проблемы со spoolsv

[evoname]

Недавно принимали документ по почте на машинке, после этого вываливается при загрузке spoolsv.exe (типа память не может быть read). Есть подозрение, что подменен, при загрузке система нереально тормозит, прибитие spoolsv помогает избавиться от тормозов. Помогите поймать зловреда(ов). Спасибо!

[polword]

-Профиксите в HijackThis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nvk-russia.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

- Сделайте лог MBAM

[evoname]

пожалуйста!

[evoname]

В принципе проблему решил таким скриптом
net stop spooler
del /S /Q c:\windows\system32\Spool\Printers\*
net start spooler

предварительно на всякий случай заменив spoolsv.exe на заведомо чистый с инсталляционного диска.

Добавлено через 57 минут

в логах я так понял кроме вебальты ничего лишнего?

[thyrex]

Именно так

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Documents and Settings\secretar\Рабочий стол\пересылки\Оксана Суспицына (СЦБУ)\Christmas.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ChristmasTree');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы