Очень медленная работа системы

Printable View

06.11.2011, 13:04
Patlatus3

Вложений: 3

Очень медленная работа системы

Очень медленная работа системы.
Долго загружается компьютер, долго выключается, видео вообще не возможно смотреть - один кадр на несколько секунд показывает
06.11.2011, 13:05
Info_bot

Уважаемый(ая) [B]Patlatus3[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
06.11.2011, 14:18
Techno

Здравствуйте!!!

- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - D:\PROGRA~1\ICQTOO~1\toolbaru.dll (file missing)[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('D:\PROGRA~1\ICQTOO~1\toolbaru.dll','');
QuarantineFile('D:\WINDOWS\system32\03.tmp','');
QuarantineFile('D:\WINDOWS\system32\02.tmp','');
DeleteFile('D:\WINDOWS\system32\02.tmp');
DeleteFile('D:\WINDOWS\system32\03.tmp');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_DeleteSvc('dhxhti');
BC_DeleteSvc('epxsbjowd');
BC_DeleteSvc('mhuaqi');
BC_DeleteSvc('seqozgsrw');
BC_Activate;
RebootWindows(true);

end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- [URL="http://virusinfo.info/showthread.php?t=40118"][B]Сделайте лог GMER[/B][/URL].
06.11.2011, 16:00
Patlatus3

Отправил карантин
06.11.2011, 16:35
Patlatus3

Вложений: 3

Не получилось сделать лог qmer. Синий экран.
Смотрите скриншот Photo-111.jpg.
Загрузилась система с ошибки.
Смотрите скриншот error.png
Кроме того, каждый раз выскакивает какое-то сообщение о устройстве.
Смотрите скриншот error2.png

Что делать?
06.11.2011, 17:12
Techno

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].
06.11.2011, 20:23
Patlatus3

Вложений: 5

Запустил gmer используя AVZGuard.
Получил лог. Но замаскированные служби удалить не удалось.
06.11.2011, 20:36
ARMA9000

Сохраните текст ниже как cleanup.bat в ту же папку, где находится hf6bp6ds.exe (gmer)
[CODE]hf6bp6ds.exe -del service akxqvib
hf6bp6ds.exe -del service eaqjmb
hf6bp6ds.exe -del service hkhhwwqy
hf6bp6ds.exe -del service uliapy
hf6bp6ds.exe -del file "D:\WINDOWS\system32\dtzns.dll"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\akxqvib"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\eaqjmb"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\hkhhwwqy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\uliapy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\akxqvib"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\eaqjmb"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\hkhhwwqy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\pwjzipl"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\uliapy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\akxqvib"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\eaqjmb"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\hkhhwwqy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\uliapy"
hf6bp6ds.exe -reboot[/CODE]И запустите cleanup.bat.
Компьютер перезагрузится!

Сделать новый лог gmer.
06.11.2011, 22:07
Patlatus3

Вложений: 1

Сделал лог Комбофикс.
07.11.2011, 01:36
Patlatus3

Вложений: 3

[QUOTE=ARMA9000;839212]Сохраните текст ниже как cleanup.bat в ту же папку, где находится hf6bp6ds.exe (gmer)
[CODE]hf6bp6ds.exe -del service akxqvib
hf6bp6ds.exe -del service eaqjmb
hf6bp6ds.exe -del service hkhhwwqy
hf6bp6ds.exe -del service uliapy
hf6bp6ds.exe -del file "D:\WINDOWS\system32\dtzns.dll"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\akxqvib"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\eaqjmb"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\hkhhwwqy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\uliapy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\akxqvib"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\eaqjmb"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\hkhhwwqy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\pwjzipl"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\uliapy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\akxqvib"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\eaqjmb"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\hkhhwwqy"
hf6bp6ds.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\uliapy"
hf6bp6ds.exe -reboot[/CODE]И запустите cleanup.bat.
Компьютер перезагрузится!

Сделать новый лог gmer.[/QUOTE]

Под час выполнения cleanup.bat получил следущие сообщение:

---------------------------
GMER
---------------------------
DeleteService: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteService: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteService: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
An error 0x00000002 occured during the deletion of file: "D:\WINDOWS\system32\dtzns.dll": Не удается найти указанный файл.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteKey: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteKey: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteKey: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteKey: Параметр задан неверно.

---------------------------
ОК
---------------------------
---------------------------
GMER
---------------------------
DeleteKey: Параметр задан неверно.

---------------------------
ОК
---------------------------

Но не смотря на это, кажись, с помощью этого и комбофикса маскированные службы удалены.
Кажись, три маскированные службы удалены с помощью комбофикса, а одна с помощью гмера или что-то в этом роде.
Последний раз, перед перезагрузкой, система работала на много быстрее. Сейчас опять тормозит, но меньше, чем до этого.
Прикрепляю последные логи (до перезагрузки).

лог гмер, лог комбофикс (я запустил его еще раз, чтобы удостоверится, что все вредоносные службы удалены), сисчек авз.
Кажись, с этой машиной разобрались. Или не совсем. Не знаю.
Хотя бы на этой машине нашли хотя бы чтото, это уже хорошо.
Спасибо всем хелперам за помощь,[B] переделывать еще раз логи, и если да, то какие?[/B]
[I]Как удалить последствия от подобных служб?[/I]
07.11.2011, 01:37
Patlatus3

Да, кстати, при включенном AVZGuard'e система виснет какбы меньше, чем при отключенном AVZGuard'e.
07.11.2011, 09:55
Techno

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]
KillAll::

File::

Driver::

NetSvc::
akxqvib
eaqjmb
uliapy
hkhhwwqy
pwjzipl

Folder::

Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте [B]ComboFix.txt и прикрепите к сообщению[/B].

