Много вирусов - система работает медленно [Virus.Win32.Neshta.a ]

Здравствуйте.
После того как я на время отключил Антивирус Касперского получил много ошибок в системе после очень медленной пере загрузки, файлы *.EXE не запускаются вообще. Система жутко тормозит и вот почти везде получаю вот такое сообщение - скриншот прилагаю.
[ATTACH=CONFIG]609901[/ATTACH]
А также когда файл EXE попробовать запустить второй раз получаю уведомление что файл не является ни 32 ни 64 бит.
Потому даю лог только только первой обработки.
Также есть мини карантин.

Буду вам очень благодарен за вашу помощь !

Уважаемый(ая) [B]biznesoft[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

1) - выполните такой скрипт в AVZ
[code]
begin
TerminateProcessByName('c:\users\asus\appdata\local\temp\3582-490\atkosd2.exe');
TerminateProcessByName('c:\windows\temp\3582-490\servic~1.exe');
TerminateProcessByName('c:\users\asus\appdata\local\temp\3582-490\usbcha~1.exe');
TerminateProcessByName('c:\users\asus\appdata\local\temp\3582-490\wcourier.exe');
QuarantineFile('c:\users\asus\appdata\local\temp\3582-490\atkosd2.exe', '');
QuarantineFile('c:\windows\temp\3582-490\servic~1.exe', '');
QuarantineFile('c:\users\asus\appdata\local\temp\3582-490\usbcha~1.exe', '');
QuarantineFile('c:\users\asus\appdata\local\temp\3582-490\wcourier.exe', '');
QuarantineFile('C:\Users\Asus\AppData\Local\Temp\3582-490\msohevi.dll', '');
QuarantineFile('C:\Users\Asus\AppData\Local\Temp\Rar$EXa0.420\vcredist_x86.exe', '');
QuarantineFile('C:\Users\Asus\AppData\Local\Temp\Rar$EXa0.420', '');
QuarantineFile('C:\Windows\svchost.com', '');
QuarantineFile('c:\users\asus\appdata\local\temp\3582-490\wcourier.exe','');
QuarantineFile('c:\users\asus\appdata\local\temp\3582-490\usbcha~1.exe','');
QuarantineFile('c:\windows\temp\3582-490\servic~1.exe','');
QuarantineFile('c:\program files (x86)\nvidia corporation\update core\nvbackend.exe','');
QuarantineFile('C:\Program Files\ZTE Wireless Terminal\bin\MonServiceUDisk.exe','');
QuarantineFile('c:\progra~2\mozill~1\firefox.exe','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

[/code]

2) - Файл [b][color=Red]quarantine.zip[/color][/b] из папки AVZ загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.


3) пролечитесь как указано в этой теме: [url=http://virusinfo.info/showthread.php?t=15927]Как лечить файловый вирус?[/url], потом сделайте новые логи.

Файл карантина загружен !!!
[TABLE]
[TR]
[TD]Файл сохранён как[/TD]
[TD]160106_230404_quarantine_568d652410eec.zip[/TD]
[/TR]
[TR]
[TD]Размер файла[/TD]
[TD]1817023[/TD]
[/TR]
[/TABLE]

Запустил проверку как указано выше ! Когда закончу проверку напишу сюда - [B]какие следующие мои действия будут ? какой лог нужно Вам ?[/B]

[COLOR="#FF0000"]virusinfo_autoquarantine.zip[/COLOR] из папки AVZ загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.


+ вторую часть предыдущего поста выполните.

Файл отправлен.
Результат загрузки
Файл сохранён как 160107_022515_virusinfo_autoquarantine_568d944b55322.zip
Размер файла 24556
MD5 2b3a047b1398fe0577d1779c43083ade

Делаю полную проверку найдено много вирусов Nechta.a
Не понятно firefox.exe что за вирус ибо его не видит Курент но приложение не рабочее.

