csrss.exe загружает проц на 80-100%

Добрый день всем.

Операционная сисетма Windows XP HE 2600.xpsp_sp2 070227-2254

Компьютер заражен вирусом, Dr.Web 4.33 определяет вирусы при загрузке в следующих файлах:
%windir%\system32\taskmon.sys - Trojan.Packed.142
%windir%\system32\kernelw.sys - Trojan.NtRootkit.426
и в папке пользователя bot.dll - Trojan.Spambot.2552

Все зараженные файлы были удалены в безопасном режиме при отключенном восстановление системы. Реестр почистил от запуска какого-то файла из папки Temporary Internet Files. Проверка системы целиком никаких результатов не дала.

После загрузки компьютера в нормальном режиме все вирусы восстанавливаются. Проблема осложняется тем, что не запускаются многие приложения, такие как AVZ, HiJackThis, CureIt. Система никак не реагирует на запуск исполняемых файлов.Но Dr.Web установленный на компе запускается нормально.

Вот список библиотек, которые использует csrss, которые могут его грузить (как я понимаю), информация получена через FAR:
ntdll.dll
csrsrv.dll
basesrv.dll
winsrv.dll
GDI32.dll
KERNEL32.dll
user32.dll
sxs.dll
Advapi32.dll
rpcrt4.dll
secur32.dll

Подскажите, где еще копать?

avz.exe можно попробовать переименовать в game.pif
Либо просканировать avz [url="http://virusinfo.info/showthread.php?t=10387"]в безопасном режиме[/url], если переименование не поможет

Чтобы запустить HiJackThis поступите ним также как советовал [b]rubin[/b].
Установленный на компьютере DrWeb устарел, скачайте новую версию 4.44 с сайта [url]http://download.drweb.com/win[/url] и установите.
Без логов помочь трудно.

После переименования удалось запустить AVZ и выполнить скрипты. HiJackThis не запускается вообще, CureIt запустилась, нашла 5 зараженных файлов и вывалилась с ошибкой, повторный запуск, к сожалению, перезаписал лог, но один вирус остался
bot.dll - Trojan.Spambot.2552

Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('xartcd5.dll','');
QuarantineFile('wowfx.dll','');
QuarantineFile('C:\WINDOWS\system32\MRT.exe','');
QuarantineFile('C:\WINDOWS\murka.dat','');
QuarantineFile('C:\WINDOWS\medichi2.exe','');
QuarantineFile('C:\WINDOWS\medichi.exe','');
QuarantineFile('C:\WINDOWS\taskmon.exe','');
QuarantineFile('C:\WINDOWS\system32\alt.exe.exe','');
QuarantineFile('C:\WINDOWS\System32\vbsys2.dll','');
QuarantineFile('C:\WINDOWS\system32\taskmon.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Lsy28.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Xap24.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\bot.dll');
DeleteFile('C:\WINDOWS\medichi.exe');
DeleteFile('C:\WINDOWS\medichi2.exe');
DeleteFile('C:\WINDOWS\murka.dat');
DeleteFile('C:\WINDOWS\system32\taskmon.sys');
DeleteFile('C:\WINDOWS\System32\vbsys2.dll');
DeleteFile('C:\WINDOWS\system32\alt.exe.exe');
DeleteFile('C:\WINDOWS\taskmon.exe');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
BC_QrFile('C:\WINDOWS\system32\Drivers\Xap24.sys');
BC_QrFile('C:\WINDOWS\System32\Drivers\Lsy28.sys');
BC_QrFile('C:\WINDOWS\system32\taskmon.sys');
BC_DeleteFile('C:\WINDOWS\murka.dat');
BC_DeleteFile('C:\WINDOWS\taskmon.exe');
BC_DeleteFile('C:\WINDOWS\system32\alt.exe.exe');
BC_DeleteFile('C:\WINDOWS\medichi.exe');
BC_DeleteFile('C:\WINDOWS\medichi2.exe');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
BC_DeleteFile('C:\WINDOWS\system32\taskmon.sys');
BC_DeleteSvc('Beep');
BC_DeleteSvc('taskmon.sys');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Карантин пришлите, логи повторите

Новые логи.

CureIt нашла только %system%\users32.dat - trojan.click.5043 и все. Сам лог весит 1Mb в архиве.

После выполнения предыдущих скриптов и повторного лечения, вновь появились файлы murka.dat, medichi.exe и medichi2.exe. Появились признаки заражения (блокировка свойств системы, реестра). Удалил файлы, вместо них создал пустые файлы с такими же именами. После перезагрузки признаков заражения нет.

Возможно проблема была в файле beep.sys размер 37888 Kb вместо 4224 Kb.

Переименовал файл на beep.sys1 и после перезагрузки появился нормальный beep.sys

Пароль на beep.rar: virus

Карантин нужно загружать согласно правил, для вас - [url]http://virusinfo.info/upload_virus.php?tid=16221[/url]

прислал

Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('Xap24');
BC_DeleteSvc('Lsy28');
BC_DeleteSvc('asc3550p');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новые логи в нормальном режиме.

[QUOTE=tonich;172501]прислал[/QUOTE]

Если не трудно, зашлите по тому адресу весь карантин.

Скрипт выполнил, логи в приложении.

Вроде система работает стабильно.

В логах чисто.

Из этого что-нибудь нужно? -
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]
Лишнее отключим.

Спасибо за помощь.

Весь карантин заливаю (к сожалению слишком маленькая скорость upload).

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\beep.sys1 - [B]Trojan.Win32.Obfuscated.mp[/B] (DrWEB: Trojan.NtRootKit.612)[*] c:\\windows\\medichi.exe - [B]Hoax.Win32.Renos.aom[/B] (DrWEB: Trojan.Click.13693)[*] c:\\windows\\medichi2.exe - [B]not-a-virus:AdWare.Win32.Agent.aag[/B] (DrWEB: Trojan.Click.13693)[*] c:\\windows\\system32\\drivers\\beep.sys - [B]Trojan.Win32.Obfuscated.mp[/B] (DrWEB: Trojan.NtRootKit.612)[*] c:\\windows\\system32\\drivers\\xap24.sys - [B]Rootkit.Win32.Agent.sc[/B] (DrWEB: Trojan.NtRootKit.660)[*] c:\\windows\\taskmon.exe - [B]Email-Worm.Win32.Zhelatin.ps[/B] (DrWEB: Trojan.Click.13693)[/LIST][/LIST]