Повторите логи [B]virusinfo_syscheck.zip‎[/B] и [B]hijackthis.[/B]
07.11.2011, 13:45
Patlatus3

Последный раз не мог выключить компьютер средствами Виндовс - меню Пуск, и так далее.
Включал-выключал AVZGuard, в последствии получил синий экран, где было написано:
драйвер uzi4odkw.sys был выгружен и отключен, но какие-то пендинг оперейшинс не были отключены, что-то в этом роде, не успел сделать фотографию.
Этот драйвер, D:\windows\system32\drivers\uzi4odkw.sys, это
AVZ Monitoring Driver, Zaitsev Oleg, Copyright (C) 2004-2006

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Techno;839334]Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]
KillAll::

File::

Driver::

NetSvc::
akxqvib
eaqjmb
uliapy
hkhhwwqy
pwjzipl

Folder::

Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте [B]ComboFix.txt и прикрепите к сообщению[/B].

Повторите логи [B]virusinfo_syscheck.zip‎[/B] и [B]hijackthis.[/B][/QUOTE]

счас сделаем
07.11.2011, 13:45
Techno

[quote="Patlatus3;839386"]Включал-выключал AVZGuard[/quote]
Не надо с ним экспериментировать:)

Выполняйте сообщение №12
07.11.2011, 14:35
Patlatus3

[QUOTE=Techno;839334]Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]
KillAll::

File::

Driver::

NetSvc::
akxqvib
eaqjmb
uliapy
hkhhwwqy
pwjzipl

Folder::

Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте [B]ComboFix.txt и прикрепите к сообщению[/B].

Повторите логи [B]virusinfo_syscheck.zip‎[/B] и [B]hijackthis.[/B][/QUOTE]

счас сделаем

[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]

Кстати, каждый раз при запуске системы выскакивает сообщение
Найдено новое оборудование FP155.

И, кстати, системный блок очень сильно жужжал при запуске. Я попытался поотключать некоторые службы используя Управления компьютером.
В том числе:
hpqcxs08
Machine debug manager
MS Software Shadow Copy Provider
Net Driver HPZ12
NetMeeting Remote Desktop Sharing
NMIndexingService
Pml Driver HPZ12
QoS RSVP
Secondary Logon
Telnet
Диспетчер авто-подключений удаленного доступа
Диспетчер сеанса справки для удаленного рабочего тола
Диспетчер сетевого DDE
Маршрутизация и удаленный доступ
Модуль поддержки NetBIOS через TCP/IP
Планировщик заданий
Служба HP CUE DeviceDiscovery
Служба сетевого DDE
Служба сообщений
Смарт-карты
Теневое копирование тома
Удаленный реестр

Их не удавалось отключить раньше ни с помощью гмер ни с помощью авз.

Пытался отключить также
Windows User Mode Driver Framework
но она почему-то опять включена

Меня просто беспокоило большое количество процесов svchost.exe видимых из Диспетчера задач Виндовс
После проведенных манипуляций количество процесов svchost.exe видимых из Диспетчера задач Виндовс, уменьшилось из 11 до 8.

[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]

[QUOTE=Techno;839388]Не надо с ним экспериментировать:)

Выполняйте сообщение №12[/QUOTE]
Выполняю.

(хотя это интересно поэкспериментировать, оказывается при включенном AVZGuard'e система виснет какбы меньше, чем при отключенном AVZGuard'e, и оказывается, что если при запуске напрямую GMER'a получаешь синий экран, то при запуске как доверенное приложение из включенного AVZGuard'а не получаешь синего экрана. Это очень даже интересно:) Хотя на другой машине я уже доэкспериментировался, в погоне поиска вредоносного ПО в реестре я поудалял важные ключи в реестре, но, к удивлению, система еще работает :), и я даже с этой машины сижу в интернете, пока выполняется комбофикс на другой машине.)

Кстати, каждый раз при запуске комбофикса в процесе получаю сообщение:
"pev.3xe - обнаружена ошибка, приложение будет закрыто."
Это важно?

где-то между второй и четвертой фазой выполнения комбофикса.

(потом, кажется, еще несколько раз чтото похожее выскакивает)
07.11.2011, 15:51
Patlatus3

Вложений: 3

[QUOTE=Techno;839334]Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]
KillAll::

File::

Driver::

NetSvc::
akxqvib
eaqjmb
uliapy
hkhhwwqy
pwjzipl

Folder::

Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте [B]ComboFix.txt и прикрепите к сообщению[/B].

Повторите логи [B]virusinfo_syscheck.zip‎[/B] и [B]hijackthis.[/B][/QUOTE]

Запрошенные логи
07.11.2011, 16:44
Techno

Выполните в АВЗ:
[CODE]begin
ExecuteStdScr(3);
end.
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]

- Установите [URL="http://windows.microsoft.com/ru-RU/windows/help/learn-how-to-install-windows-xp-service-pack-3-sp3"]SP3[/URL] ([COLOR="#FF0000"]может потребоваться активация[/COLOR]), [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]

После обновлений повторите логи АВЗ и hijackthis
08.11.2011, 16:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]