в начале работы svchost занимает 98% ЦП

Printable View

18.08.2008, 14:52
wolya

в начале работы svchost занимает 98% ЦП

в начале работы комп сильно тормозит.
в диспетчере задач во вкладке процессы есть процесс svhost.
в колонке ЦП все процессы по 0, а этот 99 или 98.
как его завершаешь, вроде начинает работать нормально.

так же нет иконы НОДа в трее.

прикрепляю логи:
hijackthis.log
virusinfo_syscheck.zip
virusinfo_syscure.zip
одним архивом.

надеюсь на Вашу помощь.
18.08.2008, 15:23
wise-wistful

Отключите Восстановление системы.

Скачайте [url=http://ifolder.ru/6210513]IceSword[/url].
Запустите программу.
Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы
[quote]c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe[/quote]

Нажмите по нему правой кнопкой мыши и выберите force delete.
На запрос потверждения ответьте "да".

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\winhelp32.exe');
QuarantineFile('C:\temp\quarantin\basellnm32.dll','');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('C:\WINDOWS\system32\basennx32.dll','');
QuarantineFile('c:\windows\system32\winhelp32.exe','');
DeleteFile('c:\windows\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
BC_ImportAll;
BC_DeleteSvc('VIDEO');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=28317[/url]

Повторите логи.
18.08.2008, 17:09
wolya

[QUOTE=wise-wistful;269451]
отключил восстановление,
скачал, запустил.
эти файлы удалились нормально:
*******
[CODE]
c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
[/CODE]
*******

[COLOR="Magenta"]а эти, не удаляются:[/COLOR]
[CODE]
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
[/CODE]
НАВЕРНО ВСЁТАКИ winhelp32.[COLOR="Magenta"]bkp[/COLOR]
[CODE]
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
[/CODE]

выполнил скрипт для AVZ, перезагрузился.
сразу выскочило окно что не может ассоциировать файл winhelp32.bkp ни с одним приложением.

прислал карантин по ссылке.

сейчас логи докину.
18.08.2008, 17:19
Rene-gad

[QUOTE=wolya;269512]
[COLOR="Magenta"]а эти, не удаляются:[/COLOR]
[CODE]
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
[/CODE][/QUOTE]И в icesword не удаляются?
18.08.2008, 18:02
wolya

[QUOTE=Rene-gad;269521]И в icesword не удаляются?[/QUOTE]
да в icesword нажимаю Force delete
и ничего не происходит.
со всеми тремя файлами:
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.[COLOR="Magenta"]bkp[/COLOR]

[QUOTE=wise-wistful;269451]
Повторите логи.[/QUOTE]
прикрепил.
19.08.2008, 10:28
V_Bond

авз -Мастер поиска и устранения проблем - выбрать все устранить...
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
если что -то останется пофиксите ...
[code]
O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] %SystemRoot%\system32\winhelp32.exe
O4 - HKUS\S-1-5-19\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-21-900830360-1402398058-2856507670-1124\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Kapitanov')
O4 - HKUS\S-1-5-21-900830360-1402398058-2856507670-1124\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Kapitanov')
O4 - HKUS\S-1-5-18\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - S-1-5-19 Startup: winhelp32.bkp (User 'LOCAL SERVICE')
O4 - S-1-5-19 User Startup: winhelp32.bkp (User 'LOCAL SERVICE')
O4 - S-1-5-20 Startup: winhelp32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 User Startup: winhelp32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-21-900830360-1402398058-2856507670-1124 Startup: winhelp32.bkp (User 'Kapitanov')
O4 - S-1-5-21-900830360-1402398058-2856507670-1124 User Startup: winhelp32.bkp (User 'Kapitanov')
O4 - S-1-5-18 User Startup: winhelp32.bkp (User 'SYSTEM')
O4 - .DEFAULT User Startup: winhelp32.bkp (User 'Default user')
O4 - Startup: winhelp32.bkp
O4 - User Startup: winhelp32.bkp
O4 - Global Startup: winhelp32.bkp
O20 - AppInit_DLLs: vmmreg32.dll
[/code]
повторите логи ....
19.08.2008, 11:44
wolya

выполнил все Ваши инструкции.
повторяю логи.
22.02.2009, 07:15
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\basennx32.dll - [B]Trojan.Win32.Agent.zkf[/B] (DrWEB: Trojan.Okuks.53)[/LIST][/LIST]