Проверьте, пожалуйста, зверье или нет.

Суть проблеммы в следующем:
1.Начал тормозить комп
2.Время от времени подтормаживает либо самостоятельно ведет себя мышь
3.При проверке в SafeMode свежим Сureit обнаруживается в C:\WINDOWS\system32 process.exe про который Сureit пишет Toll.Prockill
4.после переименования process.exe в process.#xe и перезагрузки в норм. режим жить машине становится заметно легче
Логи сделаны без переименования process.exe.
Стоит KISа 6 trial с свежими базами.

Ну, что сказать.
1. Прислать то, что попало в карантин. ХХХ-сайты до добра не доводят.
2. Плохо жить без SP2. Надо бы как-нибудь его установить. Скорее всего, после его установки потребуется повторная активация Виндов.
3. Определится с каким антивирусом будете жить дальше. Сейчас у Вас
видно два: KIS & остатки NODа. Из-за этого могут быть большие-е тормоза.

Все остальное очень даже неплохо.

[quote=PavelA;117539]Ну, что сказать. ...Все остальное очень даже неплохо.[/quote]
1."Прислать" вы имеете ввиду по ссылке вверху темы :"Прислать запрошенные файлы?" (Карантин AVZ?)
2.Какие следы НОДа и как их изъять грамотно.
С уважением.

Товарищи поправили. Thanks, [b]HATTIFNATTOR [/b]
В AVZ выполнить скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\??\C:\WINDOWS\system32\drivers\oreans32.sys','');
BC_DeleteFile('C:\WINDOWS\System32\imon.dll');
BC_DeleteFile('\??\C:\WINDOWS\system32\drivers\oreans32.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки загрузить ВЕСЬ карантин по ссылке вверху темы.
Плюс новые логи.
Описание:
[url]http://www.avira.com/ru/threats/section/fulldetails/id_vir/3411/worm_sdbot.1222144.html[/url]
Самое интересное в конце. Если компьютер в локальной сети, то надо будет еще поискать у соседей.
Поискать %TEMPDIR%\removeMe%случайная комбинация из четырех букв%.bat . Ежели найдется - удалить.

[quote=PavelA;117558]Товарищи поправили.

Dryunja1961 скрипт выполнился, система перезагрузилась, исчез интернет.
Дальнейшие действия?
P.S. на связи доверенный товарищ Дрюни

[url]www.tacktech.com/pub/winsockfix/WinsockFix.zip[/url] - скачать, распаковать, запустить. Должен востановиться Интернет.
Нужно прислать карантин от Dryunja1961. Ссылка на загрузку вверху темы.( [url]http://virusinfo.info/upload_virus.php?tid=10557[/url])

На всякий пожарный, вторая ссылочка на WinsockFix

[url]http://www.softpedia.com/progDownload/WinSockFix-Download-15337.html[/url]

Карантин закачал.

Файл сохранён как
070622_154110_2007-06-22_467bb556776ba.zipРазмер файла324047MD5
c9c3af6da44da4b5d5502f8ea99bddcf

Инет восстановился наполовину, работает только GPRS - канал, спутник молчит, но это не важно.
Выкладываю новые логи.

Поделитесь секретом: C:\TEMP\cd8\EXE Programs\porn-secret.exe.zip Запаковать в zip с паролем virus и по ссылке в шапке загрузить ;)
Нод надо удалить, если ещё не сделали.
Попробуйте такой скрипт в авз :
[code]
begin
ExecuteRepair(14);
RebootWindows(true);
end.
[/code]

Выполните такой скрипт:
[code]
begin
SetAVZGuardStatus(True);
DelSPIByFileName('imon.dll',true);
ExecuteRepair(14);
RebootWindows(true);
end.[/code]
После перезагрузки попробуйте интернет, если не пойдет - еще разок прогоните WinsockFix. Имейте ввиду, что она сбрасывает сетевые настройки, надо заново ввести IP и др.

@Bratez Nod был удален ранее. После этого пропал Инет.

@Drongo Файлик, что просишь в карантине.
Кстати, описание его на Avira
[url]http://www.avira.com/ru/threats/section/fulldetails/id_vir/2869/tr_click.delf.fz.1.html[/url]

После второго применения WinSockFix и ручной коррекции IP Инет восстановил полностью.
Каковы дальнейшие действия.
P.S. Указанный файлец ХХХ - неудаленный еще мусор от "рыбалки".
P.S.2. Скрипт от [B]drongo[/B] выполнен.

Живите счастливо, но это будет не долго. Нужен SP2 с сотней обновлений после него.

Спасибо всем, насчет SP2 & e.t.c. все понял, буду принимать меры.
Наилучших пожеланий.

Чтобы уменьшить шанс заражения советую на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Советуем прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Книгу прочту, Опера есть.
Кстати, что было?
imon.* - надо думать кусок НОДа
oreans32.sys - а это что? Если не сложно, для общего развития.

oreans32.sys - Riskware.Fileprotect.A, зачастую устанавливается в систему чтобы скрыть другой вредоносный код от обнаружения антивирусами.

Спасибо, понял.
Вопрос чуть-чуть оффтоп. Скоро буду проверять комп родича, открывать тогда новую тему или писать сюда?

Открывайте новую, чтобы не путаться.

Спасибо.
Успехов!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\temp\\cd8\\exe programs\\porn-secret.exe.zip - [B]Trojan-Clicker.Win32.Galepo.x[/B] (DrWEB: archive: Trojan.Glphot)[/LIST][/LIST]