Запуск нескольких процессов svchost от имени пользователя

Здравствуйте.

На машине стоит Windows XP SP3, ПК в домене. После запуска и входа пользователя, приблизительно через 3-5 минут происходит последовательно запуск нескольких процессов svchost от имени пользователя. Машину завешивает.

Произвел проверку ПК с помощью DRWEB CureIT, malwarebytes anti-malware. Вручную вычистил несколько программ типа Kingsoft, удалил следы всех браузеров из Application Data, вычистил все временные папки и кэш браузера. Проблема сохранилась.

Выполнил рекомендации файлы прикладываю.

Заранее благодарен, Сергей

Уважаемый(ая) [B]barmaley78[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Переделайте логи через учётную запись с правами администратора.

Здравствуйте.

Переделал, файлы во вложении.

Небольшое уточнение:
Под учеткой пользователя стал запускаться только 1 процесс.
Зашел под учеткой админа. Выполнил скрипт № 3 по инструкции, перезагрузился. Подключил Инет. Запустил скрипт № 2. Обещанное время выполнения было около полутора часов. Ушел. Когда вернулся в учетке админа появился IE с иероглифами, программы с ними же, порядка 8-10 процессов. HiJackThis запускал при них в его логе есть ссылки на реестр IE с переходом на сайт (цифры начиная с 5).com

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxescore.exe', '32');
DeleteFile('C:\Program Files\Common Files\AppDownloads\{4B07EF8D-3856-4B83-8D82-D68EE6BDBA56}.exe', '32');
DeleteFile('C:\Program Files\gmsd_ru_177\gmsd_ru_177.exe', '32');
DeleteFile('C:\Documents and Settings\Библиотекарь\Local Settings\Application Data\Kometa\kometaup.exe', '32');
DeleteFile('C:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe', '32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxetray.exe', '32');
DeleteFile('C:\Documents and Settings\Библиотекарь\Local Settings\Application Data\SmartWeb\SmartWebHelper.exe', '32');
DeleteFile('C:\Documents and Settings\Библиотекарь\Local Settings\Application Data\gmsd_ru_177\upgmsd_ru_177.exe', '32');
DeleteFile('c:\program files\kingsoft\kingsoft', '32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kavmenu.dll', '32');
DeleteService('kxescore');
DeleteFileMask('c:\program files\kingsoft', '*', true);
DeleteFileMask('c:\program files\common files\appdownloads', '*', true);
DeleteFileMask('c:\program files\gmsd_ru_177', '*', true);
DeleteFileMask('c:\documents and settings\библиотекарь\local settings\application data\kometa', '*', true);
DeleteFileMask('c:\documents and settings\all users\application data\krb updater utility', '*', true);
DeleteFileMask('c:\documents and settings\библиотекарь\local settings\application data\smartweb', '*', true);
DeleteFileMask('c:\documents and settings\библиотекарь\local settings\application data\gmsd_ru_177', '*', true);
DeleteDirectory('c:\program files\kingsoft');
DeleteDirectory('c:\program files\common files\appdownloads');
DeleteDirectory('c:\program files\gmsd_ru_177');
DeleteDirectory('c:\documents and settings\библиотекарь\local settings\application data\kometa');
DeleteDirectory('c:\documents and settings\all users\application data\krb updater utility');
DeleteDirectory('c:\documents and settings\библиотекарь\local settings\application data\smartweb');
DeleteDirectory('c:\documents and settings\библиотекарь\local settings\application data\gmsd_ru_177');
DelCLSID('{D21D88E8-4123-48BA-B0B1-3FDBE4AE5FA4}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{D21D88E8-4123-48BA-B0B1-3FDBE4AE5FA4}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

[URL='http://rgho.st/6kNlyFG9W']сделайте лог HiJackThis 2.0.6 Alfa 1.23[/URL]

[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог Gmer[/URL].

Здравствуйте.

Скрипт выполнил.

Тесты сделал (логи в приложении).

Дополнение:

При запуске IE была стартовая страница [url]www.5180518.com[/url] - вычистил через редактор реестра (нашлась один раз).
Пользователя я "Прокачал" - пока меня не было обновила и проверила с помощью malwarebutes и убила kingsoft (может и еще чего попалось - мне не показали результат)

[url="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/url] в HijackThis:[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.5180518.com
O4 - MSConfig..HKLM: 2016/06/08 [AppDownloads] (file missing)
O4 - MSConfig..HKLM: 2016/06/08 [KRB Updater Utility] (file missing)
O4 - MSConfig..HKLM: 2016/06/08 [SmartWeb] (file missing)
O4 - MSConfig..HKLM: 2016/06/08 [gmsd_ru_177] (file missing)
O4 - MSConfig..HKLM: 2016/06/08 [kometaup] (file missing)
O4 - MSConfig..HKLM: 2016/06/08 [kxesc] (file missing)
O4 - MSConfig..HKLM: 2016/06/08 [upgmsd_ru_177.exe] (file missing)[/CODE]

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Лечение выполнил.

Скан выполнил файл прикладываю

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.87.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\109\BDCOMPROXY.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\109\BDDOWNLOADER.EXE
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLBJJFIIHGFEGNIOLCKPHPNFAOKDKBMDM%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
deltmp
delref %SystemDrive%\PROGRAM FILES\IGS\VCL.EXE
delref %SystemDrive%\PROGRAM FILES\VK DOWNLOADER\IEEF\US6KLUGEES.EXE
restart[/code]Компьютер перезагрузится.

Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите [URL="http://www.java.com/ru/download/"]Java 8 Update 91[/URL].

Лишнего нет в системе.
Посмотрите в [URL="https://technet.microsoft.com/ru-ru/sysinternals/processexplorer.aspx?f=255&MSPPError=-2147217396"]Process Explorer[/URL], что за службы соответствуют процессам svchost.exe от имени пользователя.

Спасибо за помощь.

Сейчас добавил контент фильтр. Остался один процесс, но он блокируется фильтром. Добью самостоятельно.

Посторонних процессов нет, разберитесь с помощью Process Explorer, что за служба относится к этому процессу.