Очень похоже на Trojan-Downloader.Win32.Small.anhp - но самолечение не на пользу

[Amalish]

Симптомы очень похожи на описанные в теме

- Подозрительный процесс jqs.exe. Но подозрительно в нем то что при его завершении происходит stop-error. Отключив авто-перезагрузку я списал с экрана тех. информацию:
*** STOP: 0x0000008E (0xC0000005, 0x8066AEB1, 0xA5DEAB2C, 0x00000000)

- Так же stop-error появляется при выключении/перезагрузки компьютера (причем уже ближе к концу выключения, когда появляется сообщение "завершение работы Windows"). Код аналогичен с предыдущей
*** *** STOP: 0x0000008E (0xC0000005, 0x8066AEB1, 0xA5DEAB2C, 0x00000000)

- в реестре присутвуют:
HKLM/SYSTEM/ControlSet001/Services/BITS - ImagePath (%fystemRoot%\system32\svchost.exe -k netsvcs)
HKLM/SYSTEM/ControlSet001/Services/wuauserv - ImagePath (%fystemroot%\system32\svchost.exe -k netsvcs)

Надеюсь на излечение. Пользуюсь антивирусом symsntec endpoint..

[Никита Соловьев]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите файл quarantine.zip по ссылке прислать запрошенный карантин вверху темы

[Amalish]

Не очень понятно загрузился ли файл quarantine.zip.
При попытке загрузки пишет:

Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Добавлено через 7 минут

при попытке выполнения скрипта получаю в логе:


Ошибка карантина файла, попытка прямого чтения (D:\WINDOWS\System32\Drivers\sfc.SYS)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (D:\WINDOWS\System32\Drivers\sfc.SYS)
Карантин с использованием прямого чтения - ошибка
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
 DeleteFile('D:\WINDOWS\System32\Drivers\sfc.SYS');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Amalish]

Почему то AVZ не смог заархивировать карантин. В папке Quarantin есть то что нужно. Заархивировал самостоятельно с нужным именем и отправил.

Новые логи тоже здесь

[Никита Соловьев]

virusinfo_cure.zip удалите

Добавлено через 1 минуту

Что с проблемой?

[Amalish]

проблема исчезла -- перезагрузка норма!

Если больше ничего делать не надо - спасибо!!!

[thyrex]

- в реестре присутвуют:
HKLM/SYSTEM/ControlSet001/Services/BITS - ImagePath (%fystemRoot%\system32\svchost.exe -k netsvcs)
HKLM/SYSTEM/ControlSet001/Services/wuauserv - ImagePath (%fystemroot%\system32\svchost.exe -k netsvcs)

Выполните скрипт из этой темы http://virusinfo.info/showthread.php?t=43700
fystemRoot.log прикрепите к следующему сообщению

[Amalish]

Сделано.

[thyrex]

Теперь порядок

[Amalish]

Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\windows\system32\sfcfiles.dll - Trojan.Win32.Patched.fr ( DrWEB: Trojan.WinSpy.322, AVAST4: Win32:Patched-KP [Trj] )