis (http://forum.oszone.net/post-1430293-2.html) следующие строчки:
O9 - Extra button: (no name) - Cmdmapping - (no file) (HKCU)


настройки прокси ваши? если нет, то фиксим и эту строчку
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = free.zzzing.ru:3128

сайт http://software.kuaiche.com в доверенную зону сами добавляли?
если нет, фиксим
O15 - Trusted Zone: http://software.kuaiche.com

firefox у вас настроен на подключение через прокси.

Если вы точно не используете прокси для соединения с интернетом, зайдите в папку
c:\documents and settings\Neo\Application Data\Mozilla\Firefox\Profiles\

найдите файл prefs.js, откройте его блокнотом найдите в нем эти строки и удалите:
FF - prefs.js: browser.search.selectedEngine - Lurkmore (ru)
FF - prefs.js: browser.startup.homepage - about:blank
FF - prefs.js: network.proxy.ftp - proxy1.megobarsuk.tk
FF - prefs.js: network.proxy.ftp_port - 3120
FF - prefs.js: network.proxy.gopher - 46.161.133.214
FF - prefs.js: network.proxy.gopher_port - 3120
FF - prefs.js: network.proxy.http - proxy1.megobarsuk.tk
FF - prefs.js: network.proxy.http_port - 3120
FF - prefs.js: network.proxy.socks - proxy1.megobarsuk.tk
FF - prefs.js: network.proxy.socks_port - 3120
FF - prefs.js: network.proxy.ssl - proxy1.megobarsuk.tk
FF - prefs.js: network.proxy.ssl_port - 3120
FF - prefs.js: network.proxy.type - 0
В опциях браузера (настройки - дополнительно - сеть - "настроить") окно "параметры соединения" отметьте "без прокси".

и повторяем лог RSIT

[truefail]

Сделал всё, кроме RSIT. Во время загрузки "writing header..." появляется сообщение, скрин которого я прикрепил.

[SolarSpark]

чем дальше, тем страшнее... как в сказке
вот не хотели делать лог МВАМ))
а ведь придется проверяться с LiveCD или LiveUSB

скачиваем, записываем на болванку/делаем загрузочную флеш и прогоняем систему...

[truefail]

...и прогоняем систему. »
всю, или только системный диск? а то по поводу mbam говорили, что только системный надо, ну а тут я не знаю...

[Arbitr]

прогоняем весь HDD, после делаете лог RSIt и смотрим что у вас, в другом случае удачи не видать, и помните, вовремя поставленные критические обновления избавляют от геморроя.

[SolarSpark]

truefail, посмотрите архив Qoobox в корне системного диска и пришлите при помощи этой (http://www.oszone.net/virusnet/) формы.
В теле письма укажите свой ник на форуме и ссылку на тему

[truefail]

отчёт отправил. что касается "прогнать весь hdd", то я это делал буквально несколько дней назад, при помощи dr. web livecd. большинство файлов вылечил, какие-то, которые были с троянами, удалил. мне ещё раз, что ли, прогонять? правда там была проблема одна, базы уже староватые, двухнедельной давности.

[SolarSpark]

не долечились значит, признаки файлового заражения
повторите карантин (архив Qoobox) пожалуйста, на sfera279@rambler.ru

[truefail]

не долечились значит, признаки файлового заражения
повторите карантин (архив Qoobox) пожалуйста, на sfera279@rambler.ru »
странно 0_o. сообщение я отослал, а ответа так и нету.