Generic Host Process жрет трафик

Доброго времени суток.
Все началось с частых сообщений Аутпоста:
"Предотвращена попытка изменения файлов Outpost Security Suite Pro.";
"Приложение: Generic Host Process for Win32 Services, Путь: C:\WINDOWS\system32\svchost.exe"
"Приложение: cssrss.exe, Путь: C:\WINDOWS\system32\cssrss.exe"
Раздражало сильно, я сдуру и вырубил Аутпост. Все успокоилось, но скорость немного снизилась, а через несколько часов Инет совсем пропал, я сижу на GPRS от MTS раньше проблем таких не было. Оказалось деньги за трафик все и улетели. Посмотрите логи, плиз :(
Так никаких денег не напасяшся :O Я в шоке

Чтото с первого раза не получилось логи прицепить

-уберите из сообщения карантин zip-файл virusinfo_cure.zip
-выполните скрипт [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll')
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\OP_CACHE.IDX','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\OP_CACHE.ATR','');
QuarantineFile('WDICA.sys','');
DeleteFile('C:\WINDOWS\system32\WDICA.sys')
TerminateProcessByName('c:\windows\system32\cssrss.exe');
QuarantineFile('c:\windows\system32\cssrss.exe','');
BC_QrFile('C:\WINDOWS\system32\Drivers\Yks75.sys');
BC_QrFile('C:\WINDOWS\system32\Filt\ASWFilt.dll');
BC_DeleteFile('c:\windows\system32\cssrss.exe');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
...после перезагрузки файлы пришлите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=20628[/url]

[size="1"][color="#666686"][B][I]Добавлено через 22 минуты[/I][/B][/color][/size]

-и повторите логи

1. А как его убреш? Его там уже нет, а помню был :O

2. Скрипт не выполняется, кричит чтото про ошибку, может я что не так делаю? :?

-да, есть такое дело... поправил

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WLCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\OP_CACHE.IDX','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\OP_CACHE.ATR','');
QuarantineFile('WDICA.sys','');
TerminateProcessByName('c:\windows\system32\cssrss.exe');
QuarantineFile('c:\windows\system32\cssrss.exe','');
BC_QrFile('C:\WINDOWS\system32\Drivers\Yks75.sys');
BC_QrFile('C:\WINDOWS\system32\Filt\ASWFilt.dll');
BC_DeleteFile('c:\windows\system32\cssrss.exe');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

И снова ничего не получилось :(
Начинает выполняться, шустро так разные строчки в окошке пробигают, то красные, то черные, а потом - бац и все, висит, пишет [COLOR=red]Ошибка в работе антируткита [Range check error], шаг [11]
[/COLOR]

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:WLCtrl32.dll,Yks75.sys,правая кнопка мыши Force Delete.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Yks75\0000', 'CSConfigFlags', '1');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Yks75.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('C:\WINDOWS\system32\Filt\ASWFilt.dll ',' ');
QuarantineFile('c:\windows\system32\cssrss.exe','');
DeleteFile('c:\windows\system32\cssrss.exe');
DeleteFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys');
BC_DeleteSvc('Yks75 ');
DeleteFile('C:\WINDOWS\system32\Drivers\Yks75.sys');
DeleteFile('WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=20628[/url]

Повторите логи.

Спасиб. Счас попробую.
А я пока ждал следующего указания, запустил скрипт в Безопасном режиме, это не страшно? Может показать логи и карантин?

Нет ничего страшного, но логи надежнее делать после "махания" самурайским мечем.

[quote=akoK;208156]Нет ничего страшного, но логи надежнее делать после "махания" самурайским мечем.[/quote]
И мечь щербатый не помог (и никакой он не самурайский а скорее альфийский :) )
Стянул я 2,10 Метра этого IceSword122en, распаковал, запустил, нашол и удалил указанные WLCtrl32.dll,Yks75.sys
Запускаю скрипт, а все как и прежне, все постарому :(
Начинает выполняться, шустро строчкибигут и красные, и черные, а потом снова - бац и висит и пишет тоже самое: [COLOR=red]Ошибка в работе антируткита [Range check error], шаг [11][/COLOR]

Мечь очень хороший:),попробуйте без первой строчки после begin,посмотрим что получится.

[quote=Гриша;208160]Мечь очень хороший:),попробуйте без первой строчки после begin,посмотрим что получится.[/quote]Да, после удаления первой после begin строки, скрипт выполнился, комп перегрузился, но при новой загрузке снова выдал :O :
"Предотвращена попытка изменения файлов Outpost Security Suite Pro.";
"Приложение: Generic Host Process for Win32 Services, Путь: C:\WINDOWS\system32\svchost.exe"
Кароче, вот новые логи, а карантин счас отправлю

Все удалилось,в логах чисто.
Карантин пустой.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\[/CODE]

Огромное спасибо всему вашему проэкту! Нужное дело, товащи, делаете :)

Пофиксил # 20. Снес нафиг этот глючный Аутпост вместе с его дырявым антивиром. Поставил Norton Internet Security 2008. Надеюсь с его помощю не буду больше вам тут голову морочить :)

зря вы так ... фаерволл у аутпоста весьма и весьма не плох ... иногда его бдительность похожа на параною ... ;)

[quote=V_Bond;208205] ... иногда его бдительность похожа на параною ... ;)[/quote]-угу, такое [COLOR=red]'Ошибка в работе антируткита [Range check error], шаг [11]' [COLOR=Black]я уже и раньше видел, причем, именно на машинах[/COLOR][/COLOR] с файрволом от Agnitum (версии не помню, но не из ранних, уверен)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]0[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]