Снова здравствуйте. Имеется 2 сервера на Windows Server 2003 с установленным СУДОС, взаимосвязанные между собой. С 2009 года все работало стабильно, если что то и случалось, то восстанавливалось с готового образа. Неделю назад на всех рабочих местах начало выбивать (перезагружаться) программу "СУДОС", при этом на сервере все работает стабильно. Поддержка пытается помочь, но пока тоже бессильна. Нашли вирус на сервере, который перемещал скрывал и перемещал папки, как раз в базе этого "судоса". Вылечили, вылечили рабочие места, восстанавливали базу, ничего не помогло. Делали восстановление рабочего образа от ноября 2020 года, так же ничего не изменилось. Собрал и прикрепил логи рабочего места "rezmesto2". Все рабочие места на windows xp. Прошу помощи, проблема длится уже 2 недели.
Решена Помощь в настройке АСБ "Тобол" на рабочем месте "rezmesto2".
- Автор темы Chezy
- Дата начала
- Статус
- Сообщения
- 3,885
- Реакции
- 2,432
Выполните скрипт в AVZ из папки Autologger
Выполните скрипт в AVZ
Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.
Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
Код:
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\windows\system32\dllhostex.exe');
QuarantineFile('c:\windows\system32\remoteprotocolevent.dll','');
QuarantineFile('c:\windows\system32\dllhostex.exe','');
DeleteFile('c:\windows\system32\dllhostex.exe','32');
DeleteFile('c:\windows\system32\remoteprotocolevent.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RemoteProtocolEvent\Parameters','ServiceDll','x32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.- Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
Код:
begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
- Сообщения
- 3,885
- Реакции
- 2,432
Скачайте Farbar Recovery Scan Tool
и сохраните на Рабочем столе.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
- Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
- Сообщения
- 25,320
- Решения
- 5
- Реакции
- 13,844
- Сообщения
- 3,885
- Реакции
- 2,432
1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)
2. Запустите Farbar Recovery Scan Tool.
3. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
Код:
Start::
CreateRestorePoint:
S2 RemoteProtocolEvent; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Windows Component Publisher -> Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
NETSVC: RemoteProtocolEvent -> no filepath.
2021-08-07 04:30 - 2021-08-10 07:35 - 000000000 ____D C:\WINDOWS\NetworkDistribution
Reboot:
End::3. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
- Обратите внимание: будет выполнена перезагрузка компьютера.
- Сообщения
- 3,885
- Реакции
- 2,432
Это, видимо, из-за работы с этим параметром реестра. В этот раз ручной чистки не понадобится.
Проблема на данной машине решена?
При включении работает 10 минут и выдает синий экран
Вложения
- Сообщения
- 16,832
- Решения
- 1
- Реакции
- 3,516
Если есть дамп падения, упакуйте в архив и прикрепите к следующему сообщению.
Вчера после нескольких перезагрузок после синего экрана, всю ночь работал нормально. СУДОС тоже не вылетал. Мониторим весь день, если будет без происшествий, вечером можно закрыть тему
- Статус
Похожие темы
- Закрыта
- Закрыта