Ошибка в service.exe

[soldat]

переодически вылетает ошибка о service.exe, и следует выключение компьютера, логи приложены

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('M:\gasgasseve\turbojemasina.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\csrss.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-3339190028-5169306569-486959037-9787\yv8g67.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\nsvb.exe','');
 QuarantineFile('C:\WINDOWS\system32\quougipi.exe','');
 QuarantineFile('C:\WINDOWS\system32\pyda.exe','');
 QuarantineFile('C:\WINDOWS\system32\lyquo.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\lyquo.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Главное меню\Программы\Автозагрузка\tupfgbrs.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Главное меню\Программы\Автозагрузка\q81cnojp66g.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Главное меню\Программы\Автозагрузка\ooefk870.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\abvjx.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\lsass.exe','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\rkl77aa.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\podwhkul.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ngha87a.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ldf8653.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\gtf23e4.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\cpr905f.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\cpb2ca0.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\bnp69da.sys','');
 QuarantineFile('C:\WINDOWS\system32\coobilac.exe','');
 QuarantineFile('C:\WINDOWS\system32\rosav.exe','');
 QuarantineFile('C:\WINDOWS\system32\fooverouquu.exe','');
 DeleteFile('C:\WINDOWS\system32\fooverouquu.exe');
 DeleteFile('C:\WINDOWS\system32\rosav.exe');
 DeleteFile('C:\WINDOWS\system32\coobilac.exe');
 DeleteFile('C:\WINDOWS\System32\drivers\bnp69da.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\cpb2ca0.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\cpr905f.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\gtf23e4.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\ldf8653.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\ngha87a.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\podwhkul.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\rkl77aa.sys');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\lsass.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\abvjx.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Главное меню\Программы\Автозагрузка\ooefk870.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Главное меню\Программы\Автозагрузка\q81cnojp66g.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Главное меню\Программы\Автозагрузка\tupfgbrs.exe');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\lyquo.exe');
 DeleteFile('C:\WINDOWS\system32\lyquo.exe');
 DeleteFile('C:\WINDOWS\system32\pyda.exe');
 DeleteFile('C:\WINDOWS\system32\quougipi.exe');
DeleteFile('M:\gasgasseve\turbojemasina.exe');
DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\csrss.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3339190028-5169306569-486959037-9787\yv8g67.exe');
DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\nsvb.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\podwhkul.sys');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Local Settings\Temp\210.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Local Settings\Temp\261.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Local Settings\Temp\731.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Local Settings\Temp\982.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Local Settings\Temp\998.exe');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\csrss.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=97299).

Обновите базы AVZ и сделайте новые логи.

[soldat]

Файл сохранён как 110204_192947_virus_4d4c297b8c13c.zip

[миднайт]

В AVZ выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\drivers\qjpeecd.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\jcib406.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\cpr905f.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\cpr905f.sys','');
 QuarantineFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe','');
 DeleteService('qjpeecd');
 QuarantineFile('C:\WINDOWS\system32\drivers\podwhkul.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\jcib406.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\podwhkul.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\qjpeecd.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\cpr905f.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\jcib406.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\qjpeecd.sys');
 DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe');
BC_DeleteFile('C:\Documents and Settings\Admin.MICROSOF-51A74C\Application Data\juzjf.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
RebootWindows(true);
end.

После перезагрузки

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
Обновите базы AVZ!
Логи повторите.

[soldat]

Карантин отправлен
логи приложены

[миднайт]

В третий раз повторяем.
Обновите базы AVZ.

