закрытие процессов, cssrss.exe

Printable View

11.10.2008, 19:24
RWC

Вложений: 3

закрытие процессов, cssrss.exe

Здравствуйте, прошу помочь. Выскочило окно с ошибкой cssrss.exe
После перезагрузки, начали закрываться все процессы, все программы с автозагрузки запускались и сразу же закрывались,даже сканер Dr.Web, сделал восстановление системы, вроде теперь все нормально, но вирус, скорее всего еще остался, прошу помочь.
Заранее спасибо.
11.10.2008, 19:59
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\XPVCOM.sys','');
QuarantineFile('C:\Program Files\CursorXP\CursorXP.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\csdlocalmon.dll','');
QuarantineFile('C:\WINDOWS\system32\nso12k.sys','');
QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
DeleteFile('C:\WINDOWS\system32\cssrss.exe');
DeleteFile('C:\WINDOWS\system32\nso12k.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
11.10.2008, 21:05
RWC

Вложений: 3

[CODE]
QuarantineFile('C:\Program Files\CursorXP\CursorXP.exe'
[/CODE]

в этой программе я уверен, меняет стандартный курсор.

Все сделал.Карантин прислал.Логи ниже.
12.10.2008, 18:21
V_Bond

в логах ничего плохого ...
12.10.2008, 18:24
RWC

понятно, спасибо.
13.10.2008, 11:04
PavelA

cssrss.exe_ - Trojan-Downloader.Win32.Agent.ajjj

свежие:
nso12k.sys - Trojan-Downloader.Win32.Agent.dbt,
ntos.exe_ - Trojan-Spy.Win32.Zbot.fiq

Все удалено, но пароли надо менять.
15.10.2008, 13:55
RWC

[COLOR=black][FONT=Verdana][quote=PavelA;296352]cssrss.exe_ - Trojan-Downloader.Win32.Agent.ajjj[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]свежие[/FONT][/COLOR][COLOR=black][FONT=Verdana]:[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]nso12k.sys - Trojan-Downloader.Win32.Agent.dbt, [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]ntos.exe_ - Trojan-Spy.Win32.Zbot.fiq[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Все удалено, но пароли надо менять.[/quote][/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]По-моему удалено не все...[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Постоянно чета отправляется(исходящий трафик) хотя никакие программы не запушены.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Еще заметил вот какую проблему.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]В диспетчере задач, во вкладке процессы, почему-то пропали надписи в столбце "Имя пользователя", притом у всех процессов ваще, все пусто. [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]только один процесс с Именем "бездействие системы"-SYSTEM и все... думаю тут что то не ладно.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Еще после загрузки винды, вечно выскакивает напоминание о неиспользованных ярлыках на раб. столе, притом что всегда одни и те же ярлыки показаны, даже ярлык мой компьютер предлагается удалить, хотя это самый частый наверно ярлык который я использую с рабочего стола.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]повторить логи?[/FONT][/COLOR]
15.10.2008, 13:56
Гриша

Повторите...
15.10.2008, 15:01
RWC

Вложений: 3

повторил логи, avz ругался вроде только на RootKit

[CODE]
wuauclt.exe
msauc.exe
csrss.exe
[/CODE]
вот эти процессы думаю под подозрением.

wuauclt.exe-этот процесс виден в диспечере задачь только при свеже запушенной винде, потом он исчезает из диспечера задач.

msauc.exe- у этого процесса частенько ошибка ( при активности в сети), и он закрываеться автоматически

csrss.exe-насчет этого я незнаю. вы упоминали похожий процесс.
15.10.2008, 15:07
V_Bond

wuauclt.exe - отвечает за обновление системы , пока не будете реглярно обновляться , то каждый
новый день новые тараканы....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('msansspc.dll','');
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\msauc.exe','');
DeleteFile('C:\WINDOWS\msauc.exe');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('msansspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
15.10.2008, 16:02
RWC

Вложений: 3

[QUOTE]В диспетчере задач, во вкладке процессы, почему-то пропали надписи в столбце "Имя пользователя", притом у всех процессов ваще, все пусто. [/QUOTE]
ура, теперь пишет какой процесс от какого имени запушен.

avz писал !!! Внимание !!! Восстановлено 7 функций KiST в ходе работы антируткита

Карантин прислал.Логи ниже.

Исходяший трафик всеравно гонится =( (исходяший монитор у часов на панели моргает, с интервал гдето 1-2 сек)
15.10.2008, 16:18
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\ZADZBKAI.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\snrnqwst.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\snrnqwst.sys');
DeleteFile('C:\WINDOWS\ZADZBKAI.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
15.10.2008, 17:23
RWC

Вложений: 3

[quote=V_Bond;297271]выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\ZADZBKAI.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\snrnqwst.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\snrnqwst.sys');
DeleteFile('C:\WINDOWS\ZADZBKAI.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи[/quote]

Выполнил, вроде щяс все тихо, исходяший трафик не утекает.
Большое Спасибо.

карантин прислал.логи ниже.
15.10.2008, 19:39
V_Bond

пока чисто
15.10.2008, 19:46
RWC

[quote=V_Bond;297375]пока чисто[/quote]
ага, спасибо
22.02.2009, 08:33
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\msauc.exe - [B]Trojan.Win32.Agent.agwp[/B] (DrWEB: Trojan.PWS.ICQSniff.25)[*] c:\\windows\\system32\\cssrss.exe - [B]Trojan-Downloader.Win32.Agent.ajjj[/B] (DrWEB: BackDoor.Nunaks)[*] c:\\windows\\system32\\drivers\\snrnqwst.sys - [B]Trojan.Win32.Delf.fhh[/B] (DrWEB: Trojan.Sentinel.based)[*] c:\\windows\\system32\\nso12k.sys - [B]Trojan-Downloader.Win32.Agent.dbt[/B] (DrWEB: Trojan.NtRootKit.779)[*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.fiq[/B] (DrWEB: Trojan.PWS.Panda.17)[*] c:\\windows\\system32\\twext.exe - [B]Trojan-Spy.Win32.Zbot.fjz[/B] (DrWEB: Trojan.PWS.Panda.28)[/LIST][/LIST]