помогите, скрытые svchost

**Kilovatra** · 22.06.2010, 11:36

Здравствуйте, касперский и д-р веб ничего не обнаружили. В сети два компа и одинаковые проблемы. Раньше гулял Кидо по сети. Гмер нашел два скрытых процесса svchost. Не знаю, нужно ли их убивать и как. Есть svchost.exe в папке Windows/system32/dllcache и скрытые dll в папке system32.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**DefesT** · 22.06.2010, 12:03

Доброго времени суток
Сделайте лог gmer

**Kilovatra** · 22.06.2010, 12:26

Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] juzglr <-- ROOTKIT !!!
Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] raxfgo <-- ROOTKIT !!!

И под этими именами какие-то сервисы запущены

**DefesT** · 22.06.2010, 12:42

Отключите компьютер от интернета, а также отключите антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\hwbdjyik.dll','');
QuarantineFile('C:\thumbs.db','');
QuarantineFile('C:\WINDOWS\system32\rqhnoc.dll','');
DeleteFile('C:\thumbs.db');
DeleteFile('C:\WINDOWS\system32\hwbdjyik.dll');
DeleteFile('C:\WINDOWS\system32\rqhnoc.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe (gmer)

Код:

gmer.exe -del service juzglr
gmer.exe -del service raxfgo
gmer.exe -del file "C:\WINDOWS\system32\hwbdjyik.dll"
gmer.exe -del file "C:\WINDOWS\system32\rqhnoc.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\juzglr"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\raxfgo"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\juzglr"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\raxfgo"
gmer.exe -reboot

И запустите cleanup.bat.
Компьютер перезагрузится! При выполнении операции, возможно будут сообщения, что файл не найден и т.п.
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи virusinfo_syscheck.zip + лог gmer.

**Kilovatra** · 22.06.2010, 14:21

Спасибо, всё чистенько. И работает нормально. Карантин отправила. Новые логи.

**thyrex** · 22.06.2010, 18:22

На кнопку Scan почему не нажимали?

**Kilovatra** · 22.06.2010, 18:24

смущают скрытые файлы в system32:

ezsidmv.dat
Thumbs.db
autorun.i
autorun.in

и штук семь каких-то манифестов

Добавлено через 50 секунд

сейчас сделаю гмер