ошибка приложения svchost.exe, чистка сканерами не помогает.

[lisovskiy]

Выскакивает ошибка svchost.exe

Инструкция по адресу "0x001f1cb0" обратилась к памяти по адресу "0x48544950" Память не может быть "writen"

(хаотично, то по 4-8 раз в день, то раз в 2-3 дня )
После чего регулярно отваливается интернет, состояние подключено, видимо какая то служба останавливается.
В безопасный режим не пускает, синий экран с ошибкой и советом проверить компьютер на наличие вирусов.
Проверка сканером выдает кучу зараженных файлов, через день два после очистки сканер находит теже зараженные файлы.
Интернет провайдер постоянно закрывает доступ по причине вирусной активности.
Установлен был нод32 (четвертый), базы обновлялись регулярно...ничего не находил.
После проведенной чистки сканером Касперского и AVZ, установил аваст, обновил базы, он сразу начал выдавать внедрение в процессы и зараженные файлы.
Заранее спасибо за помощь.

[Макcим]

Выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 StopService('msupdate');
 StopService('K4hostEL');
 QuarantineFile('C:\WINDOWS\Temp\70.exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WP2JO9UB\sys76p[1].exe','');
 QuarantineFile('C:\Documents and Settings\1\Local Settings\Temp\44.exe','');
 QuarantineFile('C:\Documents and Settings\1\Local Settings\Temp\08.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys','');
 QuarantineFile('C:\WINDOWS\system32\mmfinfo.dll','');
 QuarantineFile('C:\WINDOWS\system32\mkunicode.dll','');
 QuarantineFile('c:\windows\system\dllcache.exe','');
 DeleteFile('c:\windows\system\dllcache.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
 DeleteFile('C:\WINDOWS\system32\K4hostElSvc.exe');
 DeleteFile('c:\windows\system32\..\svchost.exe');
 DeleteFile('0');
 DeleteFile('C:\Documents and Settings\1\Local Settings\Temp\08.exe');
 DeleteFile('C:\Documents and Settings\1\Local Settings\Temp\44.exe');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WP2JO9UB\sys76p[1].exe');
 DeleteFile('C:\WINDOWS\Temp\70.exe');
 DeleteService('msupdate');
 DeleteService('K4hostEL');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1131-1111-1111-611111193428}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193429}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 ExecuteWizard('TSW', 1, 1, true);
 ExecuteWizard('BT', 1, 1, true);
 RebootWindows(false);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[lisovskiy]

карантин загрузил

[lisovskiy]

Логи положительные?

[light59]

Выполните

begin
 CLearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('is-KT7SNdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\02303020.sys','');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\02303020.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Логи повторите.

[lisovskiy]

Не помогает, после скрипта снял логи и после перезагрузки но32 выдал опасный процес в памяти, выскачила ошибка svchost.exe, не пускает на антивирные сайты.
Отключил пока сетевые подключения, флэшкой перенес на другую машину win32/IRCBot.AMC

[PavelA]

C:\WINDOWS\system32\nnzpacp.dll >>>>> Net-Worm.Win32.Kido.ih ошибка удаления

У Вас по сетке бегает Кидо. Надо провериться KidoKiller

[lisovskiy]

KK вчера с утра прогонял, результат все по нулям, щас попробую еще раз.
Сетка в данном случае Корбина и через нее интернет идет, есть ли смысл поставить фаервол?

[PavelA]

Если встроенный фаер поднят, то уже хорошо. И пароль подлиннее, и по надежней.

Логи повтори еще разок, там AVZ много чего поудалял.

[lisovskiy]

Kidokiller по всем пунктам нули, включил виндовый брандмауэр, изменил пароль, новые логи .

[light59]

Одни пароли поменять- это мало.
Вы выполнили то, что тут написано http://www.kaspersky.ru/support/wks6...?qid=208636215.
заплатки, автозапуск?

Вообще нужно ставить SP3 + последующие обновления.

[PavelA]

Добавление: видно в логах два а/вируса: Нод и Касперский. Это не верно. с этим тоже надо разбираться.

[lisovskiy]

По антивирусам, скорее всего что то осталось от AVPTool? Нод установлен в данный момент, патчи и автозапуск сегодня поправлю.

[PavelA]

Вот это осталось от Касперского:
C:\WINDOWS\system32\drivers\kl1.sys
C:\WINDOWS\system32\drivers\klif.sys

Выполнить:

begin
 BC_DeleteSvc('klif');
 BC_DeleteSvc('kl1');
BC_Activate;
RebootWindows(true);
end.

[lisovskiy]

Следы Касперского почистил, заплатки поставил, не могу понять как запустить КК с ключем -а, не дадите ссылочку

[PavelA]

Пуск Выполнить cmd, в черном окне вводим c:\kidokiller\kk -a

[lisovskiy]

Спасибо, я вводил c:\kidokiller\-a )))
Логи новые больше не нужны?

[PavelA]

Можно 2-ой станд. скрипт повторить и лог прислать.

[lisovskiy]

Вот.

[PavelA]

Драйвера Касперскго не удалились.
Можно их ручками через AVZ удалить - Сервис, менеджер драйвеов и служб.