файл svchost от имени пользователя

Как я понимаю, файл svchost должен быть запущен от системы. У меня же он появился в диспетчере задач с запуском от моего пользователя. Жрет либо 100ЦП, либо 50ЦП, по разному. Уже пытался его закрывать, все равно автоматически запускается.
На 99% уверен, что это вирус.

Уважаемый(ая) [B]myaso[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

выполните скрипт
[code]
begin
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\sprt_______________________________________________________________________________________________________________________________________________.exe','');
end.
[/code]
пришлите карантин согласно приложения 3 правил

выполнил, создалась папка 2012-04-28, но в ней совершенно пусто.

Диск [I]F:\[/I] это что ?

а также что у вас находится в папке ? :

[I]F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\[/I]

диск F это тот диск(HDD), на котором лежат файлы и установлена винда(но если не ошибаюсь, винда запускается с другого жесткого диска.
В папке находится всякий хлам... файлы которые скачивались.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

диск F это тот диск(HDD), на котором лежат файлы и установлена винда(но если не ошибаюсь, винда запускается с другого жесткого диска.
В папке находится всякий хлам... файлы которые скачивались.
Еще я заметил что с рабочего стола пропал ярлык(может это и не связано). И теперь svchost не грузит систему, а просто висит в диспетчере.

[size="1"][color="#666686"][B][I]Добавлено через 5 секунд[/I][/B][/color][/size]

диск F это тот диск(HDD), на котором лежат файлы и установлена винда(но если не ошибаюсь, винда запускается с другого жесткого диска.
В папке находится всякий хлам... файлы которые скачивались.
Еще я заметил что с рабочего стола пропал ярлык(может это и не связано). И теперь svchost не грузит систему, а просто висит в диспетчере.

поищите файл

[I]F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\sprt_______________________________________________________________________________________________________________________________________________.exe[/I]

Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

Такого файла нету. Искал по запросу sprt и ______

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Сделал.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные ключи в реестре: 2
HKCU\Software\winxarj (Hoax.ArchSMS) -> Действие не было предпринято.

Объекты реестра обнаружены: 6
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Search Bar (Hijack.Search) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.google.com/) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Default_Search_URL (Hijack.Homepage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Search|SearchAssistant (Hijack.SearchPage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com/) -> Действие не было предпринято.

Обнаруженные папки: 1
F:\Documents and Settings\дима\Application Data\archsoft (Trojan.Agent) -> Действие не было предпринято.

Обнаруженные файлы: 55
C:\Program Files\MyWebSearch\bar\1.bin\F3CJPEG.DLL (PUP.FunWebProducts) -> Действие не было предпринято.
F:\avz4\Quarantine\2012-04-26\avz00003.dta (Spyware.Zeus) -> Действие не было предпринято.
G:\avz4\Quarantine\2010-09-26\avz00001.dta (Rootkit.Dropper) -> Действие не было предпринято.
G:\avz4\Quarantine\2010-09-26\bcqr00001.dat (Rootkit.Dropper) -> Действие не было предпринято.
G:\avz4\Quarantine\2010-09-26\bcqr00002.dat (Rootkit.Dropper) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\rubashka.css (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\a.htm (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\bander.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\dir.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\dot.gif (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\htmlayout.dll (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\logo.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\logo2.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-h-scroll-next.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-h-scroll-prev.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-scroll-back.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-scroll-base.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-scroll-slider.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-v-scroll-next.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\sb-v-scroll-prev.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\scroll.css (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\wfont.ttf (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\winzipvinfo (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel2.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel3.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel4.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel5.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel6.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel7.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\archsoft\_todel8.png (Trojan.Agent) -> Действие не было предпринято.
F:\Documents and Settings\дима\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
F:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
F:\Program Files\Common Files\jqyrg4inedzz13m (Trojan.Agent) -> Действие не было предпринято.[/code]

Сделал. При скане выскочила ошибка и аваст нашел вирусы(с ними я ничего не делал, даже в карантин не клал. Думал что все впорядке и mbam их нашел повторно. А оказалось нет... вроде как новые)



Add: только что заметил, что пропали диски C и D. Это один жесткий диск.
08/06/2012 Add: жесткий диск C и D появились, сейчас просканирю еще раз cureit и потом сделаю логи как и в первом посте.

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Больше придраться не к чему

[QUOTE=thyrex;888517]Установите все [URL="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/URL] для Windows
Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/URL] (даже если им не пользуетесь)

Больше придраться не к чему[/QUOTE]
cureit удалил кучу всякого хлама..., после проверки avz, вроде опять в папке F:/system volume или как там ее... нашелся вирус.
Посмотрите пожалуйста еще раз новые логи.

Пофиксите в HijackThis:
[code]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
R3 - URLSearchHook: (no name) - - (no file)
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
[/code]
в остальном все нормально.