svchost от имени пользователя

Добрый вечер ув. пользователи. У меня появился странный процесс "svchost" запущен от пользователя.При попытке закрыть его он почти тут же запускался и создавал две папки с рандомным названием в корневой директории и &appdata%. Process Explorer гласит что сие чудо запущено из sys32 :)

Уважаемый(ая) [B]Chipita[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

- [B]Обновите базы АВЗ[/B] (АВЗ -> меню "Файл" -> "Обновление баз" -> "Пуск") и переделайте логи АВЗ.

- [URL="http://virusinfo.info/showthread.php?t=49691&highlight=RSIT"]Сделайте лог RSIT[/URL]

Пож-ста :)

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\7YWBdz5Q9yE.exe','');
DeleteFile('C:\WINDOWS\SET3.tmp');
DeleteFile('C:\WINDOWS\SET4.tmp');
DeleteFile('C:\WINDOWS\SET8.tmp');
DeleteFile('C:\Documents and Settings\Admin\Application Data\netprotocol.exe');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\7YWBdz5Q9yE.exe');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Netprotocol');
DeleteFileMask('C:\d1XPm6RKXvGt83H','*',true);
DeleteDirectory('C:\d1XPm6RKXvGt83H');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите логи АВЗ и РСИТ.

Злодей пропал из процессов :)

Удалите вручную:
[CODE]C:\Documents and Settings\Admin\Application Data\puEUyA1WwntwLWM
C:\puEUyA1WwntwLWM[/CODE]

В остальном - порядок.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\7ywbdz5q9ye.exe - [B]Trojan-Spy.Win32.Carberp.lzb[/B] ( DrWEB: Trojan.Carberp.423, BitDefender: Gen:Variant.Kazy.72805, NOD32: Win32/TrojanDownloader.Carberp.AF trojan, AVAST4: Win32:MalOb-KL [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]