Куча копий svchost.exe, services.exe и cmd.exe, скрипты avz не работают

Здравствуйте!

Не знаю, сможете ли Вы мне помочь, но попытка не пытка.
Три дня назад компьютер начал практически сразу после загрузки вылетать с BSOD'ом и IRQL_LESS_OR_NOT_EQUAL.
В конце концов удалось загрузиться в безопасном режиме и проверить всю систему CureIt. Нашлось бешеное количество Win32.Virut.56. Вылечили

После этого синие экраны прекратились, но при загрузке в обычном режиме появляется куча копий процессов cmd.exe, services.exe, svchost.exe в памяти, при подключении к интернету процессор забивается под 100% процессом lsass.exe.

Сделала полную проверку компьютера с помощью AVPTool в безопасном режиме. Вылечилось большое количество файлов с Trojan.Win32.Agent2.ipp, было удалено несколько вирусов (названия не записала:(, что-то там Backdoor..), а также несколько вылечено несколько файлов с Win32.Virut.ce (видимо, недобитых CureIt).

Пыталась запустить скрипт сбора информации Avz - примерно через минуту AVZ закрывается без всякого предупреждения. Запуск компьютера в безопасном режиме, использование AVZGuard и переименование файла avz.exe ничего не меняют. Если не запускать в AVZ проверку - то он работает как ни в чем не бывало, не закрывается.

В интернете удается работать только при включенном AVZGuard, иначе процессор занят и невозможно работать.

Подскажите пожалуйста, можно что-нибудь сделать или единственный выход - снести систему? Сносить очень нежелательно:(

Заранее огромное спасибо! Прошу прощения, что нарушаю правила форума!

Попробуйте этот AVZ [URL="http://rapidshare.com/files/199106177/toto.pif"]http://rapidshare.com/files/199106177/toto.pif[/URL]

Удалось запустить скрипты AVZ после того, как удалила два скрытых файла с расширением .sys, на которых AVZ вылетала.
Логи проверок прилагаются.
Помогите, пожалуйста!
Заранее спасибо большое:)

Установите надежные пароли на учетные записи пользователей с правами администратора.
Установите обновления безопасности на Windows.

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('D:\WINDOWS\System32\svchost.exe','');
QuarantineFile('D:\WINDOWS\system32\Drivers\NDIS.sys','');
DeleteService('AvFlt');
DeleteService('ethiompn');
DeleteService('sptd');
QuarantineFile('D:\Program Files\ANI\ANIWZCS2 Service\WZCSLDR2.exe','');
QuarantineFile('D:\WINDOWS\TEMP\rtv_winupd.exe','');
QuarantineFile('D:\WINDOWS\system32\userinit.exe','');
DelBHO('{B863453A-26C3-4e1f-A54D-A2CD196348E9}');
DelBHO('{FE063DB9-4EC0-403e-8DD8-394C54984B2C}');
DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
QuarantineFile('D:\WINDOWS\services.exe','');
QuarantineFile('D:\WINDOWS\Temp\VRT67.tmp','');
DeleteFile('D:\WINDOWS\Temp\VRT67.tmp');
DeleteFile('D:\WINDOWS\services.exe');
DeleteFile('D:\WINDOWS\TEMP\rtv_winupd.exe');
DeleteFile('c:\program Files\ThunMail\testabd.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

Спасибо Вам!

Карантин загрузила:
Файл сохранён как 090501_225238_virus_49fb44f6a7fcf.zip
Размер файла 21194
MD5 2eadf4ae644b7cb6b97db231dfb46dc3

Новый лог прикладываю к письму. Правда, я при получении этого лога не отметила галочками все диски, и они не проверялись. Это нужно сделать?

Sevices.exe и cmd.exe исчезли, но странности остались (хотя может это уже и не вирусы): svchost.exe регулярно и подолгу занимает 100% процессора, при этом ничего не читает и не пишет на диск. и еще постоянно наблюдается небольшая сетевая активность, даже когда закрыт браузер и выгружены все программы.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('restore');
StopService('ethiompn');
QuarantineFile('D:\WINDOWS\system32\userinit.exe','');
QuarantineFile('D:\WINDOWS\system32\drivers\restore.sys','');
QuarantineFile('D:\WINDOWS\system32\drivers\ethiompn.sys','');
DeleteService('restore');
DeleteService('ethiompn');
DeleteFile('D:\WINDOWS\system32\drivers\restore.sys');
DeleteFile('D:\WINDOWS\system32\drivers\ethiompn.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('restore');
BC_DeleteSvc('ethiompn');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Удалила bonjour и кеши всего, чего только можно:)

Сделала повторные проверки, логи прилагаются к сообщению.
Закачала два архива с карантинами - карантин после скрипта и карантин после повторной проверки.

Компьютер уже стал работать гораздо лучше, спасибо большое!!!

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - D:\Program Files\AskTBar\SrchAstt\1.bin\A5SRCHAS.DLL (file missing)
O2 - BHO: (no name) - SOFTWARE - (no file)
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
ExecuteRepair(13);
ExecuteRepair(14);
RebootWindows(true);
end.
[/CODE]

- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите IE 8

Спасибо Вам огромное за помощь!!

- Пофиксила указанное с помощью hijackthis и выполнила скрипт в avz.
- Установила IE 8.

SP3 установить не получается - программа установки заявляет, что файл ndis.sys занят другим приложением и из-за этого установка SP3 не может быть продолжена. что за приложение занимает ndis.sys - понять не удалось:(

[QUOTE=Шестипалый;396476]программа установки заявляет, что файл ndis.sys занят другим приложением [/QUOTE]Найдите и пришлите этот файл по правилам (Приложения 2 и 3).

Результат загрузки
Файл сохранён как 090504_005713_virus_49fe05291ea66.zip
Размер файла 188159
MD5 0a825ef3c6bf966b105c6a550011f702

Напрямую добавить файл в карантин не удалось (в WINDOWS невозможно сделать с файлом ничего - ни скопировать, ни удалить, ни в каратин запихнуть в AVZ). Загрузила ubuntu, скопировала файл, на всякий случай запихнула в архив и уже этот архив добавила в винде в карантин AVZ.
Кстати, в ubuntu файл на 20 кб больше, чем в windows

ndis.sys = Virus.Win32.Protector.a (Trojan.NtRootKit.2670)
попробуйте заменить его на оригинальный из дистрибутива Windows, загрузившись с CD.

Удалось заменить файл через линукс!!!

Теперь комп нормально работает!!!
Спасибо Вам огромное за помощь!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] i:\ndis.zip - [B]Virus.Win32.Protector.a[/B] ( DrWEB: archive: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )[/LIST][/LIST]