Winlogon грузит диск на 100% в windows 2003

[Tray]

Здравствуйте, уважаемые специалисты!

Проблема в следующем, отбил атаку на сервак с windows 2003. Осталась проблема загрузки диска С на 100%, процесс эксплорер показывает что winlogon(Под учеткой SYSTEM) записывает файлы в temp под видом "временная папка X для...", где X - цифра от 1 до 18, при чем чем дольше длится процесс, тем выше цифра становится. Антивирус ничего не нашел, включая KVRT и AVZ. Скрин, лог AVZ и Hijackthis прикладываю. Прошу помогите пожалуйста!

Немного добавлю, только что обнаружил. Если убить процесс explorer.exe, то проблема прекращается. Но если удалить explorer.exe из папки windows, то он появляется снова!

[Info_bot]

Уважаемый(ая) Tray, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Лог AVZ по правилам предоставьте.

[Tray]

Лог AVZ по правилам предоставьте.

Тысяча извинений - тему можно закрывать, создал другую админскую учетку, предыдущую учетку админа заблокировал. Всё вроде тьфу-тьфу.

[Vvvyg]

Это Вы отложили проблему, а не решили.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Tray]

Это Вы отложили проблему, а не решили.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

Результат полного образа автозапуска по инструкции.

[Vvvyg]

Этим программам не место на сервере, удалите:

Advanced SystemCare 8
IObit Uninstaller
Mail.Ru Агент - установлен из под учёток Tray.SERV, Склад.SERV-1, СГП2, СГП.SERV-1
PC Connectivity Solution
Smart Defrag 4
Surfing Protection
Амиго, µTorrent - под учёткой Склад.SERV-1

Браузеры лля пользователей тоже должны быть запрещены - пусть в интернет ходят со своих компьютеров, а на сервере надо только в 1С работать. Иначе такого накачают и поназапускают...
Смените пароли на учётки с администраторскими правами, у кого они были не по делу - отобрать права администратора.
MS SQL сервер - также поменяйте пароли, проверьте, последний ли сервис-пак установлен. Взлом через дыры SQL-сервера - классика жанра.
Проверьте разрешающие правила системного бранмауэра или другого файрвола (если установлен), доступ извне ограничить только теми ip-адресами, или хотя бы подсетями, и теми портами, для которых это необходимо удалённым клиентам и для удалённого управления. Аналогичные действия - если доступ контролируется аппаратным роутером/файрволом.

Что там было под учёткой, которая отключена - не видно.
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).