Ошибка Svchost

Printable View

20.11.2011, 21:37
Cтопудовец

Вложений: 3

Ошибка Svchost

Добрый день.

Появилась следующая проблема: после подключения к интеренету через произвольное время служба svchost.exe падет с критической ошибкой "Инструкция по адресу "0x6f8917c2" обратилась к памяти по адресу "0x6f8917c2". Память не может быть "written"." Со всеми вытекающими последствиями падения svchost.exe.
На компьютере установлен DrWeb, который при проверке постоянно находит завирусованные файлы в папке ..\System32\ с именами типа 04.exe. Однако саму причину возникновения файлов найти не может.
AVPTool, запущенный в безопасном режиме, так же обнаружил на компе зараженные файлы, но их удаление проблему так же не решило.

Просьба посмотреть, что можно сделать в сложившейся ситуации.
20.11.2011, 21:38
Info_bot

Уважаемый(ая) [B]Cтопудовец[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
21.11.2011, 08:20
Cтопудовец

Все сделано согласно правилам. Или я что-то упустил?
21.11.2011, 19:39
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\85.exe','');
QuarantineFile('C:\WINDOWS\system32\78.exe','');
QuarantineFile('C:\WINDOWS\system32\76.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\58.exe','');
QuarantineFile('C:\WINDOWS\system32\57.exe','');
QuarantineFile('C:\WINDOWS\system32\56.exe','');
QuarantineFile('C:\WINDOWS\system32\55.exe','');
QuarantineFile('C:\WINDOWS\system32\54.exe','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\WINDOWS\system32\43.exe','');
QuarantineFile('C:\WINDOWS\system32\34.exe','');
QuarantineFile('C:\WINDOWS\system32\33.exe','');
QuarantineFile('C:\WINDOWS\system32\31.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\24.exe','');
QuarantineFile('C:\WINDOWS\system32\17.exe','');
QuarantineFile('C:\WINDOWS\system32\16.exe','');
QuarantineFile('C:\WINDOWS\system32\14.exe','');
QuarantineFile('C:\WINDOWS\system32\11.exe','');
QuarantineFile('C:\WINDOWS\system32\06.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
TerminateProcessByName('c:\windows\system32\78.exe');
QuarantineFile('c:\windows\system32\78.exe','');
TerminateProcessByName('c:\windows\system32\57.exe');
QuarantineFile('c:\windows\system32\57.exe','');
TerminateProcessByName('c:\windows\system32\55.exe');
QuarantineFile('c:\windows\system32\55.exe','');
TerminateProcessByName('c:\windows\system32\53.exe');
QuarantineFile('c:\windows\system32\53.exe','');
TerminateProcessByName('c:\windows\system32\40.exe');
QuarantineFile('c:\windows\system32\40.exe','');
TerminateProcessByName('c:\windows\system32\34.exe');
QuarantineFile('c:\windows\system32\34.exe','');
TerminateProcessByName('c:\windows\system32\33.exe');
QuarantineFile('c:\windows\system32\33.exe','');
TerminateProcessByName('c:\windows\system32\26.exe');
QuarantineFile('c:\windows\system32\26.exe','');
TerminateProcessByName('c:\windows\system32\04.exe');
QuarantineFile('c:\windows\system32\04.exe','');
TerminateProcessByName('c:\windows\system32\01.exe');
TerminateProcessByName('c:\windows\system32\02.exe');
QuarantineFile('c:\windows\system32\02.exe','');
QuarantineFile('c:\windows\system32\01.exe','');
DeleteFile('c:\windows\system32\01.exe');
DeleteFile('c:\windows\system32\02.exe');
DeleteFile('c:\windows\system32\04.exe');
DeleteFile('c:\windows\system32\26.exe');
DeleteFile('c:\windows\system32\33.exe');
DeleteFile('c:\windows\system32\34.exe');
DeleteFile('c:\windows\system32\40.exe');
DeleteFile('c:\windows\system32\53.exe');
DeleteFile('c:\windows\system32\55.exe');
DeleteFile('c:\windows\system32\57.exe');
DeleteFile('c:\windows\system32\78.exe');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe');
DeleteFile('C:\WINDOWS\system32\06.exe');
DeleteFile('C:\WINDOWS\system32\11.exe');
DeleteFile('C:\WINDOWS\system32\14.exe');
DeleteFile('C:\WINDOWS\system32\16.exe');
DeleteFile('C:\WINDOWS\system32\17.exe');
DeleteFile('C:\WINDOWS\system32\24.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\31.exe');
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\34.exe');
DeleteFile('C:\WINDOWS\system32\43.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\54.exe');
DeleteFile('C:\WINDOWS\system32\55.exe');
DeleteFile('C:\WINDOWS\system32\56.exe');
DeleteFile('C:\WINDOWS\system32\57.exe');
DeleteFile('C:\WINDOWS\system32\58.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
DeleteFile('C:\WINDOWS\system32\76.exe');
DeleteFile('C:\WINDOWS\system32\78.exe');
DeleteFile('C:\WINDOWS\system32\85.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
21.11.2011, 23:43
Cтопудовец

