csrss*32.exe на windows server 2008. Нужна помощь

Система windows server 2008 r2 enterprise 64bit.
В диспетчере задач появляется процесс csrss*32.exe и нагружает процессор на 75%. Опытным путем была вычеслена папка C:\Windows\System из который данный процесс запускался (в этой папке было несколько папок и файлов с названием csrss). После удаления (из под системы) данной папки - через некоторое время данный процесс и папка появляются вновь. Было замечено, что появлению папки и процесса предшествует появление еще 2-х аналогичных процессов csrss*32.exe, но не грузящих процессор, данные процессы запускались из папки C:\Windows\SysWOW64\ets с содержанием файла csrss. Также в профиле "администратор" C:\Users\Администратор\AppData\Local обнаружил папку csrss с файлом minergate с содержанием:
[2015-03-19 14:03:57.246] [ info] Pool parameters query...
[2015-03-19 14:03:57.523] [ info] Loading miners...
[2015-03-19 14:03:57.528] [ info] Miners loaded successfully

После удаления всех вышеперечисленных папок данный процесс не появляется и не грузит систему от 1 до 2-х дней, как в данный момент, но потом все повторяется заново.
Провел сканирование как в инструкции
Версия системы 64-батная, поэтому вложил всего 2 файла

Уважаемый(ая) [B]Dark910[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ:

[CODE]
begin
QuarantineFile('C:\Windows\PreInstall\uddisrw.exe','');
DeleteFile('C:\Users\Admin\WINDOWS\Tasks\Digital Sites.job','64');
DeleteFile('C:\Windows\PreInstall\uddisrw.exe','32');
ExecuteSysClean;
ExecuteRepair(9);
end.
[/CODE]

Компьютер перезагрузите вручную.

После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы


Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

как и ожидалось вирус вновь в процессах....

отправляю требуемые отчеты, а также скрины активности вируса

Вопрос - в связи с активностью вируса необходимо переделать процедуры с AVZ и HiJackThis описанные в правилах?

Есть еще вопрос - что делать с остальными компьютерам в сети? их всего 9.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Был ли принят мой загруженный карантин?

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
(Microsoft Corporation) C:\Windows\SysWOW64\etc\csrss.exe
() C:\Windows\System\taskhostex.exe
(Microsoft Corporation) C:\Windows\SysWOW64\etc\csrss.exe
() C:\Windows\System\csrss.exe
HKLM-x32\...\Run: [] => [X]
R2 AmmyyAdmin; C:\Windows\SysWOW64\etc\csrss.exe [747800 2014-07-10] (Microsoft Corporation) [File not signed]
R2 ArtSystem; C:\Windows\System\taskhostex.exe [262656 2014-09-09] () [File not signed]
2015-01-12 12:39 - 2015-01-12 12:39 - 00000000 __SHD () C:\Users\Администратор\AppData\Local\EmieUserList
2015-01-12 12:39 - 2015-01-12 12:39 - 00000000 __SHD () C:\Users\Администратор\AppData\Local\EmieSiteList
Task: {DED7AB4D-14CA-46C4-BCA2-45B6513D17E6} - \Digital Sites No Task File <==== ATTENTION
Task: C:\Windows\Tasks\Digital Sites.job => C:\Users\Admin\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
C:\Windows\SysWOW64\etc\csrss.exe
C:\Windows\System\csrss.exe
C:\Windows\System\taskhostex.exe
Folder: C:\Windows\SysWOW64\etc
Folder: C:\Windows\System
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![/list]

Перезагрузите сервер вручную. Сделайте новые логи Farbar.

готово.

Удалите вручную:

[QUOTE]
C:\Windows\SysWOW64\etc - папка
C:\Windows\System\libeay32.dll
C:\Windows\System\ssleay32.dll
[/QUOTE]

Что с проблемой?

Проблема ушла, вроде как, надо подождать.
А что делать с утилитами можно удалить?
Как защитится впредь?
Что делать с остальными машинами?
Везде стоит nod eset 4.

[QUOTE]А что делать с утилитами можно удалить?[/QUOTE]
Да.

[QUOTE]Что делать с остальными машинами?[/QUOTE]
Можете для каждого компьютера создать отдельную тему с логами.

Я там на трех машинах все отформатировал и заново установил систему, там наверно не надо?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И что это за вирус? Распространенный? Просто и касперский лицензионный и нод - ни кто ни чего не обнаружил, странно...

[QUOTE]Я там на трех машинах все отформатировал и заново установил систему, там наверно не надо?[/QUOTE]
Тогда не нужно.

[QUOTE]И что это за вирус? Распространенный?[/QUOTE]
Bitcoin Miner.

Не прошло и дня и вновь все тоже самое...
Опять повис в процессах,

Я остановил дерево процессов csrss*32.exe, удалил папку ets, очистил папку system.

ПОМОГИТЕ!!!, Что теперь делать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Как можно проверить определенную программу, может она является источником заражения?

[QUOTE]Как можно проверить определенную программу, может она является источником заражения?[/QUOTE]
Загрузите по красной ссылке вверху темы в zip архиве с паролем [B]virus[/B]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]