Посторонние процессы в памяти, десятки iexplore.exe забирают все ресурсы, система тормозит, антивирусы не помогают. Прошу помощи.

Обратил внимание что система очень напряженно работает, появились жуткие тормоза. Открываю диспетчер задач а там десятки процессов iexplore.exe по 10-50МБ каждый плюс к этому подозрительные файлы jodrive32.exe aon32.exe zaberg.exe и др. которых раньше не было. Попробовал закрыть процессы и удалить подозрительные файлы с диска и из автозагрузки, но всё практически сразу вернулось на прежние места. На компьютере установлен Аваст, он болезни системы не замечает. CureIt просмотрел в памяти вышеуказанные файлы и не счел их подозрительными, сканирование он, кстати, закончить не смог - система повисла.
Поиск решения проблемы привел на [URL="http://virusinfo.info/showthread.php?t=112315&p=840820&viewfull=1"]страницу http://virusinfo.info/showthread.php?t=112315&p=840820&viewfull=1[/URL] где описан идентичный случай. Но поскольку чужих скриптов сказано не запускать выкладываю свои файлы:
p.s. не знаю как оно должно быть, но на данный момент после работы программ avz и hijackthis и получения трех диагностических файлов зараженность не пропала.

заранее всем спасибо!

Уважаемый(ая) [B]NRGNRG[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Пофиксите в HijackThis:
[code]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R3 - URLSearchHook: (no name) - - (no file)
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\superclubber.exe','');
QuarantineFile('C:\WINDOWS\system32\c9mgr.exe','');
QuarantineFile('C:\WINDOWS\jodrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
QuarantineFile('C:\Documents and Settings\Олечка\Главное меню\Программы\Автозагрузка\igfxtray.exe','');
QuarantineFile('C:\Documents and Settings\Олечка\Application Data\aon32.exe','');
QuarantineFile('C:\Documents and Settings\Олечка\Application Data\Ywjkji.exe','');
DeleteFile('C:\Documents and Settings\Олечка\Application Data\Ywjkji.exe');
DeleteFile('C:\Documents and Settings\Олечка\Application Data\aon32.exe');
DeleteFile('C:\Documents and Settings\Олечка\Главное меню\Программы\Автозагрузка\igfxtray.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
DeleteFile('C:\WINDOWS\jodrive32.exe');
DeleteFile('C:\WINDOWS\system32\c9mgr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RegKeyParamDel('HKCU', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=112501[/url]).
Сделайте новые логи.

кажется пациент пошел на поправку:)
сделал как написано, после загрузки в диспетчере задач не было лишнего.
спасибо!
выложил новые логи.

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\superclubber.exe','');
DeleteFile('C:\WINDOWS\superclubber.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]


Логи повторите.

сделано

Чисто.

спасибо! ловко у вас получилось извести эту напасть!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\олечка\\application data\\aon32.exe - [B]Trojan-Clicker.Win32.Agent.vjt[/B] ( DrWEB: Win32.HLLW.Autoruner1.3167, BitDefender: Trojan.Generic.KDV.411823, AVAST4: Win32:IRCBot-EGS [Trj] )[*] c:\\documents and settings\\олечка\\главное меню\\программы\\автозагрузка\\igfxtray.exe - [B]Trojan-Spy.Win32.Carberp.aku[/B] ( DrWEB: Trojan.Carberp.12, BitDefender: Trojan.Generic.KDV.285592, AVAST4: Win32:Kryptik-DPF [Trj] )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - [B]Trojan-Dropper.Win32.Injector.wty[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: IRC-Worm.Generic.21118, AVAST4: Win32:IRCBot-EGN [Trj] )[*] c:\\windows\\jodrive32.exe - [B]Trojan.Win32.Jorik.IRCbot.dtd[/B] ( DrWEB: Win32.HLLW.Autoruner1.3167, BitDefender: Trojan.Generic.7462658, NOD32: IRC/SdBot trojan, AVAST4: Win32:IRCBot-EGS [Trj] )[*] c:\\windows\\superclubber.exe - [B]Trojan-Ransom.Win32.Blocker.fe[/B] ( DrWEB: Trojan.Winlock.3724, BitDefender: Trojan.Generic.6232192, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\system32\\cpldapu\\produkey.exe - [B]not-a-virus:PSWTool.Win32.ProductKey.aj[/B] ( DrWEB: Tool.PassSteel.645 )[*] c:\\windows\\system32\\c9mgr.exe - [B]Trojan-Downloader.Win32.Agent.tgzg[/B] ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Trojan.Generic.7421277, AVAST4: Win32:Kolab-MX [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]