Вложений: 4

Карантин отправлен.

Прикладываю все новые логи:
22.11.2011, 01:19
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]Зараженные папки:
c:\program files\common files\wm\keys (Trojan.KeyLog) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.

Зараженные файлы:
c:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.[/code]
22.11.2011, 04:09
Cтопудовец

Вложений: 1

Сделано.
22.11.2011, 07:35
Cтопудовец

Проблема не пропала. Продолжает выходить ошибка
22.11.2011, 08:08
Bratez

1. Два антивируса одновременно - нельзя, один удалите.
2. Ставьте все доступные обновления безопасности для Windows.
22.11.2011, 09:23
Cтопудовец

На компьютере установлен только 1 антивирус - Dr. Web.
Обновления сделаны уже раньше.

Проблема не пропала.
22.11.2011, 09:49
Cтопудовец

Вложений: 3

На всякий случай выкладываю последние логи
22.11.2011, 12:34
Bratez

[quote="Cтопудовец;843562"]На компьютере установлен только 1 антивирус - Dr. Web.[/quote]
Однако, в запущеных процессах видим:
[B]C:\Program Files\COMODO\COMODO Internet Security\cmdagent.exe
C:\Program Files\COMODO\COMODO Internet Security\cfp.exe[/B]

а также драйвер [B]C:\WINDOWS\System32\DRIVERS\cmdguard.sys[/B]
и это тоже от него: [B]O20 - AppInit_DLLs: C:\WINDOWS\system32\guard32.dll[/B]
:>

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\00.exe');
DeleteFile('C:\WINDOWS\system32\03.exe');
DeleteFile('C:\WINDOWS\system32\04.exe');
DeleteFile('C:\WINDOWS\system32\05.exe');
DeleteFile('C:\WINDOWS\system32\10.exe');
DeleteFile('C:\WINDOWS\system32\11.exe');
DeleteFile('C:\WINDOWS\system32\12.exe');
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\15.exe');
DeleteFile('C:\WINDOWS\system32\18.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\37.exe');
DeleteFile('C:\WINDOWS\system32\38.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\46.exe');
DeleteFile('C:\WINDOWS\system32\47.exe');
DeleteFile('C:\WINDOWS\system32\48.exe');
DeleteFile('C:\WINDOWS\system32\51.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\64.exe');
DeleteFile('C:\WINDOWS\system32\65.exe');
DeleteFile('C:\WINDOWS\system32\70.exe');
DeleteFile('C:\WINDOWS\system32\71.exe');
DeleteFile('C:\WINDOWS\system32\73.exe');
DeleteFile('C:\WINDOWS\system32\74.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новый лог [I]virusinfo_syscure[/I] (только п.1 раздела Диагностика).
22.11.2011, 18:27
Cтопудовец

Вложений: 1

Комод стоял тока как FireWall. Но раз говорите, что он там еще подрабатывал, то удалил его и обновил Веб.

Скрипт выполнил. Создал новый virusinfo_syscure. Прикладываю
22.11.2011, 21:55
thyrex

Поскольку зараза продолжает вольготно себя чуствовать на Вашем компьютере, риску предположить, что совет по обновлению системы Вы проигнорировали. Сетевой червяк этого не прощает
24.11.2011, 03:19
Cтопудовец

Окончательно обновил систему. Признаки проблемы пропали.

Огромное спасибо.
25.11.2011, 03:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]87[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\ecleaner.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\11.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\14.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\16.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\17.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\24.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\28.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\31.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\43.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\54.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\55.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\56.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\58.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\60.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\76.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[*] c:\\windows\\system32\\85.exe - [B]Backdoor.Win32.Floder.fcw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356587, NOD32: Win32/AutoRun.AFQ worm, AVAST4: Win32:Downloader-LNA [Trj] )[/LIST][/LIST]