[COLOR=silver]- - - - -Добавлено - - - - -[/COLOR]
Сделал вторую часть файл загружен постом выше ! [url]http://virusinfo.info/showthread.php?t=195404&p=1347721&viewfull=1#post1347721[/url]

Что делать дальше мне ?
Также найден вирус
Trojan.Starter.5042 в файле - C:\Windows\svhost.com

Нашел в папке а также на автозагрузке вот такой файл В папке C:\Users\Asus\AppData\Local\Temp
{07BA6E05-3F21-49AF-8FB1-08D8EC51CB9C}.com
Содержание файла...
[PHP]eho off

@echo "KVRT cleanup script"
@echo "Cleanup started..."

rmdir /s /q "C:\Users\Asus\AppData\Local\Temp\{077C451B-C8AC-47EE-97FB-98ECD7EF4CBF}"

@echo "Cleanup completed."

del /f /q %0[/PHP]

[B]Жду ваших указаний.[/B]

[quote="biznesoft;1347750"]Делаю полную проверку найдено много вирусов Nechta.a
Не понятно firefox.exe что за вирус ибо его не видит Курент но приложение не рабочее.[/quote]
вы проверяете из под своей же системы? Тогда напрасно тратите время. Проверять надо неактивную систему, по ссылке это написано.
Проверяйте с Live CD или Live USB.

Я проверял компьютер в безопасном режиме (больше 1000 файлов излечено а некие в карантин помещено). Теперь проверяю на уже запущенном ПК.
Еще не работает автозагрузка а именно Касперский не запускается сам, в ручную пока не запускал.

EXE файл начал запускаться, закончу проверку и прикреплю сюда все логи от AVZ.

[quote="biznesoft;1347791"]Я проверял компьютер в безопасном режиме (больше 1000 файлов излечено а некие в карантин помещено). Теперь проверяю на уже запущенном ПК.[/quote]
опять в пустую тратите время. Проверять надо неактивную систему.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Тем более что проверяете вы скорее всего уже заражённой утилитой ;). Так что ещё и систему можете окончательно убить.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

CureIt вы наверняка качали тоже на этой системе? А как следствие он скорее всего заразился нештой ещё до того как вы его запустили (то есть сразу во время скачивания), поэтому и не имеет смысл лечения из под активной системы.

[QUOTE=regist;1347794]опять в пустую тратите время. Проверять надо неактивную систему.
CureIt вы наверняка качали тоже на этой системе? А как следствие он скорее всего заразился нештой ещё до того как вы его запустили (то есть сразу во время скачивания), поэтому и не имеет смысл лечения из под активной системы.

А как следствие он скорее всего заразился нештой ещё до того как вы его запустили (то есть сразу во время скачивания), поэтому и не имеет смысл лечения из под активной системы. [/QUOTE] [U]Я запустил файл Curent после того как из Live CD восстановил ассоциацию EXE файлов в системе.[/U]
Я скачал приложение на рабочем ПК записал его на CD и только тогда проверял - после чистки прошелся KRT от касперского.
Потом с CD на активной системе еще раз все проверил вирусов не обнаружено, но служба касперского не запускается [B]ошибка 193: 0xc1 [/B]если просто запустить руками файл [B]avp.exe[/B] то пишет что он не является win32 а вот файл [B]avpui.exe[/B] запускается но сразу закрывается.

Просьба проверить логи и дать указания что делать дальше.

1) Касперского переустановите (возможно и другие программы придётся переустановить). Потом обновите его базы и выполните полную проверку системы и флешек.

2) [LIST=1][*]Вставьте диск, с которого устанавливали Windows (либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.[*][LIST][*]Если у вас windows Vista или windows 7 откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".[*]Если у вас windows XP откройте меню Пуск (Start) -> Выполнить (Run)[/LIST]
[*]Введите sfc /scannow и нажмите Энтер.[*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.[*]После того как закончится проверка в командной строке введите команду:
[CODE]findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log>%SYSTEMDRIVE%\sfcdetails.txt[/CODE][*]После выполнения вышеописанных операций в корне системного диска (тот диск,на котором установлена операционная система-как правило диск С) найдите файл sfcdetails.txt, прикрепите его к следующему сообщению.[/LIST]

3) Логи сделаны версией 4.41. Скачайте [URL="http://z-oleg.com/avz4.zip"]актуальную версию AVZ: 4.45[/URL], обновите базы и переделайте логи.

