торимозит, и кто-то ест (ел) место на диске С

Друзья, описываю по порядку: явно чего-то насосал с торента и комп вдруг начал дико тормозить, в диспетчере задач видел, что во время особых тормозов файл подкачки выростал до 1,5Гб. НОД32 и ДрВеб нашли три червя, но проблему не решили. В АВЗ я посмотрел что в автозапуске и отключил все что было не зеленым шрифтом. Стало немного получше, но со временем тормоза вернулись плюс стало вылезать сообщение что место на диске С исчерпано, хотя там сначала точно гигов 5-7 свободных было. Начал смотреть чтоже занимает столько место оказалось папка Temp в LocalSetting/. Не долго думая все оттуда стер стало намного лучше, но все равно некая тормознутость осталась. Посмотрите пож. логи может там что исправить можно.

Закройте все программы.
Отключитесь от Интернета.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\IDM\QUICKF~1\PlugIns\IEHelp.dll','');
QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
QuarantineFile('\SystemRoot\System32\Drivers\prodrv02.SYS','');
ExecuteRepair(13);
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\System32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\System32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя [url=http://virusinfo.info/upload_virus.php?tid=14297]эту ссылку[/url].
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.

Сделал. Интересно, но комп сам перезагружаться отказался, вышел из учетной записи и намертво повис, пришлось кнопкой (((. Плюс через раз стали включаться сетевые подключения :?

выполните скрипт...
[code]
begin
QuarantineFile('C:\WINDOWS\System32\wmldap.dll','');
QuarantineFile('taskgmrs.exe','');
end.
[/code]
пришлите карантин согласно приложения 3 правил..

После выполнения скрипта от AndreyKa стало работать намного лучше, почти как надо (спасибо, кстати))),
только все равно время от времени начинаются тормоза и файл подкачки выростает до 1Гб, потом все проходит до следующего раза (закономерность от выполнямых на компе действий обнаружить не удалось) Я не знаю, важно это или нет, просто стараюсь как можно точнее описать симптомы

V_Bond карантин отослал. Спасибо за помощь )))

Да, в протоколе АВЗ написал :
Файл успешно помещен в карантин (C:\WINDOWS\System32\wmldap.dll)
Выполнен карантин файла C:\WINDOWS\System32\wmldap.dll
Ошибка карантина файла, попытка прямого чтения (taskgmrs.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (taskgmrs.exe)
Карантин с использованием прямого чтения - ошибка

C:\WINDOWS\System32\wmldap.dll [B]Trojan.PWS.GoldSpy [/B](DrWeb)
C:\WINDOWS\System32\Drivers\prodrv02.SYS -чистый ...
C:\WINDOWS\svchost.exe [B]Trojan.Proxy.2375[/B](DrWeb)
C:\PROGRA~1\IDM\QUICKF~1\PlugIns\IEHelp.dll -чистый ...
выполните скрипт...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\System32\wmldap.dll ');
QuarantineFile('taskgmrs.exe','');
QuarantineFile('%SYSDIR%\taskgmrs.exe','');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...

После лечения поменяйте все пароли

Хорошо, если стало лучше, но источник проблемы - Версия Windows: 5.1.2600, Service Pack 1, остался. Нужно как можно быстрее установить SP 2 и все критические обновления безопасности и сделать все логи заново.
Только тогда можно будет говорить, что все в порядке.

Вот уж правду говорят пока петух не клюнет, мужик не перекреститься. Признаться чесно, как то легкомысленно я ко всему этому относился .......

V_Bond скрипт выполнил, но в карантине пусто (((. Пока скрипт выполнялся видел в протоколе АВЗ много красных строк, что ошибка.

Попробуйте так:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\Windows\System\taskgmrs.exe','');
BC_ImportQuarantineList;
BC_QrFile('c:\Windows\System\taskgmrs.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
В карантин если не попадет, попробуйте вручную через AVZ (Сервис - Поиск файлов на диске) найти и добавить в карантин.
Карантин пришлите

rubin карантин закачал

карантин пустой ...
выполните скрипт....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\taskgmrs.exe,'');
DeleteFile('C:\WINDOWS\System32\taskgmrs.exe');
DeleteFile('%SYSDIR%\taskgmrs.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
если карантин будет не пустой пришлите ....
повторите логи...

последние логи.

По ощущениям проблемы сняты.

осталось почистить мусор...
віполните скрипт...
[code]
begin
DelAutorunByFileName('taskgmrs.exe');
SysCleanAddFile('taskgmrs.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
и разобраться с єтим....

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Спасибо всем хелперам, кто откликнулся. Работать можно, но периодически все равно наступает ступор, потом нормально, потом опять ступор ..... и т.д. Крамольные мысли о покупки лицензии в голове бродят, хоть обновлять можно будет )))

V_Bond если Вы поможете мне все это отключить, буду очень благодарен.

этот скипт отключает все указанное ... оставлен автозапуск CDROM
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.
[/code]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\svchost.exe - [B]Trojan-PSW.Win32.LdPinch.edg[/B] (DrWEB: Trojan.Packed.194)[*] c:\\windows\\system32\\wmldap.dll - [B]Trojan-Spy.Win32.Goldun.ta[/B] (DrWEB: Trojan.PWS.GoldSpy)[/LIST][/LIST]