Winlogon грузит диск на 100% в windows 2003

Здравствуйте, уважаемые специалисты!

Проблема в следующем, отбил атаку на сервак с windows 2003. Осталась проблема загрузки диска С на 100%, процесс эксплорер показывает что winlogon(Под учеткой SYSTEM) записывает файлы в temp под видом "временная папка X для...", где X - цифра от 1 до 18, при чем чем дольше длится процесс, тем выше цифра становится. Антивирус ничего не нашел, включая KVRT и AVZ. Скрин, лог AVZ и Hijackthis прикладываю. Прошу помогите пожалуйста!

Немного добавлю, только что обнаружил. Если убить процесс explorer.exe, то проблема прекращается. Но если удалить explorer.exe из папки windows, то он появляется снова!

Уважаемый(ая) [B]Tray[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Лог AVZ по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] предоставьте.

[QUOTE=Vvvyg;1382982]Лог AVZ по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] предоставьте.[/QUOTE]
Тысяча извинений - тему можно закрывать, создал другую админскую учетку, предыдущую учетку админа заблокировал. Всё вроде тьфу-тьфу.

Это Вы отложили проблему, а не решили.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

[QUOTE=Vvvyg;1383013]Это Вы отложили проблему, а не решили.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].[/QUOTE]

Результат полного образа автозапуска по инструкции.

Этим программам не место на сервере, удалите:

Advanced SystemCare 8
IObit Uninstaller
Mail.Ru Агент - установлен из под учёток Tray.SERV, Склад.SERV-1, СГП2, СГП.SERV-1
PC Connectivity Solution
Smart Defrag 4
Surfing Protection
Амиго, µTorrent - под учёткой Склад.SERV-1

Браузеры лля пользователей тоже должны быть запрещены - пусть в интернет ходят со своих компьютеров, а на сервере надо только в 1С работать. Иначе такого накачают и поназапускают...
Смените пароли на учётки с администраторскими правами, у кого они были не по делу - отобрать права администратора.
MS SQL сервер - также поменяйте пароли, проверьте, последний ли сервис-пак установлен. Взлом через дыры SQL-сервера - классика жанра.
Проверьте разрешающие правила системного бранмауэра или другого файрвола (если установлен), доступ извне ограничить только теми ip-адресами, или хотя бы подсетями, и теми портами, для которых это необходимо удалённым клиентам и для удалённого управления. Аналогичные действия - если доступ контролируется аппаратным роутером/файрволом.

Что там было под учёткой, которая отключена - не видно.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).