[иа]

[-]

здравствуйте.


начинаю сильно паниковать. дело в том, что у меня не функционируют антивирусы. после установки любой версии касперского или NOD32, при попытке активировать программу, окно с настройками закрывается. иными словами, если запускать какую-то из названных программ непосредственно из папки, куда она установлена, окно держится 5 секунд, а потом исчезает.
если же проверять файлы антивирусом непосредственно, то не обнаруживается никакой реакции вообще.
кстати, при скачивании любой защищающей компьютер программы, возникают проблемы. а именно, либо страница со скачиваемым файлом просто не открывается, либо выдается ошибка. так обстоит дело с доктором вебом, авастом, касперским и нодом.


как заставить работать хоть какую-нибудь антивирусную программу?

только пожалуйста, не советуйте переустанавливать систему - не за этим сюда обращаюсь
заранее большое спасибо.

@темы: Вирусы spyware и adware

Comments

[Trotil]

ftp.drweb.com/pub/drweb/cureit/setup.exe

попробуйте вот так

[Enkryptor]

можешь показать результат выполнения команды ping avast.com ?

[techsupport]

иа, покажите журнал HijackThis - techsupport.diary.ru/p49734180.htm

[Hellraiser-ru]

Попробуйте загрузить компьютер в безопасном режиме с поддержкой сетевых подключений.
так же попробуйте антивирус AVZ ( www.z-oleg.com) он не требует инсталляции, просто распаковать архив и обновить базы.
или антирекламник www.malwarebytes.org

[Trotil]

Hellraiser-ru

AVZ - это не антивирус! Работа в автоматическом режиме с ним бесполезна, а для ручного режима требуется опыт в использовании.

[Hellraiser-ru]

Trotil
Некоторые трояны он убивает и в автоматическом режиме .
Если нет возможности запустить что-то другое, то нужно пробовать варианты.
Вы можете предложить антивирус, не требующий инстралляции ?

[--==SS==--]

Кстати, вообще у Dr.Web'а есть LiveCD-версия: www.freedrweb.com/livecd/
Возможно, это будет наиболее действенным вариантом.

[Enkryptor]

у KAV тоже есть live cd, а у Аваста - сканирование до загрузки Windows

[volgast]

только пожалуйста, не советуйте переустанавливать систему - не за этим сюда обращаюсь

может зря игнорируете данный совет, некорректная работа антивирусных программ свидетельствует о повреждении программных продуктов мелокосфт, радикальные методы в данном случаем помогают избегать фатальных ущербов...
Кстати ты не сказала после чего начались данного рода проблемы, сразу после переустановки ОС, может что-то удаляла, что устанавливала, может быть был обнаружен вирус и ты что-то нажимала, для колдовства с резидентными программами не помешали бы любого рода мелочи, и описание окружающей среды в которых существуют баги. Заковырка в том что у вас может просто не работать GUI интерфейс у резидентного ПО, а может быть ты просто поймала еще один типичный глюк с установкой KAV-а, который повлиял на работу всего ПО системы, случайно не решили вы переустанавливать этот зашибенный антивируснек, а может вы пользуетесь одной из ультра модных сборок ОС в которой есть очень приятные компоненты, которая ну везде везде работает и на всех компьютерах как верная жена, а на вашем терминале был словлена та одна миллионная случайность что привел к таким неудобствам, описывайте не ленитесь, вы же хотите что бы давали советы без доступа к вашему терминалу.

[techsupport]

некорректная работа антивирусных программ свидетельствует о повреждении программных продуктов мелокосфт

Это не совсем верно. Не дезинформируйте людей.

[volgast]

Извиняюсь, но просто тяжело гадать на кофейной гуще у себя в кружке, понедельник хочется заставить мазги работать, а условий задачи нет, кроме признака болезни железки, и очень хочется услышать возмущение автора почему она против, здается мне ее мнение по поводу безусловного отказа от реинсталяции ОС будет весьма подробным и существенно дополнить картину, хотя приведет к излишнему волнению, но почему бы и нет =)

[techsupport]

Значит, ждём ответов от иа.

[иа]

спасибо, что откликнулись.

итак, ftp.drweb.com/pub/drweb/cureit/setup.exe у меня скачивать не получается. просто дальше половины процента дело не идет.

