Появляются странные файлы

[FONT=georgia]Здравствуйте! Несколько месяцев назад у меня начали появляться какие-то странные исполняемые файлы при открытии некоторых программ (включая игры).
Создаются они сразу же после открытия какой-либо программы в папке её запуска, после чего запускаются в фоне, в миг закрываются и в процессах больше не висят.
Название у них всегда содержит в себе имя открытой программы и ОБЯЗАТЕЛЬНО окончание "[B]Srv.exe[/B]", т.е. при открытии "[B]Program.exe[/B]" создаётся "[B]ProgramSrv.exe[/B]", также у них всегда одинаковый вес ([B]53 760[/B] байт) и совпадают хеш-суммы, исходя из чего можно понять, что они все одинаковые... Они имеют иконку плейлиста WMP, а в описании у них написано "[B]Windows Helper Service[/B]".
Сами себя они не удаляют, но удалить их возможно. Что очень важно, от открытия некоторых программ они появляются в больших количествах (около 70 шт.) с продолжающимися друг от друга именами ("[B]ProgramSrv.exe[/B]"[B], [/B]"[B][B]ProgramSrvSrv.exe[/B][/B]", "[B]ProgramSrvSrvSrv.exe[/B]"и т.д.), т.е. они даже после самозапуска иногда делают дубликаты.
При открытии некоторых программ или игр они никогда [FONT=georgia]не появляются [/FONT](например, от WinRAR, Firefox, Skype).

[FONT=georgia]Некоторые антивирусы из онлайн-сканера пишут, что это некий троян "[B]Win32/Ramnit.A[/B]".
Моя ОС - [B]Windows 7 SP1[/B] ([B]x64[/B] бит).

[FONT=georgia]Пожалуйста, помогите найти и уничтожить главаря этих гадов, порождающего их, ибо уже надоели... :([/FONT][/FONT]
[/FONT]

Уважаемый(ая) [B]Galareg[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[FONT=Georgia]Вот.[/FONT]

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[FONT=Georgia]Очистил всё, ПК перезагружен. Но, увы, это не помогло. Кстати, в автозагрузке у меня чисто, а в загрузке служб активны только "Службы Майкрософт". Может, вирус поселился в одной из них?..
Могу проверить его проявление в безопасном режиме.[/FONT]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[FONT=Georgia]Я прикрепил лог к сообщению выше. Что-нибудь ещё можно сделать?[/FONT]

Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.


Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

[FONT=georgia]Сделано. Вот [URL="http://virusinfo.info/virusdetector/report.php?md5=9A0461D7A73F212BBBD6EC12B1D04CEC"]результаты анализа[/URL].
[/FONT]

Пролечитесь так [url]http://support.kaspersky.ru/8093[/url] потом сделайте новые логи AVZ.

[FONT=Georgia]Пока качается образ, хочу уточнить некоторые детали. Про запись образа и загрузку с него мне всё понятно... но что дальше? После запуска эта утилита будет проверять/лечить те службы и процессы, которые заблокированы в обычном режиме загрузки Windows? И не может ли она её случайно запороть? Будет очень неприятно, если вдруг такое случится, т.к. бэкапов данных у меня никаких нет...[/FONT]

[QUOTE]Про запись образа и загрузку с него мне всё понятно... но что дальше?[/QUOTE]
Сначала пролечитесь с LiveCD от файлового вируса, а дальше видно будет.

Загрузился с этого LiveCD. Какую именно проверку нужно делать в моём случае? Изначально тут в антивирусе стоят две галочки - "Загрузочные секторы" и "Скрытые объекты запуска". И нужно ли проверять диск "C", на котором у меня стоит ОС?

Нужно сделать полную проверку всех жестких дисков.

У меня всего 2 логических диска - "C" и "D". Почти всё находится на "D": Там 850+ Гб данных, среди которых довольно много программ, потому проверка будет долгой. Пока что он шерстит только системный диск.
И в итоге Касперский явно выдаст мне сотни подозрений, обзывая вирусами всех и вся... Хотелось бы примерно узнать имя виновника. Я могу скинуть вам на проверку одного такого гада, если это может помочь с определением. Проверите?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[FONT=Georgia]Нашлось почти 1.5к подозреваемых, большинство из которых - HTML-страницы (с параметрами виджетов "Windows Sidebar" и т.п.) или же всяческие FAQ/Лицензии, но и DLL-плагины с программами присутствуют.
Вот названия: "[B]Trojan-Dropper.VBS.Agent.bp[/B]", "[B]Virus.Win32.Nimnul.a[/B]" и "[B]not-a-virus:HEUR:AdWare.Script.Generic[/B]". Отчёт не нужен?

Кстати, после проверок попробовал загрузиться в безопасном режиме и обнаружил, что даже в нём появляются эти "[B][Filename]Srv.exe[/B]"...[/FONT]

[QUOTE] Отчёт не нужен?[/QUOTE]
Я выше написал что нужно сделать после полной проверки всех дисков.

[FONT=Georgia]А я выше спросил, как мне определить виновника среди всех найденных Касперским файлов. Не могу же я просто удалить всех из списка.
Лог AVZ прикрепил.[/FONT]

Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

[URL="http://virusinfo.info/virusdetector/report.php?md5=0AF8443CD06F3254A66A173EEFE8EF82"]Результаты сканирования[/URL].

Не долечили вы файловый вирус Nimnul. Еще раз сканируйте все диски с LiveCD диска.

[FONT=Georgia]Это точно один из этих виноват - "[B]Virus.Win32.Nimnul.a[/B]"? При сканировании с LiveCD их много нашлось. Всех "Лечить", что ли?
Знать бы ещё, каким образом это лечение происходит...[/FONT]