Подозрения svchost.exe на руткит

[Infraradiant]

Поставил новый Avast 4.8. После перезагрузки выдает:
Подозрительный файл (rootkit) обнаружен в вашей системе. Это может быть признаком инфекции malware. файл svchost.exe который по умолчанию в папке /system32/
Полностью проверил авастом как он рекомендовал. Но на svchost не жаловался только на одни анти-читеркую программу (уже снес).
CureIt пожаловался толька на wmadvisor который нужен для webmoney.
Может что-то действительно есть?

[wise-wistful]

Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\guard32.dll','');
 QuarantineFile('svсhost.exe','');
 QuarantineFile('c:\windows\system32\svсhost.exe','');
 QuarantineFile('rcploader.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Загрузите карантин согласно приложения 3 правил.

[Infraradiant]

Скрипт выполнил только система не перезагрузилась, пришлось вручную.
Закачал карантин. Только что делать? Или ссылки вы уже сами видите?
И еще вчера и сегодня svchost.exe обращался по этим адресам:
212.19.128.4
212.19.149.53
вроде адреса провайдера.

[wise-wistful]

Выполните в АВЗ

var x : Integer;
Begin
x := CheckFile('%windir%\system32\dllcache\svchost.exe');
If x = 3 then
begin
AddToLog('>>>Файл опознан как безопасный, продолжаем');
RenameFile('%windir%\system32\svchost.exe', '%windir%\system32\svchost.bak');
CopyFile('%windir%\system32\dllcache\svchost.exe', '%windir%\system32\svchost.exe');
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','SFCDisable',000000000);
BC_DeleteFile('%windir%\System32\MSCORE.DLL');
BC_DeleteFile('%windir%\system32\svchost.bak');
BC_Activate;
SaveLog(GetAVZDirectory + 'cure.log');
RebootWindows(true);
end else
AddToLog('>>>Файл не опознан как безопасный, стоп!');
SaveLog(GetAVZDirectory + 'cure.log');
end.

Затем

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\rcploader.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи.
Прикрепите также к сообщению cure.log из папки AVZ.

C:\WINDOWS\system32\rcploader.dll - Trojan.Win32.Pakes.cba,
C:\WINDOWS\system32\svсhost.exe - Backdoor.Win32.Agent.eds

[Infraradiant]

Вот сделал

[kps]

Пофиксите в HijackThis:

O20 - Winlogon Notify: rcpcrtdll - rcploader.dll (file missing)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\BillP Studios\WinPatrol\PATROLPRO.DLL','');
QuarantineFile('C:\Program Files\ILLUSIONist\ILLReg.exe','');
QuarantineFile('rcploader.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\SIVX32.sys','');
QuarantineFile('C:\WINDOWS\system32\pr2amnub.exe','');
QuarantineFile('C:\WINDOWS\system32\PnkBstrA.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\pe3amnub.sys','');
QuarantineFile('C:\WINDOWS\system32\MFC71.DLL','');
QuarantineFile('C:\Program Files\WebMoney Advisor\tbu06816\tbhelper.dll','');
DeleteFile('rcploader.dll');
DelBHO('{E5A1691B-D188-4419-AD02-90002030B8EE}');
DelBHO('{DFB852A3-47F8-48C4-A200-58CAB36FD2A2}');
DelBHO('{0026439F-A980-4f18-8C95-4F1CBBF9C1D8}');
DelBHO('{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20849 ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи.

Записи в файле hosts - Ваша работа?

[Infraradiant]

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

"Настройки и твики браузера" пофиксил, а вот "Системные проблемы" там я что-то задумался о авто запуске hdd, cd-rom, сетевых дисков и сменных носителей. И "таймаут завершения служб находится за пределами допустимых значений" - что это? Автоматическое обновление windows мне наверное повредит.

Записи в файле hosts - Ваша работа?

только строчка с audiosurf остальное незнаю может Spybot - Search & Destroy?
Карантин выслал
Сообщение Аваста пропало...

[V_Bond]

в логах ничего подозрительного .....

[Гриша]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[Infraradiant]

в логах ничего подозрительного .....

Что означает... что я избавился от проблемы

[V_Bond]

есть какие-то проявления проблем ?

[Infraradiant]

пока все как обычно, перезагружался аваст молчит. Посмотрим дальше, думаю все таки избавились=)
Я вот думаю может из-за "portable BitAccelerator"
А hosts оставлять как есть?

[V_Bond]

в принципе не вредно ... вроде как блокируются не хорошие сайты ... но интернет тормозит ...

[Infraradiant]

всем привет, сегодня аваст затрубил о:
Вирус - C:\WINDOWS\system32\drivers\vdqyndgy.sys
Может файл Comodo firewall? А то повис фаервол, потом вылезло это нажал в карантин. Потом через пару минут пишет нет доступа, нажал "ничего не делать" фаер снова заработал...

[V_Bond]

пришлите файл согласно приложения 3 правил ...

[Infraradiant]

а как мне этот файл в карантин поместить?

[V_Bond]

http://virusinfo.info/showthread.php?t=4567
стоит один раз дочитать правила до конца ....

[Infraradiant]

спасиб, проглядел к сожалению... архив выслал.

[V_Bond]

подождем ответ вирлаба ....

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 49
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\rcploader.dll - Trojan.Win32.Pakes.cba (DrWEB: Trojan.Starter.466)
  2. c:\\windows\\system32\\svсhost.exe - Backdoor.Win32.Agent.eds (DrWEB: Trojan.Starter.466)