Printable View
Появился процесс SVCHOST.EXE (запущен из под пользователя!). Загружает систему именно он на 95-98%. "Убийство" процесса временно помогает. Прогнал AvPTool - нашёлся вирь, был удалён; через пару дней снова появился аналогичный процесс с теми же симптомами. Прошу помочь разобраться.
Не видно ничего подозрительного.
Обновления безопасности на Windows устанавливайте. Лучше начать с [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] (может потребоваться активация).
Установите Adobe Acrobat Reader 9.1 или удалите старый.
Обновите Java.
после вышеперечисленных манипуляция проблема не исчезла. Вот что выдаёт PExplorer по этому процессу:
Process: SVCHOST.EXE Pid: 192
Type Name
Desktop \Default
Directory \KnownDlls
Directory \Windows
Directory \BaseNamedObjects
Event \BaseNamedObjects\crypt32LogoffEvent
File C:\Documents and Settings\tolstoluzkaya.MOSCOW-BANK
File C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83
File \Device\KsecDD
File \Device\Ip
File \Device\Tcp
File \Device\Ip
File \Device\Tcp
File \Device\Afd
Key HKLM
Key HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
Key HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
Key HKLM\SYSTEM\ControlSet001\Services\Tcpip\Linkage
Key HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameters
Key HKLM\SYSTEM\ControlSet001\Services\NetBT\Parameters\Interfaces
Key HKLM\SYSTEM\ControlSet001\Services\NetBT\Parameters
Key HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9
Key HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5
Key HKCU
Key HKU
KeyedEvent \KernelObjects\CritSecOutOfMemoryEvent
Mutant \BaseNamedObjects\SHIMLIB_LOG_MUTEX
Mutant \BaseNamedObjects\mutex_io
Semaphore \BaseNamedObjects\shell.{A48F1A32-A340-11D1-BC6B-00A0C90312E1}
Semaphore \BaseNamedObjects\shell.{210A4BA0-3AEA-1069-A2D9-08002B30309D}
Thread SVCHOST.EXE(192): 220
Thread SVCHOST.EXE(192): 220
Thread SVCHOST.EXE(192): 240
Thread SVCHOST.EXE(192): 240
Thread SVCHOST.EXE(192): 244
Thread SVCHOST.EXE(192): 244
Thread SVCHOST.EXE(192): 240
WindowStation \Windows\WindowStations\WinSta0
WindowStation \Windows\WindowStations\WinSta0
Есть ли что либо подозрительное?
[QUOTE='ea-com;425776']Прогнал AvPTool - нашёлся вирь, был удалён; [/QUOTE]В каком файле? Как AVPTool его детектировал?
Скачайте файл [url]http://narod.ru/disk/9487011000/avz-poly.exe.html[/url] (это более свежая версия AVZ, но в ней не обновляются базы). Сохраните его в отдельную папку и выполните 2-й стандартный скрипт.
Файл с результатами (virusinfo_syscheck.zip) приложите к теме.
Нашлись следующие вредоносы:
удалено: троянская программа Trojan-Clicker.JS.Agent.fk
Файл: C:\Documents and Settings\chekalova\Local Settings\Temporary Internet Files\Content.IE5\W1KDQ3GX\erle[4]
удалено: троянская программа Trojan.Win32.Agent2.kvp
Файл: C:\Documents and Settings\chekalova.MOSCOW-BANK\Главное меню\Программы\Автозагрузка\rncsys32.exe
Лог AVZ после сканирования AVTools приложен к теме.
лог не наблюдаю.
воспользовался верхней ссылкой. вот лог.
AVZ был запущен пользователем без прав Администратора.
ПОд АдМИном (доменным)
Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ExecuteRepair(1);
SetAVZPMStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.
Лог после отключения автозапуска...
вопрос: необходимо ли выгружать (откл. защиту) антивирус (стоит Nod 4) перед запуском AZV?
В логе ничего подозрительного.
Будьте добры, проверьте вот этот лог (проверка из под доменного пользователя с правами локального администратора, у кого первоначально и обнаружилась проблема)
Зайдите на [url]http://windowsupdate.microsoft.com/[/url] и обновите Windows Update.
Есть шанс, что поможет.
Собственно, проблема пропала после ручного удаления из автозапуска rncsys32.exe.
Пока активности svchost.exe из-под юзера не наблюдается. Спасибо за уделённое внимание.