Не устанавливаются обновления, ошибка 0x800703EE

@ZLA · Регистрация: 05.01.2012

Author24 — интернет-сервис помощи студентам

Если выполнить первый стандартный скрипт из AVZ (руткиты), то обновления начинают ставиться.
После перезагрузки понятное дело все по новой.
Винда XP SP2, IE6
Попытка поставить в таком режиме IE8, не удалась. Вроде бы поставился но запускаться отказался, winupdate с интернета тоже. Удалось анинсталировать.
SP3 не решаюсь в таком режиме ставить, опасаюсь что без лечения после такой установки винда не запустится вообще.
Еще фишка при загрузке файлов в лисе с расширениями exe, msi они грузятся, проверяются на вирус но оказываются с нулевой длинной.
Выкладываю собранную AVZ инфу, после работы первого стандартного скрипта.

Прошу помощи.

@~~Katharsis~~ · 05.01.2012, 17:51

Сообщение от ZLA

Если выполнить первый стандартный скрипт из AVZ (руткиты)

лог смотрели сами то? сидит нечто троянское.

Сообщение от ZLA

Прошу помощи.

Если на самом деле помощь нужна, делайте как здесь написано - Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему с включенным avzpm. Всё что получится - выкладывайте сюда. А что что вы выложили, извиняюсь, порнография.

@Persk · 05.01.2012, 21:12

ZLA
Если логи выкладовать лень или нет возможности, то хотя скачайте бы и провертесь cureit. Я после проверки своего компа данной прогой много разных "зверушек" нашел и удалил.
Но лучшее решение:довериться вирособорцам на данном форуме, они всё-таки профи в этом деле

@~~Katharsis~~ · 05.01.2012, 21:19

Сообщение от Persk1976

провертесь cureit.

для чего?
Persk1976, а вы сами то глянули то что выложил ТС прежде чем предлагать cureit?

Не по теме:

иногда, если нечего сказать, может лучше не говорить?

@Persk · 05.01.2012, 21:25

@ZLA · 05.01.2012, 21:44 **[ТС]**

Все по правилам постараюсь выложить завтра.
Вместо CureIT - LiveCD от доктора Веб подойдет? Уже наверное четвертый прогон будет.

@~~Katharsis~~ · 05.01.2012, 21:48

Сообщение от ZLA

Вместо CureIT - LiveCD от доктора Веб подойдет?

пропустите этот пункт. К остальному, желательно ещё такой лог сделать.

@ZLA · 05.01.2012, 22:50 **[ТС]**

Надо сказать сообществу честно что попрообовал таки SP3 поверх этого поставить, не помогло.
Поставилось? потом 40 минут ждал в соответствии с просьбой от микрософта на картинке "Подождите.."
Потом Алт-ф4, белый экран и выбор пользователя. Может чего не дождался.
В свойствах системы пишет что XP SP3 теперь.
Погружаюсь в создание логов.

Добавлено через 14 минут

Сообщение от Katharsis

пропустите этот пункт. К остальному, желательно ещё такой лог сделать.

A gmer запускать в обычном режиме или все из трея выгрузить7

@~~Katharsis~~ · 05.01.2012, 22:53

Сообщение от ZLA

A gmer запускать в обычном режиме или все из трея выгрузить7

закройте все программы и выгрузите защитное ПО (это не только gmer касается, если вы внимательно читали правила)

@ZLA · 05.01.2012, 22:55 **[ТС]**

ну вот, переделывать.
Кстати про гмер не было написано что выгрузить все...
тогда пойдем по пунктам, сначала Rsit.

@ZLA · 05.01.2012, 23:05 **[ТС]**

рист, ничего не выгружал и не отсоединял, как в инструкции.

@ZLA · 05.01.2012, 23:37 **[ТС]**

думал будет дольше.

Sanya · 06.01.2012, 00:45

нажимайте здесь

1. Перед выполнением скрипта отключить антивирус/фаервол, интернет;

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

Код

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 50000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\nwcwks.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\atapidrv.sys','');
 QuarantineFile('C:\windows\system32\alk30.dll','');
 QuarantineFile('C:\WINDOWS\system32\iexplore.exe','');
 QuarantineFile('C:\WINDOWS\iexplore.exe','');
 QuarantineFile('C:\hmm6_1.1.1_rus.exe','');
 QuarantineFile('C:\hmm6_1.1_rus.exe','');
 DeleteFile('C:\WINDOWS\system32\iexplore.exe'); 
 DeleteFile('C:\WINDOWS\iexplore.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\atapidrv.sys');
 DeleteFile('C:\windows\system32\alk30.dll');
 DeleteFile('C:\WINDOWS\system32\OLD737.tmp');
 RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\waoaqkhg');
 DeleteService('waoaqkhg');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполнить второй скрипт:

Код

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. запакуйте его в архив и установите пароль на архиве - virus.
Отправьте полученный файл quarantine.zip из папки AVZ через http://support.kaspersky.ru/virlab/helpdesk.html . Укажите свой e-meil

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы,
выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог, скопируйте в блокнот и прикрепите его к следующему посту.
Из того что будет отмечено, удалять ничего не нужно.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно.

