New Malware.j(Trojan) / New Poly Win32(Virus). Тормоза системы, загрузка процессора процессом svchost.exe

Здравствуйте,

Нахватался троянов и похоже есть вирус. Тормозит система.

Сегодня решил поставить свежий McAffe, который удалил кучу троянов. Два подозрительных файла/процесса обезвредить не смог:

------------
No Action Taken (Clean failed because the detection isn't cleanable) C:\WINDOWS\svchost.exe New Malware.j(Trojan)
No Action Taken (Clean failed because the detection isn't cleanable) C:\WINDOWS\system32\magent.exe\magent.exe New Poly Win32(Virus)
Delete failed (Clean failed because the detection isn't cleanable) c:\WINDOWS\svchost.exe New Malware.j(Trojan)
Delete failed (Clean failed because the detection isn't cleanable) c:\WINDOWS\system32\magent.exe\magent.exe New Poly Win32(Virus)
------------


McAfee Scan Summary:
-----------------------
Processes scanned : 69
Processes detected : 2
Processes cleaned : 0
Boot sectors scanned : 1
Boot sectors detected: 0
Boot sectors cleaned : 0
Files scanned : 122913
Files with detections: 18
File detections : 31
Files cleaned : 0
Files deleted : 16
Files not scanned : 69
Run time : 2:24:08
Full Scan
=========================


С этими симптомами и обращаюсь за помощь. Все инструкции выполнил уже после скана. McAfee на время скана AVZ и HijackThis остановил все проверки, но не смог выгрузить полностью из памяти.

Кроме файлов требуемых инструкцией могу прислать полный лог скана McAfee, если нужно.

Заренее спасибо,
Андрей.

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('iAimTV2');
DeleteService('runtime2');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\wATV03nt.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('AUHook.dll','');
QuarantineFile('C:\WINDOWS\system32\magent.exe','');
QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\System32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\magent.exe');
DeleteFile('AUHook.dll');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\wATV03nt.sys');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(6);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки ПК закачайте карантин по красной ссылке вверху темы и повторите 3 лога.

Скрипт выполнил. Карантин отправил. Однако судя по скрипту, там должны были быть другие файлы. Не знаю почему в какрантине другие файлы.

Запустил генерацию 3-х логов. скоро будут.

Что делать с карантином?

[QUOTE=TkachukA;233272]Не знаю почему в какрантине другие файлы.[/QUOTE]если Вы имеете ввиду *.dta и *.ini -файлы, то так и должно быть
[QUOTE=TkachukA;233272]Что делать с карантином?[/QUOTE]
Дубль 2: закачайте карантин по красной ссылке вверху темы :)

Нет я имею ввиду не dat, ini. Я понимаю, что они переименованы. Я имею ввиду, что в карантин попали другие файлы (iertutil.dll и svchost.exe) а не те, которые в скрипте (wATV03nt.sys, runtime2.sys и т.д.)

Как и написал, карантин отправил согласно инструкции. Скоро будут готовы логи.

логи.

[QUOTE=TkachukA;233288]Я имею ввиду, что в карантин попали другие файлы (iertutil.dll и svchost.exe) а не те, которые в скрипте (wATV03nt.sys, runtime2.sys и т.д.)[/QUOTE]
Например svchost.exe в скрипте записан :), iertutil.dll попал, как подозительный, я его не убивал и не карантинил.
Сейчас по крайней мере логи ничего не показывают. Как работает ПК?
Забыл одну мелочь:
Пофиксите для порядка
[CODE]O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - (no file)[/CODE]

Запустил скан McAfee. Пока никаких проблем! Еще час сканироваться. После этого понаблюдаю за ПК и если что не так - отпишу.

Ах, нашей бы медицине побольше подобных спецов и энтузиастов.
Спасибо за то, что вы делаете! Это невозможно переоценить.

Андрей.

[size="1"][color="#666686"][B][I]Добавлено через 8 часов 24 минуты[/I][/B][/color][/size]

McAfee завершил скан и ничего не нашел.

Однако когда утром включил компьютер - опять загрузка проца 100%

Виновник вот этот сервис:

Background Intelligent Transfer Service
C:\WINDOWS\System32\svchost.exe -k netsvcs


ProcessExplorer показал активность вот этого Thread-а в 80-90% :

Thread:
wuaueng.dll!DllInstall+0x1c0d0

Когда я его убил - загрузка проца упала.

Загрузка проца подскакивает до 100% периодически из за этого сервиса. Что мне делать?

[QUOTE=TkachukA;233363]Thread:
wuaueng.dll!DllInstall+0x1c0d0 Что мне делать?[/QUOTE]Эта библиотека ответственна за поиск МС-обновлений: [url]http://support.microsoft.com/?scid=kb%3Bru%3B883821&x=15&y=9[/url]
Давно обновлялись? Скачайте по ссылке в моей подписи SP3 и установите. У многих, в т.ч. и у меня, были проблемы с [I]автоматической установкой[/I] этого пакета.
Перед установкой не забудьте отключить антивирус и файрволл!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\svchost.exe - [B]Trojan-Proxy.Win32.Daemonize.if[/B] (DrWEB: BackDoor.Salidol)[/LIST][/LIST]