плодится rundll32.exe

[Stepan13]

Периодически начинает плодится этот процесс
в диспечере он называется TmkQplFnfu
Происходит внезапно. Или при например втыкании флешки
Процессы плодятся до бесконечности если не убить через диспечер.
в папке c:\Documents and Settings\Администратор\Local Settings\Temp\
появляются (видимо после убийства) папки вида WER0c75.dir00
в которых обычно 4 файла
rundll32.exe.hdmp
rundll32.exe.mdmp
appcompat.txt
manifest.txt

комп не мой, когда началось - сказать не могу.

помогите с этим справиться. логи прилагаю.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('J:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\txyrm.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\smss.exe','');
 QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
 DeleteService('System Scheduler');
 DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\smss.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 DeleteFile('C:\Documents and Settings\Администратор\Шаблоны\Brengkolang.com');
 DeleteFile('C:\WINDOWS\system32\txyrm.exe');
 DeleteFile('J:\autorun.inf');
DeleteFile('%windir%\Tasks\At1.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте лог gmer

[Stepan13]

скрип выполнил.
повторные логи.
лог gmer 1.log
карантин отправил

[thyrex]

1. Откройте Блокнот и скопируйте в него текст скрипта

hgthu03x.exe -del service ERserv
hgthu03x.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ERserv"
hgthu03x.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ERserv"
hgthu03x.exe -reboot

2. Нажмите Файл - Сохранить как
3. Выберите папку, в которую сохранили hgthu03x.exe (gmer)
4. Укажите Тип файла - Все файлы (*.*)
5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
6. Запустите cleanup.bat

ВНИМАНИЕ: Компьютер перезагрузится!!!

Сделайте новый лог gmer

Удалите в МВАМ только указанные строки

Заражённые ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-81CX1C635853} (Backdoor.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.

Заражённые папки:
c:\program files\mycentria (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\InfoBar (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\Firefox (Adware.MyCentria) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-20 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-26 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-27 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-3 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-7 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-8 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-9 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-16 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-5 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-17 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-21 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-4 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-13 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-12 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-11 (Worm.Brontok) -> No action taken.
c:\documents and settings\networkservice\local settings\application data\bron.tok-12-19 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-28 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-11 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-30 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-2 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-1 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-3 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-4 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-5 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-8 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-9 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-10 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-12 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-13 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-14 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-15 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-16 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-17 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-18 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-19 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-20 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-21 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-22 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-23 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-24 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-25 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-27 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-26 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-31 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-6 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-7 (Worm.Brontok) -> No action taken.
c:\documents and settings\администратор\local settings\application data\bron.tok-12-29 (Worm.Brontok) -> No action taken.

Заражённые файлы:
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\M1BSHXT9\2[1].exe (Trojan.Dropper) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\M0S2CDN6\ww[1].exe (Trojan.Dropper) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SE0NNDSX\outt[1].exe (Trojan.IRCBrute) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SE0NNDSX\bro[1].jpg (VirTool.VBInject) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\0LWVSVG7\cv[1].exe (Trojan.Dropper) -> No action taken.
c:\system volume information\_restore{ec8cefdf-bda7-4d4a-a40a-268cb68b3e7e}\RP384\A0174659.exe (Trojan.Dropper) -> No action taken.
c:\RECYCLER\s-51-9-25-3434476501-1642491965-601313314-1214\psdfg.exe (Trojan.IRCBrute) -> No action taken.
c:\Recycled\Dc28078.tmp (Trojan.Dropper) -> No action taken.
c:\Recycled\Dc28356.tmp (Trojan.Dropper) -> No action taken.
c:\Recycled\Dc28387.tmp (Trojan.Dropper) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\txyrm.exe - Backdoor.Win32.SdBot.wac ( DrWEB: BackDoor.IRC.Bot.743, BitDefender: Backdoor.Bot.133463, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:VB-YLY [Trj] )