Подмена диспетчера задач

[Swaak]

При проверке AVZ выдает информацию "Подмена диспетчера задач", файл csrss.exe находится в Documents and Settings в пользователе, а не в system32. Файл не удаляется в Fare. При подключении флешки на ней создается файл авторун.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'ImagePath', 'REG_EXPAND_SZ', '%SystemRoot%\System32\svchost.exe -k netsvcs');
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
 DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
 DelBHO('{CF272101-7F6E-4CF2-9453-B4C5D2FC32C0}');
 QuarantineFile('C:\Documents and Settings\KSUshK@\csrss.exe','');
 DeleteFile('C:\Documents and Settings\KSUshK@\csrss.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=74952

4. Повторите лог virusinfo_syscheck.

[Swaak]

Повтор лога virusinfo_syscheck

[Aleksandra]

Протокол антивирусной утилиты AVZ версии 4.32
Сканирование запущено в 30.03.2010 19:55:48

Я этот лог уже смотрела. Переделывайте...

[Swaak]

Дико извиняюсь притормозил.
Сейчас надеюсь правильно, и с подменой диспетчера задач мы справимся.

[Aleksandra]

Ничего зловредного в логах не увидела.

>>> Обратите внимание - нестандартный диспетчер задач "TASKMAN.EXE"

Это нормально...

[thyrex]

Цитата:
>>> Обратите внимание - нестандартный диспетчер задач "TASKMAN.EXE"
Это нормально...

И все же Swaak выполните скрипт в AVZ

begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

О подмене больше не упоминается?

[Swaak]

Большое спасибо, комп вылечили.
Александра вы супер.

Добавлено через 39 секунд

thyrex, Большое спасибо

[thyrex]

Установите SP3 (может потребоваться активация) + все новые заплатки

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\ksushk@\csrss.exe - P2P-Worm.Win32.Palevo.aala ( DrWEB: Trojan.Packed.19696 )