Повторите логи AVZ и RSIT

@ZLA · 06.01.2012, 09:22 **[ТС]**

Хотел уточнить - самозащиту DrWeb тоже отключать? Полностью его выгрузить без анинстала ведь невозможно?

Добавлено через 46 минут
В Карантине AVZ файлов получилось на 1,55 Гига!

Эти файлы загнали в карантин, а удалять не стали:
QuarantineFile('C:\hmm6_1.1.1_rus.exe','');
QuarantineFile('C:\hmm6_1.1_rus.exe','');
?

Добавлено через 11 минут
Второй - больше 0,5Гига.

Добавлено через 10 минут
Там куда отправлять карантин написано:
Суммарный объем отправляемых файлов не должен превышать 8 Мб.

Добавлено через 23 минуты
переместил из карантина 6 файлов соответствующие указанным двум, архив получился 41 кб, если оставить маленький то - 42Мб, маленький имеет размер 14Мб, и три раза повторяется в карантине.
Если нужно, скажете куда их можно переслать?
41кб карантин через форму отправил.

@ZLA · 06.01.2012, 09:35 **[ТС]**

лог RSIT после первой чистки, сразу после загрузки винды, все запущено.

@ZLA · 06.01.2012, 10:31 **[ТС]**

Логи, как просили выше.

@ZLA · 06.01.2012, 13:18 **[ТС]**

Malwarebytes' Anti-Malware нашел 15 файлов и что-то в реестре.
Система через иконку авто обновления в трее просит поставить IE8, раньше появлялась после первого скрипта AVZ, сейчас сразу после загрузки.

Sanya · 06.01.2012, 14:40

ZLA, выложите свой первоначальный карантин из папки Quarantine на любой файлообменник ( с паролем virus) и ссылку в личку скиньте

и просил же поставить в "Полный URL-адрес Вашей темы с запросом о помощи" установить не эту тему, а ссылку на раздел лечения

Добавлено через 37 минут
из найденого mbam удалите

записи

Обнаруженные ключи в реестре: 9
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> Действие не было предпринято.
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> Действие не было предпринято.
HKLM\SOFTWARE\MyCentria (Adware.MyCentria) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyCentria (Adware.MyCentria) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\AtapiDrv.sys (Rootkit.Agent) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AtapiDrv.sys (Rootkit.Agent) -> Действие не было предпринято.

Обнаруженные папки: 3
C:\Program Files\MyCentria (Adware.MyCentria) -> Действие не было предпринято.
C:\Program Files\MyCentria\Firefox (Adware.MyCentria) -> Действие не было предпринято.
C:\Program Files\MyCentria\InfoBar (Adware.MyCentria) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Documents and Settings\Danil\DoctorWeb\Quarantine\Uninstall.exe (Trojan.FakeAlert.SecGen) -> Действие не было предпринято.
C:\WINDOWS\system32\guyik45hbh.txt (Trojan.Agent) -> Действие не было предпринято.
C:\WINDOWS\system32\comsats.sys (Trojan.Agent) -> Действие не было предпринято.
C:\WINDOWS\system32\service.sys (Rootkit.Agent) -> Действие не было предпринято.
C:\WINDOWS\inf\vvt.pnf (Malware.Trace) -> Действие не было предпринято.
C:\Program Files\MyCentria\MyCentriaUninstall.exe (Adware.MyCentria) -> Действие не было предпринято.
C:\Program Files\MyCentria\Firefox\adcentria.uid (Adware.MyCentria) -> Действие не было предпринято.
C:\Program Files\MyCentria\Firefox\adcentria.xml (Adware.MyCentria) -> Действие не было предпринято

Добавлено через 12 минут
лог mbam повторите

@ZLA · 06.01.2012, 15:13 **[ТС]**

и просил же поставить в "Полный URL-адрес Вашей темы с запросом о помощи" установить не эту тему, а ссылку на раздел лечения

так и подумал что я что-то не допонял с этим полным url.

выложите свой первоначальный карантин из папки Quarantine на любой файлообменник ( с паролем virus)

может просто эти два файла зархивировать? Будет в три раза меньше? 1,55 Гига заливать, у меня интернет слабый, да и не всякий файлообменник больше гига пускает.
Попробую.

Добавлено через 16 минут

)) стал випом на майл.ру Заливаю карантин, часа три наверное будет, ссылку отправлю как будет готово. И кстати, директория карантина в AVZ автоматом чистится? а то она пустая, если бы я зип не переименовывал для отправки ничего бы не было.