HiJackThis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:56:38, on 09.02.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\acs.exe
C:\Program Files\ICQ6Toolbar\ICQ Service.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Atheros\ACU.exe
D:\soft\Winamp\winampa.exe
C:\WINDOWS\ATK0100\HControl.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Documents and Settings\nata\winpad32.exe
C:\Documents and Settings\nata\Мои документы\MAgent.exe
D:\soft\DAEMON Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
D:\soft\Total Commander\Totalcmd.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
D:\soft\опера\opera.exe
D:\soft\ICQ6\ICQ.exe
C:\DOCUME~1\nata\LOCALS~1\Temp\dslgm.exe
C:\DOCUME~1\nata\LOCALS~1\Temp\brgp.exe
C:\DOCUME~1\nata\LOCALS~1\Temp\dgfy.exe
C:\Documents and Settings\nata\Рабочий стол\новая папка\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.mail.ru
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = ya.ru/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Documents and Settings\nata\Мои документы\Mra\dll\newmrasearch.dll
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll
R3 - URLSearchHook: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files\Mail.Ru\Sputnik\MailRuSputnik.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - D:\soft\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - C:\Program Files\Mail.Ru\Sputnik\MailRuSputnik.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar.dll
O2 - BHO: MyCentria Internet Mate v1.95 - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar.dll
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll
O3 - Toolbar: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files\Mail.Ru\Sputnik\MailRuSputnik.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ACU] "C:\Program Files\Atheros\ACU.exe" -nogui
O4 - HKLM\..\Run: [WinampAgent] D:\soft\Winamp\winampa.exe
O4 - HKLM\..\Run: [HControl] C:\WINDOWS\ATK0100\HControl.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [RemoteControl] D:\soft\видео-редактор\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] D:\soft\видео-редактор\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\Documents and Settings\nata\winpad32.exe
O4 - HKLM\..\Run: [MAgent] C:\Documents and Settings\nata\Мои документы\MAgent.exe -LM
O4 - HKLM\..\Run: [DAEMON Tools] "D:\soft\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [12CFG914-K641-26SF-N31P] C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0850\vsse32.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Total Commander.lnk = D:\soft\Total Commander\Totalcmd.exe
O4 - Global Startup: Microsoft Office.lnk = D:\soft\Microsoft Office XP\Office10\OSA.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\googletoolbar.dll/cmsearch.html
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://D:\soft\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\googletoolbar.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\googletoolbar.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\googletoolbar.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://C:\Program Files\Google\googletoolbar.dll/cmtrans.html
O8 - Extra context menu item: Добавить в Анти-Баннер - D:\soft\kas\ie_banner_deny.htm
O8 - Extra context menu item: Найти в интернете - res://C:\Program Files\Mail.Ru\Sputnik\MailRuSputnik.dll/282
O8 - Extra context menu item: Найти в словарях - res://C:\Program Files\Mail.Ru\Sputnik\MailRuSputnik.dll/283
O9 - Extra button: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Documents and Settings\nata\Мои документы\magent.exe
O9 - Extra 'Tools' menuitem: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Documents and Settings\nata\Мои документы\magent.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\soft\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\soft\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{0B2B02F3-0303-4B72-8224-E61C924FA5FD}: NameServer = 172.29.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{9AF27A4A-029A-43D5-BDD4-B6C361B2A3AD}: NameServer = 172.29.1.1 172.29.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0B2B02F3-0303-4B72-8224-E61C924FA5FD}: NameServer = 172.29.1.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0B2B02F3-0303-4B72-8224-E61C924FA5FD}: NameServer = 172.29.1.1
O23 - Service: Сервис настройки Atheros (ACS) - Atheros - C:\WINDOWS\system32\acs.exe
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Журнал событий (Eventlog) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe
O23 - Service: ICQ Service - Unknown owner - C:\Program Files\ICQ6Toolbar\ICQ Service.exe
O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Корпорация Майкрософт - C:\WINDOWS\system32\imapi.exe
O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: Plug and Play (PlugPlay) - Корпорация Майкрософт - C:\WINDOWS\system32\services.exe
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Смарт-карты (SCardSvr) - Корпорация Майкрософт - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Журналы и оповещения производительности (SysmonLog) - Корпорация Майкрософт - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Теневое копирование тома (VSS) - Корпорация Майкрософт - C:\WINDOWS\System32\vssvc.exe
O23 - Service: Адаптер производительности WMI (WmiApSrv) - Корпорация Майкрософт - C:\WINDOWS\system32\wbem\wmiapsrv.exe

--
End of file - 8970 bytes

с ping avast.com откровенно не справилась. кому командовать?) хотя не до шуток.
ссылка на AVZ, а именно на скачивание, не работает тоже. но если нужно все-таки его установить, то могу скачать с другого компьютера и попробовать, но здесь возникли разногласия, так что...
www.freedrweb.com/livecd/ - не работает также.

что касается - "с чего началось", то проблема очень похожа на ранее описанную techsupport.diary.ru/p58572635.htm?from=last, а именно повторяется в точности с "Explorer.EXE". но как-то позабыв об этом, спокойно себе работала в Total Commander, а потом касперский решил, что он не лицензионный и заблокировал ключ. я его сдуру и удалила. вот с этого и началось. больше ничего особо и не происходило.

если нужны подробности - расскажу абсолютно все-все. просто, может быть, что-то забыла.
жду помощи.

[Trotil]

Так, дело серьезное, комп буквально кишит вируснёй.
Только вы не пропадайте на сутки, а то мы будем решать проблему две недели.
Лучше в режиме чата (т.е. без перерывов) работать - в голове держатся нюансы, в противном случае нужно анализировать заново ситуацию и искать вредоносные объекты...

