подозрение на вирус, перезагрузка

[lebron]

Компьютер сам перезагружается. Писал в теме железо, посоветовали сюда.

http://virusinfo.info/showthread.php?t=71818
На всякий случай минидамп.

[CyberHelper]

1. Пожалуйста, выполните скрипт AVZ:

begin
 SearchRootkit(true, true);
 QuarantineFile('C:\WINDOWS1\PCHealth\HelpCtr\Binaries\HelpCtr.exe', 'CHQ=G');
 QuarantineFile('C:\WINDOWS1\system32\clipsrv.exe', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\Drivers\dump_atapi.sys', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\Drivers\dump_WMILIB.SYS', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\igmpv2.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\ipbootp.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\iprip2.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\msdtc.exe', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\msiexec.exe', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\MsSip1.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\MsSip2.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\MsSip3.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\ospf.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\ospfmib.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\polagent.dll', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\PrintFilterPipelineSvc.exe', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\psxss.exe', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\system32\stisvc.exe', 'CHQ=N');
 QuarantineFile('C:\WINDOWS1\System32\tssdis.exe', 'CHQ=N');
 QuarantineFile('E:\Новая папка\msa.exe', 'CHQ=N');
 QuarantineFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\i.exe', 'CHQ=N');
 QuarantineFile('e:\Program Files\Macro Scheduler 11\autologonsvc.exe', 'CHQ=N');
 QuarantineFile('e:\Program Files\Macro Scheduler 11\msschedsvc.exe', 'CHQ=N');
 QuarantineFile('C:\Program Files\Opera 10.50 Beta\opera.exe', 'CHQ=N');
 QuarantineFile('E:\Program Files\SafeSurf\safesurf.exe', 'CHQ=N');
 QuarantineFile('c:\program files\common files\logitech\khal\khalmnpr.exe', 'CHQ=G');
 BC_QrFile('C:\WINDOWS1\PCHealth\HelpCtr\Binaries\HelpCtr.exe');
 BC_QrFile('C:\WINDOWS1\System32\Drivers\dump_atapi.sys');
 BC_QrFile('C:\WINDOWS1\System32\Drivers\dump_WMILIB.SYS');
 BC_QrFile('C:\WINDOWS1\System32\igmpv2.dll');
 BC_QrFile('C:\WINDOWS1\System32\ipbootp.dll');
 BC_QrFile('C:\WINDOWS1\System32\iprip2.dll');
 BC_QrFile('C:\WINDOWS1\system32\MsSip1.dll');
 BC_QrFile('C:\WINDOWS1\system32\MsSip2.dll');
 BC_QrFile('C:\WINDOWS1\system32\MsSip3.dll');
 BC_QrFile('C:\WINDOWS1\System32\ospf.dll');
 BC_QrFile('C:\WINDOWS1\System32\ospfmib.dll');
 BC_QrFile('C:\WINDOWS1\System32\polagent.dll');
 BC_QrFile('C:\WINDOWS1\System32\PrintFilterPipelineSvc.exe');
 BC_QrFile('C:\WINDOWS1\system32\psxss.exe');
 BC_QrFile('C:\WINDOWS1\system32\stisvc.exe');
 BC_QrFile('C:\WINDOWS1\System32\tssdis.exe');
 BC_QrFile('E:\Новая папка\msa.exe');
 BC_QrFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\i.exe');
 ExecuteWizard('TSW', 3, 3, true);
 BC_Activate;
 RebootWindows(true);
end.

В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить http://virusinfo.info/index.php?page=uploadclean

[lebron]

3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить http://virusinfo.info/index.php?page=uploadclean

карантин прислал,

Результаты обработки неопознанных файлов:
Архив 100221_233126_virusinfo_files_XXX_4b81981e69d76.zi p, загружен 22.02.2010 0:10:25, размер 64791624 байт
Всего файлов: 91 (исполняемых 91), из них:
зловреды или опасные объекты: 0
подозрительные: 0
занесены в базу безопасных AVZ: 0
В очереди на добавление в базу безопасных:
высокий приоритет: 28
обычный приоритет: 63

[gjf]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
 DeleteFile('C:\DOCUME~1\BA83~1.XXX\LOCALS~1\Temp\i.exe');
 DeleteFile('E:\Новая папка\msa.exe');
 DeleteFile('C:\WINDOWS\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job');
 DeleteFile('{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job');
 DeleteFile('C:\WINDOWS\Tasks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job');
 DeleteFile('{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job');
 DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
 DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
 BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(6); {удаление всех политик ограничений текущего пользователя}
 BC_Activate;
 RebootWindows(true);
end.

Система перезагрузится. После перезагрузки - Сделайте повторные логи согласно только пункта 2 Правил (Диагностика)
virusinfo_syscheck.zip

[lebron]

вот лог

[gjf]

Больше ничего вредоносного в логах не видно.
В обязательном порядке установите Сервис Пак 3 - возможно потребуется активация. Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
Установите все последние обновления системы Windows и используемых программ.

[Kuzz]

Для проверки:
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Function DelJob(JobName : string) : boolean;
begin
 if pos('job', JobName)=0 then JobName := JobName+'.job';
 DeleteFile(GetEnvironmentVariable ('WinDir')+'\Tasks\'+JobName);
 DeleteFile(JobName);
 Result := not (FileExists (GetEnvironmentVariable ('WinDir')+'\Tasks\'+JobName));
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS1\\system32\ntoskrnl.exe','');
DelJob('{35DC3473-A719-4d14-B7C1-FD326CA84A0C}');
DelJob('{66BA574B-1E11-49b8-909C-8CC9E0E8E015}');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно приложения 3 правил .
Загружать по красной ссылке вверху этой темы "Прислать запрошенный карантин"

[lebron]

Файл сохранён как 100222_195633_2010-02-22_4b82b7411cacd.zip
Размер файла 4831839
MD5 48237ab721594a3535617c9fa974fb24

[lebron]

лог hijackthis

[lebron]

Поставил SP3 с нуля. загрузил все обновления. перезагрузки иногда появляются.

[миднайт]

В AVZ выполните скрипт:

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\MRS.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы

[lebron]

Все таки проблема была с железом. Перепаял вздутые конденсаторы на материнке и теперь все нормально.
Всем спасибо за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 32
• В ходе лечения вредоносные программы в карантинах не обнаружены