Проблема: много svchost, постоянно подгружается IEXPLORE.EXE, загружаются странные temp-овые процессы. а до этого еще и services.exe грузился. [Trojan.Win32.Agent2.pe ]

Printable View

18.01.2009, 17:59
April

Вложений: 3

Проблема: много svchost, постоянно подгружается IEXPLORE.EXE, загружаются странные temp-овые процессы. а до этого еще и services.exe грузился. [Trojan.Win32.Agent2.pe ]

Добрый день! Просьба помочь!

Началось с того, что Касперский начал говорить о повышенной сетевой активности файла svchost, и наличии вируса в services.exe.
Поскольку базы Касперского давно не обновлялись, его я снесла, поставила Dr WEb с последними обновлениями. Он проверил машину, говорил о вирусных temp процессах, лечил файлы, удалял, но в диспечере задач все равно очень много svchost, постоянно включается IEXPLORE.EXE, и по характерным щелчкам понятно, что он куда-то ходит. Проверяла машину в safe mode avptool, он удалял scvhost, temp файлы, но при перезагрузке все оставалось как и раньше. Теперь прошу посмотреть и сказать, что можно сделать, кроме как переустановить систему.
Спасибо.
Логи ниже
18.01.2009, 19:16
AndreyKa

[b]Отключите восстановление системы![/b] См. Приложение 1 Правил.
Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\BN2.tmp','');
QuarantineFile('C:\WINDOWS\TEMP\sgx4.tmp','');
BC_DeleteSvc('FCI');
BC_DeleteSvc('ati3hkxx');
QuarantineFile('C:\Program Files\Proling\Rt32_pm.dll','');
QuarantineFile('C:\Temp\ie4F9.tmp','');
QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('ptrltuss32.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati3hkxx.sys','');
QuarantineFile('C:\WINDOWS\system32\ptrltuss32.dll','');
DeleteFile('ptrltuss32.dll');
DeleteFile('C:\Temp\ie4F9.tmp');
DeleteFile('C:\WINDOWS\system32\Drivers\ati3hkxx.sys');
DeleteFile('C:\WINDOWS\system32\ptrltuss32.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

Установите Adobe Acrobat Reader 9.0 или удалите старый.
19.01.2009, 21:16
April

Вложений: 1

Спасибо! Только теперь появились новые темповые файлы. Да Вы, наверное, и сами увидите. Логи ниже. Надеюсь, что я прислала правильный карантин )
20.01.2009, 04:45
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
BC_DeleteSvc('FCI');
BC_DeleteSvc('ati3hkxx');
DeleteService('FCI');
DeleteService('ati3hkxx');
QuarantineFile('C:\WINDOWS\System32\Drivers\ati3hkxx.sys','');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('c:\windows\temp\ksg5.tmp','');
QuarantineFile('c:\windows\temp\bn3.tmp','');
DeleteFile('c:\windows\temp\bn3.tmp');
DeleteFile('c:\windows\temp\ksg5.tmp');
SysCleanAddFile('ptrltuss.dll');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('C:\WINDOWS\System32\Drivers\ati3hkxx.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.
[b]Обновите базы AVZ[/b].
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
[B]Устанавливайте обновления на Windows.[/B]
20.01.2009, 21:49
April

Вложений: 1

Темповые процессы на удивление живучи. Высылаю логи.
20.01.2009, 22:40
AndreyKa

Установите AVZPM через меню в AVZ.

Скачайте [url=http://files6.majorgeeks.com/files/8e5231f0eadafd174b670e838e42d97d/spyware/IceSword122en.zip]IceSword[/url]. Распакуйте, запустите. Слева внизу нажмите File, затем найдите:
[quote]
C:\WINDOWS\System32\Drivers\ati3hkxx.sys
[/quote]
Правой кнопкой мыши:
1) Copy to ... в какую-нибудь папку.
2) force delete.
и сделайте им Force Delete.

Перезагрузите компьютер.

Пришлите скопированный ati3hkxx.sys в zip-архиве с паролем virus по ссылке [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
Кстати, уже давно вышел DrWeb 5.0.
20.01.2009, 23:58
April

Вложений: 1

Вероятно, я совсем валенок :sad:.. Сделала архив из файла, но без пароля, начала его обратно распаковывать, что-то еще делала и в итоге сам sys файл потерялся, а в заархивированом архиве файла не оказалось (((. Я так и не поняла, что произошло.. Я высылаю логи скрипта. Если что-то еще он покажет. Очень надеюсь,что то, что произошло не очень страшно.:sos:
21.01.2009, 08:47
AndreyKa

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis строку:
[quote]
20 - Winlogon Notify: ptrltuss - C:\WINDOWS\SYSTEM32\ptrltuss.dll
[/quote]
Сделайте новый лог HijackThis.

У меня возникло сомнение, что антивирус DrWeb у вас нормально работает.
Попробуйте сохранить на диск тестовый файл:
[url]http://www.eicar.org/download/eicar.com[/url]
Получили ли вы сообщении о "вирусе"?

Как, вообще, компьютер теперь работает? Уже лучше?
21.01.2009, 23:27
April

Вложений: 1

Отчет о проделанной работе:
1. Тестовый вирус dr web отловил.
2. Темповые процессы при загрузке машины больше не грузятся.
3. Но продолжает грузится IEXPLORE.EXE и вроде svchost иногда тянет файл подкачки. И поэтому, в целом, машина поттупливает. Почему-то иногда стала вылетать Mozilla
22.01.2009, 23:59
April

Уважаемый helper AndreyKa, помогите пожалуйста!:unsure:
23.01.2009, 00:02
Гриша

Вы фиксили указанную строчку?
23.01.2009, 00:21
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\ptrltuss.dll');
BC_DeleteSvc('ati3hkxx');
BC_DeleteFile('C:\WINDOWS\system32\ptrltuss.dll');
SysCleanAddFile('ptrltuss.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
23.01.2009, 00:40
April

Ту строку фиксила.
23.01.2009, 05:38
April

Вложений: 1

Все сделала. При перезагрузке первый раз за долгое время на загрузился iexplore.exe :smile:. Это все, я здорова? ;))
23.01.2009, 09:26
Гриша

В логе чисто, установите SP3+all updates...
23.01.2009, 23:10
April

Огромное вам человеческое СПАСИБО!!:clapping: :thumbs:
22.02.2009, 10:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\temp\\ie4f9.tmp - [B]Trojan-Downloader.Win32.Agent.bdxm[/B][*] c:\\windows\\system32\\ptrltuss32.dll - [B]Backdoor.Win32.Hijack.an[/B][*] c:\\windows\\system32\\svchost.exe:ext.exe:$data - [B]Trojan.Win32.Agent2.pe[/B][*] c:\\windows\\temp\\bn2.tmp - [B]Backdoor.Win32.Small.hgi[/B][/LIST][/LIST]