Отваливаются программные процессы, winlogon.exe, a затем выдается BSOD c000021a

[vaycher09]

Примерно два дня назад появились следующие симптомы:<br>После загрузки операционной системы через некоторое время при включенном интернете kis 2010 начинает блокировать запросы файла c:\windows\system32\winlogon.exe на непонятные сайты (galyhiw.com/login.php, gegynuv.com/login.php, lyrysor.com/login.php). После этого отваливаются программеые процессы, а после падения winlogon.exe, выдается BSOD c000021a. Время работы компьютера до начала падения может быть от нескольких минут до нескольких часов. Общее быстродействие системы ниже обычного, интернет тоже стал тормозить. Интернет-странички грузятся со 2-го или 3-го раза, про просмотр видео можно забыть. &nbsp; <br><br>Попытался запустить антивирусную проверку из безопасного режима windows - ни сканнер от Касперского, ни DRWeb CureIt не сработали, заглохли на стадии запуска. При проверке в обычном режиме силами KIS 2010 с обновленными базами проблема не решилась.<br><br>Заранее спасибо за помощь.

[Info_bot]

Уважаемый(ая) vaycher09, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Шапельский Александр]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\apppatch\vhprxn.exe','');
 DeleteFile('C:\WINDOWS\apppatch\vhprxn.exe');
BC_ImportAll;
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Сделайте новый лог virusinfo_syscheck.zip и лог МВАМ

[vaycher09]

Спасибо за оперативность,

указанный скрипт выполнен. Карантин загрузил.
новый лог virusinfo_syscheck.zip и лог МВАМ прилагаются.

p.s. случайно выполнил еще раз после выполнениния custom-скрипта из темы выполнил стандартный "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info". Карантин и virusinfo_syscheck.zip и лог МВАМ делал уже после этого. Надеюсь, это не повредит процессу лечения и анализа.

[Шапельский Александр]

Удалите в МВАМ:

Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (Rootkit.Dropper) -> No action taken.
Зараженные файлы:
c:\documents and settings\anuta\application data\thinstall\swf decompile expert 3.0.2.210\1000000b00002i\verclsid.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\Temp\winlogon.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\Temp\winlogon.ex_ (Heuristics.Reserved.Word.Exploit) -> No action taken.

Остальное "добро" на Ваше усмотрение.

[vaycher09]

Выполнил последние рекомендации.

Компьютер целый день отработал без глюков.
Считаю вопрос решенным. Тему можно закрыть.

Большое спасибо за квалифицированную помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\hfs\\hfs.exe - not-a-virus:Server-FTP.Win32.SFH.dc