Процесс lsass.exe, и проблема с корректной работой AVZ.

[shulcenborgen]

Здравствуйте! Ситуация такая:

в диспетчере задач windows висит 2 процесса lsass.exe, один системный, а другой от администратора, может это вирус?

По поводу AVZ:

если нажать "выполнить скрипт" то окошко появляется и сразу же пропадает, после чего AVZ зависает. Аналогичная проблема
с коммандой "выполнить" из меню пуск.

Подскажите как исправить данную проблему.

[Info_bot]

Уважаемый(ая) shulcenborgen, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Пофиксите в HiJack

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Admin\Application Data\lsass.exe
O1 - Hosts: 31.214.145.157 www.vkontakte.ru
O1 - Hosts: 31.214.145.157 www.vk.com
O1 - Hosts: 31.214.145.157 vkontakte.ru
O1 - Hosts: 31.214.145.157 vk.com
O1 - Hosts: 31.214.145.157 www.odnoklassniki.ru
O1 - Hosts: 31.214.145.157 odnoklassniki.ru

Выполните скрипт в AVZ в безопасном режиме

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 TerminateProcessByName('c:\documents and settings\admin\application data\lsass.exe');
 QuarantineFile('c:\documents and settings\admin\application data\lsass.exe','');
 DeleteFile('c:\documents and settings\admin\application data\lsass.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[shulcenborgen]

Пофиксил указанное в HiJack, запустил безопасный режим, в нем тоже невозможно выполнить скрипт, окно "выполнить скрипт" появляется и тут же пропадает.

[thyrex]

Сделайте лог полного сканирования МВАМ

[shulcenborgen]

Сделал лог полного сканирования МВАМ.

[polword]

- удалите в MBAM

Зараженные процессы в памяти:
c:\documents and settings\Admin\application data\lsass.exe (Trojan.Delf) -> 1856 -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Admin\Application Data\lsass.exe) Good: (Userinit.exe) -> No action taken.

Зараженные файлы:
c:\documents and settings\Admin\application data\lsass.exe (Trojan.Delf) -> No action taken.

перезагрузитесь
- Сделайте повторный лог MBAM

[shulcenborgen]

Удалил указанное в MBAM, перезагрузил, теперь все работает.

[thyrex]

Порядок

[shulcenborgen]

Спасибо!