Попробуйте скачать AVZ через депозит: depositfiles.com/files/6850725

[--==SS==--]

Меня крайне смущает вот это:

C:\DOCUME~1\nata\LOCALS~1\Temp\dslgm.exe
C:\DOCUME~1\nata\LOCALS~1\Temp\brgp.exe
C:\DOCUME~1\nata\LOCALS~1\Temp\dgfy.exe

И вот это:

C:\Documents and Settings\nata\winpad32.exe (потому что нафига какой-то софт хранить рядом с ntuser.dat, где больше ничего и нет?)

Ну а вот это 100% вирусня:

C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0850\vsse32.exe

а потом касперский решил, что он не лицензионный и заблокировал ключ. я его сдуру и удалила.

Кстати, мне по этому поводу вспомнился один гениальный вирус, который просто менял текущую дату на годик-другой вперёд и антивирусы начинали думать, что у них кончилась лицензия.
На самом деле можно жить и без антивируса, но при этом надо чётко представлять, откуда вирусы могут появиться, а откуда не могут.

[Trotil]

--==SS==--

Еще парочку записей пропустил.

O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1 - заблокирован редактор реестра.

[иа]

Trotil, хорошо.
скачала. установила. и опять, при запуске окно держится секунд 6. но я успеваю нажать на "пуск". запускается... и я краем глаза выхватываю, кроме обычных синих проверенных файлов красные с текстом типа "функция такая-то перехвачена, перехватчик sistem32", даже скриншот не успеваю сделать.

[Hellraiser-ru]

иа
попробуйте загрузится в безопасном режиме и запустить AVZ

так же попробуйте скачать программу icesword
www.securitylab.ru/software/299709.php

[иа]

Hellraiser-ru, за безграмотность извините, но как это сделать?

и еще. у меня отключился диспетчер задач. просто не активен. ничего для этого не делала.

[иа]

кстати, у меня такое ощущение, когда я вам вот это HiJackThis выкладывала, как будто у меня в пузе копаются. и сейчас найдут все мои тайны. прямо всю подноготную...

[Trotil]

Пусти компьютер на перезагрузку, и в момент начальной загрузки жми на F8. Появится меню, где можно будет выбрать безопасный режим.
Проверь, запустится ли AVZ, потом возвращайся в тему и сообщи, работает ли или нет.

и еще. у меня отключился диспетчер задач. просто не активен. ничего для этого не делала.

Это поправимо через AVZ, нам теперь главное его запустить.

[иа]

ага. спасибо. действую.

[Hellraiser-ru]

иа
нажимать f8 клавишу при включении компьютера после загрузки биос .
сначала может появится выбор устройств, с которых производится загрузка, выбрать ваш жесткий диск, нажать ентер, и продолжить нажимать f8

[Trotil]

Независимо от того, как успешна попытка с AVZ в безопасном режиме, сделай следующее:

1) Запусти HiJackThis
2) Выполни сканирование, как сделала раньше. В программе отобразится лог автозапуска.

Отметьте галочками следующее:

R3 - URLSearchHook: (no name) - - (no file)
O4 - HKCU\..\Run: [12CFG914-K641-26SF-N31P] C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0850\vsse32.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

и нажмите кнопку FIX Checked.

Далее:

O17 - HKLM\System\CCS\Services\Tcpip\..\{0B2B02F3-0303-4B72-8224-E61C924FA5FD}: NameServer = 172.29.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{9AF27A4A-029A-43D5-BDD4-B6C361B2A3AD}: NameServer = 172.29.1.1 172.29.1.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0B2B02F3-0303-4B72-8224-E61C924FA5FD}: NameServer = 172.29.1.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0B2B02F3-0303-4B72-8224-E61C924FA5FD}: NameServer = 172.29.1.1

Вам известны эти IP адреса?


C:\Documents and Settings\nata\winpad32.exe - попробуй зайти на www.virustotal.com/ru/ и отправить его проверку на этот ресурс.

[иа]

При нажатии F8 и выборе безопасного режима на экране внизу появляется "Press Esc to cancel loading SPID.sys"
если ждать - то просто идет перезагрузка снова, если на Esc - то же самое.

[techsupport]

вот это описание вы читали? techsupport.diary.ru/p49734180.htm

[Trotil]

> Press Esc to cancel loading SPID.sys

Эх...
В гугле говорят, что он от DT, но я что-то не уверен...
У тебя есть Daemon Tools (программа для создания виртуальных приводов)?

[Trotil]

вот это описание вы читали? techsupport.diary.ru/p49734180.htm

Она читала и уже выложила лог согласно данной инструкции.

иа
Я имел ввиду, что помимо блокнота пункты диагностики будут в окне самой программы и их можно будет выделять галочками.

[иа]

techsupport, читала. но автозапуск мне найти это не помогло. не начинайте только прошу вас язвить - ну совершенно не во время.
Trotil, Daemon Tools был установлен месяц назад, после чего удален. кстати! я сейчас... да!!! точно!!! как раз с этого момента и начались все проблемы. да.

[--==SS==--]

но автозапуск мне найти это не помогло.

Trotil немного неудачно выразился. Когда вы делаете сканирование с помощью HijackThis, то у вас не только отдельный файл с логом появляется, а ещё почти всё то же самое, но с галочками отображается в окне самой программы. Вот там поставьте на описанных пунктах галочки и нажмите «FIX Checked».