@ZLA · 06.01.2012, 16:07 **[ТС]**

"лог mbam повторите"

Повторил:

@~~Katharsis~~ Заблокирован
	05.01.2012, 17:51	2
	Сообщение от ZLA Если выполнить первый стандартный скрипт из AVZ (руткиты) лог смотрели сами то? сидит нечто троянское. Сообщение от ZLA Прошу помощи. Если на самом деле помощь нужна, делайте как здесь написано - Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему с включенным avzpm. Всё что получится - выкладывайте сюда. А что что вы выложили, извиняюсь, порнография. 1

@Persk Модератор 8736 / 3361 / 244 Регистрация: 25.10.2010 Сообщений: 13,601
	05.01.2012, 21:12	3
	ZLA Если логи выкладовать лень или нет возможности, то хотя скачайте бы и провертесь cureit. Я после проверки своего компа данной прогой много разных "зверушек" нашел и удалил. Но лучшее решение:довериться вирособорцам на данном форуме, они всё-таки профи в этом деле 0

@~~Katharsis~~ Заблокирован
	05.01.2012, 21:19	4
	Сообщение от Persk1976 провертесь cureit. для чего? Persk1976, а вы сами то глянули то что выложил ТС прежде чем предлагать cureit? Не по теме: иногда, если нечего сказать, может лучше не говорить? 1

@Persk Модератор 8736 / 3361 / 244 Регистрация: 25.10.2010 Сообщений: 13,601
	05.01.2012, 21:25	5
	0

@ZLA 0 / 0 / 0 Регистрация: 05.01.2012 Сообщений: 21
	05.01.2012, 21:44 [ТС]	6
	Все по правилам постараюсь выложить завтра. Вместо CureIT - LiveCD от доктора Веб подойдет? Уже наверное четвертый прогон будет. 0

@~~Katharsis~~ Заблокирован
	05.01.2012, 21:48	7
	Сообщение от ZLA Вместо CureIT - LiveCD от доктора Веб подойдет? пропустите этот пункт. К остальному, желательно ещё такой лог сделать. 1

@ZLA 0 / 0 / 0 Регистрация: 05.01.2012 Сообщений: 21
	05.01.2012, 22:50 [ТС]	8
	Надо сказать сообществу честно что попрообовал таки SP3 поверх этого поставить, не помогло. Поставилось? потом 40 минут ждал в соответствии с просьбой от микрософта на картинке "Подождите.." Потом Алт-ф4, белый экран и выбор пользователя. Может чего не дождался. В свойствах системы пишет что XP SP3 теперь. Погружаюсь в создание логов. Добавлено через 14 минут Сообщение от Katharsis пропустите этот пункт. К остальному, желательно ещё такой лог сделать. A gmer запускать в обычном режиме или все из трея выгрузить7 0

@~~Katharsis~~ Заблокирован
	05.01.2012, 22:53	9
	Сообщение от ZLA A gmer запускать в обычном режиме или все из трея выгрузить7 закройте все программы и выгрузите защитное ПО (это не только gmer касается, если вы внимательно читали правила) 1

Sanya 13175 / 4623 / 168 Регистрация: 25.10.2010 Сообщений: 9,412
	06.01.2012, 00:45	13
	нажимайте здесь 1. Перед выполнением скрипта отключить антивирус/фаервол, интернет; AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить. Код begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 50000, true); SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\WINDOWS\system32\nwcwks.dll',''); QuarantineFile('C:\WINDOWS\system32\Drivers\atapidrv.sys',''); QuarantineFile('C:\windows\system32\alk30.dll',''); QuarantineFile('C:\WINDOWS\system32\iexplore.exe',''); QuarantineFile('C:\WINDOWS\iexplore.exe',''); QuarantineFile('C:\hmm6_1.1.1_rus.exe',''); QuarantineFile('C:\hmm6_1.1_rus.exe',''); DeleteFile('C:\WINDOWS\system32\iexplore.exe'); DeleteFile('C:\WINDOWS\iexplore.exe'); DeleteFile('C:\WINDOWS\system32\Drivers\atapidrv.sys'); DeleteFile('C:\windows\system32\alk30.dll'); DeleteFile('C:\WINDOWS\system32\OLD737.tmp'); RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\waoaqkhg'); DeleteService('waoaqkhg'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end. После выполнения скрипта компьютер перезагрузится! После перезагрузки выполнить второй скрипт: Код begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end. В результате выполнения скрипта будет сформирован карантин quarantine.zip. запакуйте его в архив и установите пароль на архиве - virus. Отправьте полученный файл quarantine.zip из папки AVZ через http://support.kaspersky.ru/virlab/helpdesk.html . Укажите свой e-meil Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог, скопируйте в блокнот и прикрепите его к следующему посту. Из того что будет отмечено, удалять ничего не нужно. Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Повторите логи AVZ и RSIT 1

