тьма процессов kh1o26rz.exe жрет память [Trojan-Spy.Win32.Carberp.vls, Trojan.Win32.Jorik.Buterat.zkn ]

**integrator** · 30.01.2013, 23:05

Nod32 при открытии браузера блокирует трудновоспроизводимые адреса, process explorer показывает постоянно плодящиеся процессы kh1o26rz.exe, съедающие всю память. Помогите пожалуйста.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 30.01.2013, 23:08

Уважаемый(ая) integrator, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Никита Соловьев** · 30.01.2013, 23:09

> Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
if not IsWOW64 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
 TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\kh1o26rz.exe');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\kh1o26rz.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\KvV1X0VUqQ8.exe','');
 DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\KvV1X0VUqQ8.exe');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\kh1o26rz.exe');
 DeleteFile('C:\WINDOWS\Tasks\u1x1ovlv.job');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine.zip.
Этот файл находится в папке AVZ.
Если загрузчик сообщает, что данный файл уже был загружен, скорее всего, карантин пуст. Пропустите этот пункт и следуйте далее.

> Исправьте при помощи hijackthis:

Код:

O1 - Hosts: 94.242.221.202 ok.ru
O1 - Hosts: 94.242.221.202 m.ok.ru
O1 - Hosts: 94.242.221.202 www.odnoklassniki.ru
O1 - Hosts: 94.242.221.202 vk.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{277F2CD4-8F62-4F35-BEF6-D8293FBAEDC4}: NameServer = 80.82.209.180
O17 - HKLM\System\CCS\Services\Tcpip\..\{AE5FE118-96E1-41C8-9A05-66AC5EC9C583}: NameServer = 80.82.209.180
O17 - HKLM\System\CS2\Services\Tcpip\..\{277F2CD4-8F62-4F35-BEF6-D8293FBAEDC4}: NameServer = 80.82.209.180
O17 - HKLM\System\CS3\Services\Tcpip\..\{277F2CD4-8F62-4F35-BEF6-D8293FBAEDC4}: NameServer = 80.82.209.180

> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

как выполнить скрипт в AVZ | как исправить ("пофиксить") при помощи hijackthis

**integrator** · 31.01.2013, 00:24

Выполнил

**Никита Соловьев** · 31.01.2013, 00:49

Проблема решена?

**integrator** · 31.01.2013, 01:02

Похоже на то.
Спасибо !!!
А что за зловред был ? Чем занимался окромя того что память жрал ?

**Никита Соловьев** · 31.01.2013, 01:23

Этот процесс записывал фальшивые DNS адреса, которые вызывали рекламные баннеры на страницах. Конкретнее сказать не могу, у нас сейчас ведутся работы с анализатором карантинов.