Пункт №1 исполнил. Пункт №2 не могу найти похожий диск (тот что раньше у меня был не могу найти также) ([Virus.Win32.Neshta.a ] на сколько я здесь прочитал на форуме не трогает каталог с системой - потому совет сохраню если будет не стабильность в работе Win 7 x64). Уже пишу из системы что была под угрозой - запустил проверку Касперским антивирусом.
Вам спасибо за быстрые ответы и поддержку.
Когда сделаю пункт №3 напишу сюда чтоб быть уверенным что ничего не осталось в системе. :)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сделал все три лога в новой версии!
Пожалуйста посмотрите что к чему.
Есть файл в папке офиса что его Касперский определяет как вирус 07.01.2016 23.25.14;Обнаруженный объект (файл) удален.;C:\Program Files (x86)\Microsoft Office\Office14\MSQRY32.EXE;C:\Program Files (x86)\Microsoft Office\Office14\MSQRY32.EXE;UDS:DangerousObject.Multi.Generic;Неизвестная угроза;01/07/2016 23:25:14
А на самом деле то Nechta и ее надо лечить научить его !

[quote="biznesoft;1347847"]Касперский определяет как вирус 07.01.2016 23.25.14;Обнаруженный объект (файл) удален.;C:\Program Files (x86)\Microsoft Office\Office14\MSQRY32.EXE;C:\Program Files (x86)\Microsoft Office\Office14\MSQRY32.EXE;UDSangerousObject.Multi.Generic;Неизвестная угроза;01/07/2016 23:25:14
А на самом деле то Nechta и ее надо лечить научить его ![/quote]
временно восстановите его из карантина, заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[URL='http://rghost.ru/private/8qWxtkM2q/5c22d0cc90b92e1a6010b4d5aeabb07a']сделайте лог HiJackThis 2.0.6 Alfa 1.5[/URL]

Файл сохранён как 160108_143610_MSQRY32_568f911a93f09.zip
Размер файла 403472
MD5 c7b71929122c3e563449faf0096d1f5e

Лог файл прилагаю.

Немного мусор почистим

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]O2 - BHO: (no name) - {8D10F6C4-0E01-4BD4-8601-11AC1FDF8126} - (no file)
O9 - Extra button: (no name) - {7815BE26-237D-41A8-A98F-F7BD75F71086} - (no file)
O22 - ScheduledTask: (Ready) Adobe Flash Player Updater - {root} - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (no file)
O22 - ScheduledTask: (Ready) GoogleUpdateTaskMachineCore - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /c (no file)
O22 - ScheduledTask: (Ready) GoogleUpdateTaskMachineUA - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (no file)[/CODE]

И на этом всё.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

[QUOTE=regist;1348066]Немного мусор почистим

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]O2 - BHO: (no name) - {8D10F6C4-0E01-4BD4-8601-11AC1FDF8126} - (no file)
O9 - Extra button: (no name) - {7815BE26-237D-41A8-A98F-F7BD75F71086} - (no file)
O22 - ScheduledTask: (Ready) Adobe Flash Player Updater - {root} - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (no file)
O22 - ScheduledTask: (Ready) GoogleUpdateTaskMachineCore - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /c (no file)
O22 - ScheduledTask: (Ready) GoogleUpdateTaskMachineUA - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (no file)[/CODE]

[/QUOTE]Пофиксил систему как указано Вами - удалил BHO.
После исполнения скрипта получил Обнаружено уязвимостей: 2
- Установите новый Internet Explorer
- Установить SP2 для Office 2010

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\svchost.com - [B]Virus.Win32.Neshta.a[/B] ( BitDefender: Win32.Neshta.A, AVAST4: Win32:Crypt-SKC [Trj] )[/LIST][/LIST]