@ZLA 0 / 0 / 0 Регистрация: 05.01.2012 Сообщений: 21
	06.01.2012, 09:22 [ТС]	14
	Хотел уточнить - самозащиту DrWeb тоже отключать? Полностью его выгрузить без анинстала ведь невозможно? Добавлено через 46 минут В Карантине AVZ файлов получилось на 1,55 Гига! Эти файлы загнали в карантин, а удалять не стали: QuarantineFile('C:\hmm6_1.1.1_rus.exe',''); QuarantineFile('C:\hmm6_1.1_rus.exe',''); ? Добавлено через 11 минут Второй - больше 0,5Гига. Добавлено через 10 минут Там куда отправлять карантин написано: Суммарный объем отправляемых файлов не должен превышать 8 Мб. Добавлено через 23 минуты переместил из карантина 6 файлов соответствующие указанным двум, архив получился 41 кб, если оставить маленький то - 42Мб, маленький имеет размер 14Мб, и три раза повторяется в карантине. Если нужно, скажете куда их можно переслать? 41кб карантин через форму отправил. 0

	06.01.2012, 16:07

@ZLA 0 / 0 / 0 Регистрация: 05.01.2012 Сообщений: 21
	06.01.2012, 13:18 [ТС]	17
	Malwarebytes' Anti-Malware нашел 15 файлов и что-то в реестре. Система через иконку авто обновления в трее просит поставить IE8, раньше появлялась после первого скрипта AVZ, сейчас сразу после загрузки. 0

Sanya 13175 / 4623 / 168 Регистрация: 25.10.2010 Сообщений: 9,412
	06.01.2012, 14:40	18
	ZLA, выложите свой первоначальный карантин из папки Quarantine на любой файлообменник ( с паролем virus) и ссылку в личку скиньте и просил же поставить в "Полный URL-адрес Вашей темы с запросом о помощи" установить не эту тему, а ссылку на раздел лечения Добавлено через 37 минут из найденого mbam удалите записи Обнаруженные ключи в реестре: 9 HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> Действие не было предпринято. HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> Действие не было предпринято. HKLM\SOFTWARE\MyCentria (Adware.MyCentria) -> Действие не было предпринято. HKLM\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> Действие не было предпринято. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MyCentria (Adware.MyCentria) -> Действие не было предпринято. HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\AtapiDrv.sys (Rootkit.Agent) -> Действие не было предпринято. HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AtapiDrv.sys (Rootkit.Agent) -> Действие не было предпринято. Обнаруженные папки: 3 C:\Program Files\MyCentria (Adware.MyCentria) -> Действие не было предпринято. C:\Program Files\MyCentria\Firefox (Adware.MyCentria) -> Действие не было предпринято. C:\Program Files\MyCentria\InfoBar (Adware.MyCentria) -> Действие не было предпринято. Обнаруженные файлы: C:\Documents and Settings\Danil\DoctorWeb\Quarantine\Uninstall.exe (Trojan.FakeAlert.SecGen) -> Действие не было предпринято. C:\WINDOWS\system32\guyik45hbh.txt (Trojan.Agent) -> Действие не было предпринято. C:\WINDOWS\system32\comsats.sys (Trojan.Agent) -> Действие не было предпринято. C:\WINDOWS\system32\service.sys (Rootkit.Agent) -> Действие не было предпринято. C:\WINDOWS\inf\vvt.pnf (Malware.Trace) -> Действие не было предпринято. C:\Program Files\MyCentria\MyCentriaUninstall.exe (Adware.MyCentria) -> Действие не было предпринято. C:\Program Files\MyCentria\Firefox\adcentria.uid (Adware.MyCentria) -> Действие не было предпринято. C:\Program Files\MyCentria\Firefox\adcentria.xml (Adware.MyCentria) -> Действие не было предпринято Добавлено через 12 минут лог mbam повторите 1

@ZLA 0 / 0 / 0 Регистрация: 05.01.2012 Сообщений: 21
	06.01.2012, 15:13 [ТС]	19
	и просил же поставить в "Полный URL-адрес Вашей темы с запросом о помощи" установить не эту тему, а ссылку на раздел лечения так и подумал что я что-то не допонял с этим полным url. выложите свой первоначальный карантин из папки Quarantine на любой файлообменник ( с паролем virus) может просто эти два файла зархивировать? Будет в три раза меньше? 1,55 Гига заливать, у меня интернет слабый, да и не всякий файлообменник больше гига пускает. Попробую. Добавлено через 16 минут )) стал випом на майл.ру Заливаю карантин, часа три наверное будет, ссылку отправлю как будет готово. И кстати, директория карантина в AVZ автоматом чистится? а то она пустая, если бы я зип не переименовывал для отправки ничего бы не было. 0