Подозрения на вирус, нет файла cmd.exe в папке system32.

[3kilos]

Здравствуйте!

Вчера необходимо было запустить командную строку, но выяснилось, что по расположению \System32 нет файла cmd.exe. Самостоятельно не удалял его. Командной строкой давно не пользовался, поэтом не могу вспомнить, когда последний раз ее запускал. Regedit, msconfig запускаются, системные и скрытые файл, папки отображаются. Явных признаков заражения вирусом не вижу, установлен Kaspersky Crystal.

Сделал проверку Kaspersky Rescue Disk, ничего подозрительного не нашло. Cmd.exe из папки \SysWOW64 скопировал в папку system32, после чего пытался запустить sfc /scannow, но ничего не вышло. С помощью установочного диска Windows произвел проверку и исправление системных файлов. Оказался один поврежденный файл msoobeui.dll.mui, который был успешно восстановлен. Снова попробовал запустить sfc, результат тот же.

Друг скинул со своего компьютера cmd.exe. Sfc удалось запустить, проверка выявила, что 1 файл невозможно исправить, этим файлом оказался cmd.exe. Снова запустил проверку и исправление системных файлов через установочный диск. В этот раз не нашлось файлов, которые были бы повреждены.

 

Подскажите, пожалуйста, в чем может быть причина исчезновения cmd.exe и есть ли заражения вирусом?

Заранее спасибо!

CollectionLog-2016.01.27-18.39.zip

[Roman_Five]

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 QuarantineFile('C:\Program Files (x86)\Minibar\Minibar.dll','');
 DeleteFile('C:\Program Files (x86)\Minibar\Minibar.dll','32');
 DelBHO('AA74D58F-ACD0-450D-A85E-6C04B171C044');
 DelBHO('539F76FD-084E-4858-86D5-62F02F54AE86');
 DelBHO('AAA38851-3CFF-475F-B5E0-720D3645E4A5');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится. 

Для создания архива с карантином выполните скрипт:

 

begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.

 

Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Virus Desk.

Порядок действий на портале Kaspersky Virus Desk::

1) Установите флажок Я хочу получить результаты проверки по электронной почте и укажите адрес своей электронной почты;

2) Нажмите на ссылку Выбрать файл и прикрепите архив карантина.

Важно: размер архива не должен превышать 12 МБ;

3) Убедившись в наличии строки Я хочу отправить на проверку Quarantine.zip, нажмите повторно на ссылку Выбрать файл.

4) Дождитесь ответа об успешной загрузке карантина.

Полученный через электронную почту ответ сообщите в этой теме.

 

Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com/?gd=&ctid=CT3315513&octid=EB_ORIGINAL_CTID&ISID=MEAF2301A-8A4D-47B8-962B-7BFB29C41EED&SearchSource=55&CUI=&UM=5&UP=SP4101FCBB-D79F-4A18-BC76-C5FAFAD6AEFE&SSPV=
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.qip.ru/ie
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.qip.ru
R3 - URLSearchHook: (no name) - {539F76FD-084E-4858-86D5-62F02F54AE86} - (no file)
O2 - BHO: (no name) - {1F13CE11-4FAC-49A9-8155-D4F3F0F91A33} - (no file)
O2 - BHO: (no name) - {46B9D770-1B7D-45D1-81B4-AC07B2F127EF} - (no file)
O2 - BHO: (no name) - {AA74D58F-ACD0-450D-A85E-6C04B171C044} - (no file)
O2 - BHO: (no name) - {C93F72A2-2162-4BBA-A07A-F13663C297A6} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O3 - Toolbar: (no name) - {C7DDDD27-F303-42A5-B979-51559F7DC0F0} - (no file)

 

Сделайте новые логи по правилам (только пункт 2).

 

приложите лог AdwCleaner

 

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=635158

Изменено 27 января, 2016 пользователем Roman_Five

[3kilos]

Ответ о проверке файла.

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

Minibar.dll

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"

 

Пофиксил, но некоторые строки при повтором сканировании остаются. Вот эти:

 

O2 - BHO: (no name) - {1F13CE11-4FAC-49A9-8155-D4F3F0F91A33} - (no file)
O2 - BHO: (no name) - {46B9D770-1B7D-45D1-81B4-AC07B2F127EF} - (no file)
O2 - BHO: (no name) - {C93F72A2-2162-4BBA-A07A-F13663C297A6} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O3 - Toolbar: (no name) - {C7DDDD27-F303-42A5-B979-51559F7DC0F0} - (no file)

 

Новый лог прикрепил.

 

Лог AdwCleaner

 

CollectionLog-2016.01.27-23.22.zip

AdwCleanerS2.txt

[Roman_Five]

 

 

Пофиксил, но некоторые строки при повтором сканировании остаются. Вот эти:

запускайте от имени админа

 

очистите найденное в AdwCleaner (при необходимости оставьте элементы Mail.ru и Yandex)
http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=635160

[3kilos]

Запускал от администратора, все равно остаются эти строчки. Пробовал несколько раз.

 

Все очистил в AdwCleaner.

 

В отчетах автологера больше нет угроз?

[Roman_Five]

нет.

cmd работает?
если да - то не загоняйтесь. может, не от той версии перекинули.

[3kilos]

Да, cmd работает и с правами администратора.

В декабре я делал восстановление системы с помощью точки восстановления, может тогда и пропала командная строка, а я не обратил внимания.

 

Спасибо за помощь!