[soldat]

обновлял каждый раз когда говорили

[миднайт]

Все верно
Сканирование запущено в 01.01.2007 01:12:51
Нормальную системную дату установите.
Выполните в AVZ скрипт из файла ScanVuln.txt откройте файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления. (Обратите внимание, при установке сервис паков, обновлении ОС, может потребоваться повторная активация Windows)
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 91
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin.microsof-51a74c\\abvjx.exe - Net-Worm.Win32.Kolab.rpx ( DrWEB: Trojan.Virtumod.18, BitDefender: Trojan.Generic.5686327, NOD32: Win32/Tofsee.AA trojan, AVAST4: Win32:Malware-gen )
  2. c:\\documents and settings\\admin.microsof-51a74c\\application data\\juzjf.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.6912528, AVAST4: Win32:VBCrypt-YI [Trj] )
  3. c:\\documents and settings\\admin.microsof-51a74c\\application data\\lsass.exe - Worm.Win32.AutoRun.bypy ( DrWEB: Trojan.Packed.21318, BitDefender: Trojan.Generic.5335738, NOD32: Win32/Agent.OUF trojan, AVAST4: Win32:Inject-ABQ [Trj] )
  4. c:\\documents and settings\\admin.microsof-51a74c\\csrss.exe - P2P-Worm.Win32.Palevo.fuc ( DrWEB: Trojan.Packed.20312, BitDefender: Gen:Variant.Rimecud.2, AVAST4: Win32:Crumpache [Cryp] )
  5. c:\\documents and settings\\admin.microsof-51a74c\\главное меню\\программы\\автозагрузка\\ooefk870.exe - Trojan-Downloader.Win32.Refroso.cbq ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6976251, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Lethic-B [Trj] )
  6. c:\\documents and settings\\admin.microsof-51a74c\\главное меню\\программы\\автозагрузка\\q81cnojp66g.exe - Trojan-Downloader.Win32.Refroso.cbs ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6976251, AVAST4: Win32:Lethic-B [Trj] )
  7. c:\\documents and settings\\admin.microsof-51a74c\\главное меню\\программы\\автозагрузка\\tupfgbrs.exe - Trojan-Downloader.Win32.Pher.haq ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )
  8. c:\\documents and settings\\localservice\\application data\\microsoft\\lyquo.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )
  9. c:\\recycler\\s-1-5-21-3339190028-5169306569-486959037-9787\\yv8g67.exe - P2P-Worm.Win32.Palevo.bpgr ( DrWEB: Trojan.Inject.18655, BitDefender: Trojan.Generic.6019440, NOD32: Win32/Peerfrag.FL worm, AVAST4: Win32:Trojan-gen )
  10. c:\\windows\\system32\\coobilac.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )
  11. c:\\windows\\system32\\drivers\\bnp69da.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  12. c:\\windows\\system32\\drivers\\cpb2ca0.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  13. c:\\windows\\system32\\drivers\\cpr905f.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  14. c:\\windows\\system32\\drivers\\gtf23e4.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  15. c:\\windows\\system32\\drivers\\jcib406.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  16. c:\\windows\\system32\\drivers\\ldf8653.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  17. c:\\windows\\system32\\drivers\\ngha87a.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  18. c:\\windows\\system32\\drivers\\podwhkul.sys - Rootkit.Win32.Pakes.zo ( DrWEB: Trojan.Siggen.18257, BitDefender: Backdoor.Tofsee.Gen, NOD32: Win32/TrojanDownloader.Genome.CLU trojan, AVAST4: Win32:Malware-gen )
  19. c:\\windows\\system32\\drivers\\qjpeecd.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  20. c:\\windows\\system32\\drivers\\rkl77aa.sys - Rootkit.Win32.Agent.bivz ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.F trojan, AVAST4: Win32:Agent-AHQZ [Trj] )
  21. c:\\windows\\system32\\fooverouquu.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )
  22. c:\\windows\\system32\\lyquo.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )
  23. c:\\windows\\system32\\pyda.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )
  24. c:\\windows\\system32\\quougipi.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )
  25. c:\\windows\\system32\\rosav.exe - Trojan.Win32.VBKrypt.agdc ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.5648569, AVAST4: Win32:VBCrypt-YI [Trj] )