Загрузка процессора - svhost / Trojan.Mayachok.1

Printable View

24.06.2012, 10:43
Роберт Ляхов

Вложений: 3

Загрузка процессора - svhost / Trojan.Mayachok.1

Доброе время суток! Сын скачал программу "Запускатр" с левого сайта. Не проверив запустил - комп перегрузился. И начались ужасные тормоза. В диспетчере задач обнаружилось, что ЦП загружен на 100% несколькими процессами "svhost". Скачал Dr.Web Curelt и в безопасном режиме просканировал комп. Сразу был обнаружен в памяти "Trojan.Mayachok.1" и якобы обезврежен. Было обнаружено и удалено ещё около 40-ка вирусов. После той же программой провел полное сканирование - было обнаружено и удалено ещё около 130-ти вирусов. После перезагрузки проблема с тормозами и загрузкой ЦП осталась.
Еще раз просканировал ДрВебом - Trojan.Mayachok.1 (жив и невредим) но больше ничего не обнаружилось.
Заметил, что тормоза и загрузка ЦП начинаются после загрузки антивирусника NOD32.
Выполнил скрипт на AVZ (3.5 часа). Перегрузил комп в без. режим и в нем удалил NOD. Перегрузился в обычный режим (тормоза исчезли) запустил интернет и опять выполнил скрипт в AVZ. Потом [COLOR=#555555][FONT=Arial]HijackThis.[/FONT][/COLOR]
Снова установил NOD и опять тормоза и загрузка процессора. И Trojan.Mayachok.1 по прежнему в памяти... Снова удалил NOD - тормоза исчезли, Trojan.Mayachok.1 невредим.
Жду помощи! Спасибо!
24.06.2012, 10:44
Info_bot

Уважаемый(ая) [B]Роберт Ляхов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
24.06.2012, 11:02
Дeнис

Здравствуйте!

1.Отключите Антивирус/Фаервол.

2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\82.exe','');
QuarantineFile('C:\WINDOWS\system32\11.exe','');
QuarantineFile('C:\WINDOWS\system32\04.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
QuarantineFile('C:\Documents and Settings\Папа\Application Data\Rniuil.exe','');
QuarantineFile('C:\WINDOWS\system32\rdqmtqc.dll','');
DeleteFile('C:\WINDOWS\system32\rdqmtqc.dll');
DeleteFile('C:\Documents and Settings\Папа\Application Data\Rniuil.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
DeleteFile('C:\WINDOWS\system32\04.exe');
DeleteFile('C:\WINDOWS\system32\11.exe');
DeleteFile('C:\WINDOWS\system32\82.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.
[/CODE]

[U]После перезагрузки![/U]

3.Пришлите карантин согласно [B]Приложения 2[/B] правил [COLOR="red"][B]по красной ссылке[/B][/COLOR]
[COLOR="Red"]Прислать запрошенный карантин[/COLOR] [B]вверху темы[/B]

4.

[CODE]
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
>> Обнаружены опасные расширения в списке типов файлов, не представляющих угрозы
[/CODE] Исправьте через [B]AVZ[/B] - [B]Файл[/B] - [B]Мастер поиска и устранения проблем[/B] - [B]Все проблемы[/B] - [U]отметить указанное[/U] - [B][COLOR=Red]Исправить[/COLOR][/B]
Далее

[URL="http://virusinfo.info/content.php?r=136-pravila"]Сделайте новые логи по правилам![/URL]
[URL="http://virusinfo.info/showthread.php?t=53070"]Сделайте лог MBAM[/URL]
24.06.2012, 13:42
Роберт Ляхов

Вложений: 3

Спасибо! Скрипт выполнился без ошибок. Карантин отправил. Указанные уязвимости исправил. Делаю логи...

[COLOR="silver"]- - - Updated - - -[/COLOR]

Я наверное не то сделал с отправкой карантина... Не пойму что нужно отослать.

[COLOR="silver"]- - - Updated - - -[/COLOR]

Отправляю логи AVZ и HijackThis. МВАМ - ещё не готов...
26.06.2012, 15:27
Роберт Ляхов

Вложений: 1

Лог МВАМ
26.06.2012, 16:14
Дeнис

[b]Роберт Ляхов[/b],

Здравствуйте!

1.Отключите Антивирус/Фаервол.

2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\Desktop.ini','');
QuarantineFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini','');
QuarantineFile('C:\Documents and Settings\LRV\Local Settings\Temp\9efc955a2ab1b169a739f6c8205f07d1228ad7045e88.exe','');
QuarantineFile('C:\Documents and Settings\LRV\Application Data\RECYCLER\svchost.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\Desktop.ini');
DeleteFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini');
DeleteFile('C:\Documents and Settings\LRV\Local Settings\Temp\9efc955a2ab1b169a739f6c8205f07d1228ad7045e88.exe');
DeleteFile('C:\Documents and Settings\LRV\Application Data\RECYCLER\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[U]После перезагрузки![/U]

3.Пришлите карантин согласно [B]Приложения 2[/B] правил [COLOR="red"][B]по красной ссылке[/B][/COLOR]
[COLOR="Red"]Прислать запрошенный карантин[/COLOR] [B]вверху темы[/B]

4.[URL="http://virusinfo.info/showthread.php?t=53070"]Сделайте лог MBAM[/URL] + лог [URL="http://virusinfo.info/showthread.php?t=115256"]RSIT[/URL]
26.06.2012, 19:55
regist

[quote="Роберт Ляхов;897512"]Я наверное не то сделал с отправкой карантина... Не пойму что нужно отослать.[/quote]
для того чтобы вам было проще

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
26.06.2012, 20:28
Роберт Ляхов

Вложений: 2

Карантин отправил. Логи RSIT прикрепляю. МВАМ попозже...
26.06.2012, 23:20
regist

C:\PROGRA~1\Oklick\oklick.exe эта программа вам знакома ?
27.06.2012, 06:04
Роберт Ляхов

Вложений: 1

[QUOTE=regist;898126]C:\PROGRA~1\Oklick\oklick.exe эта программа вам знакома ?[/QUOTE]
Да, програмка обслуживает клавиатуру с доп. функциями. (так сама клава называется)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Лог МВАМ
27.06.2012, 19:32
regist

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только

[CODE]Обнаруженные параметры в реестре: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Remote Security Manager (Trojan.Agent) -> Параметры: C:\Documents and Settings\LRV\Application Data\RECYCLER\svchost.exe -> Действие не было предпринято.

Объекты реестра обнаружены: 0
(Вредоносных программ не обнаружено)

Обнаруженные папки: 2
C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> Действие не было предпринято.
C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830 (Worm.AutoRun) -> Действие не было предпринято.[/CODE]

сделайте новый лог MBAM, что с проблемой ?
27.06.2012, 20:52
Роберт Ляхов

[b]regist[/b],
Спасибо! Проблема исчезла ещё после первого скрипта. Компьютер у сына и я с ним общаюсь по телефону и в интернете. Поэтому все делается не оч. оперативно... :)
Спасибо Вам огромное!!!
28.06.2012, 20:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\lrv\\local settings\\temp\\9efc955a2ab1b169a739f6c8205f07d1228ad7045e88.exe - [B]Trojan.Win32.Lampa.adnw[/B] ( DrWEB: Trojan.Mayachok.1, BitDefender: Trojan.Generic.KD.657561, AVAST4: Win32:Vundo-UA [Trj] )[*] c:\\windows\\system32\\rdqmtqc.dll - [B]Trojan.Win32.Cidox.iyz[/B] ( DrWEB: Trojan.Mayachok.1 )[/LIST][/LIST]