Система периодически "задумывается"... помогите вылечить.

WindowsXP Prof SP3 русская

Изредка задумчивость бывает до зависа мышки на пару тройку секунд. При нажатии на крестик окна эксплорера(не IE) закрытие окна происходит не сразу а через несколько секунд.

Основной глюк - при нажатии на "Пуск"-"Поиск":
Панель задачь(Пуск, трей...) становится недоступной - при наведении на нее курсора мыши курсор выглядит песочными часами при этом в поле рабочего стола курсор нормальный, данное состояние лечится только резетом.

Иногда система вырубает эксплорер извиняясь за причиненные неудобства при этом происходит перезагрузка ярлыков рабочего стола и Панели задачь.



В системе стоит доктор веб, при сканировании нашел и удалил в папке windows и в какой-то подпапке пару файлов обозвав их программой взлома.

AVPTool в безопасном режиме тоже нашла и удалила несколько зараженных файлов в папке "System Volume Information".

Прогнал AVZ скрипты и HijackThis по схеме как положено.

После всех процедур задумчивость осталась.

Прикладываю логи.

Ничего подозрительного. Можем еще покопать. Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]

Поставил на ночь Gmer развернув его в полный экран.С утра обнаружил что сканирование завершено но пропали кнопки Scan Copy Save. Кнопки вернулись при возвращении обратно из полноэкранного режима.(интересный нюанс) Прикрепляю лог.

Лог чистый.

Ладно понаблюдаем денек... почистим реестр... вроде бы окно экплорера стало быстро закрываться... вечером проверю Пуск-Поиск... если не прочихается будем готовится к переустановке системы... сенкс за помощь.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKCU\..\Run: [Windows Update Services] "C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\services.exe"
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\services.exe','');
DeleteFile('C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\services.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Пофиксил, согласно инструкции сделал перезагрузку после фикса.

Выполнил скрипт, компьютер сам пошел в перезагрузку, но довольно интересно - выгрузились ярлыки с рабочего стола и панель задач, осталась голая фоновая картинка... в таком состоянии компьютер находился минут 5 не меньше, я уже подумывал нажать на "ресет" но перезагрузка все же пошла.

После перезагрузки было найдено новое устройство с кодом экземпляра устройства ROOT\LEGACY_UZIYODG1\0000 просило дрова, оставил пока как есть...
Папку Windows\Temp очистить до конца не получилось: Windows\Temp\logishrd\LVPrcInj01.dll не удалился, пару датовских файлов и один лог.

Прогнал скрипты и скан HiJackThis, логи прикрепил
карантин закачал, сообщение об успешной закачке было.

Несколько вопросов:
1. "Восстановление системы" можно включать или пока "воюем" не надо?
2. Что делать с новым устройством?
3. Фикс пока обратно не возвращать?

Выполните такой скрипт:
[CODE]begin
DeleteFile('C:\WINDOWS\Installer\7153e13.msi');
SetAVZPMStatus(false);
ExecuteStdScr(6);
end.[/CODE]
В логах больше ничего плохого не видно.

[QUOTE]Несколько вопросов:
1. "Восстановление системы" можно включать или пока "воюем" не надо?
2. Что делать с новым устройством?
3. Фикс пока обратно не возвращать?[/QUOTE]
1. Теперь можно включать.
2. Удалите в Диспетчере устройств.
3. Фиксили не для того, чтобы возвращать.

[B]2Gugenot[/B] Пока не пропадайте! Дело в том, что удаленный файл чистый.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Bratez;436270]3. Фиксили не для того, чтобы возвращать.[/QUOTE]
В случае, если этот файлик за что-то отвечает в системе, его придется вернуть на место.

[QUOTE=Gugenot;436178]
Папку Windows\Temp очистить до конца не получилось: Windows\Temp\logishrd\LVPrcInj01.dll не удалился,.[/QUOTE]Этот файл от Logitech т.е. не зловредный. Жалобы есть?
[QUOTE=Aleksandra;436275]
В случае, если этот файлик за что-то отвечает в системе,[/QUOTE]Файлы *.msi= [I]Windows Installer File from Microsoft Corporation [/I] в системе ни за что не отвечают, это установочные пакеты.

[QUOTE=Rene-gad;436368]Этот файл от Logitech т.е. не зловредный. Жалобы есть?[/QUOTE]

Да, пока к сожалению есть.
Единственное, что похоже исправилось это скорость закрытия проводника, закрывается теперь сразу. Глюк [B]Пуск-Поиск-[U]висим[/U][/B] остался.

Забыл при оформлении темы сказать еще про один глюк который в процессе лечения пропал:

[B][I]При выключении(перезагрузке) на экране мелькает и пропадает сообщение со звуковым сигналом(полагаю о какой-то ошибке), к сожалению настолько быстро что текст сообщения уловить не удается.
[/I][/B]
После выполнения нижеследующего
[QUOTE=Bratez;436270]
1. Теперь можно включать.
2. Удалите в Диспетчере устройств.[/QUOTE]
этот глюк вернулся.

И если быть совсем дотошным, то, возможно это поможет поиску "зловредных", за день несколько раз могу наблюдать обновление ярлыков рабочего стола. А так же можно пожаловаться на скорость загрузки страниц иногда... бывает тупит по страшному и на провайдера тут не свалишь поскольку торент качает на полную и в ус не дует в этот момент(на урезанной скорости, чтоб было понятно что и он не должен мешать).

[QUOTE=Rene-gad;436368]Файлы *.msi= [I]Windows Installer File from Microsoft Corporation [/I] в системе ни за что не отвечают, это установочные пакеты.[/QUOTE]

Если я правильно понимаю, то Alexandra имела в виду файл который я фиксил по Вашему указанию.

Мне нужна dll-ка с Вашего компьютера.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\services.dll','');
end.[/CODE]
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=50414[/URL]

[B]Aleksandra[/B], Сделано...

services.dll - [B]Trojan-Spy.Win32.KStroke[/B] (VBA32)

Программа представляет собой клавиатурный шпион. В той же папке создает лог с именами приложений и какие в них нажимались клавиши.

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\services.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Повторите логи.

[I]p. s. Отдельное спасибо за помощь вирусному аналитику Олегу Купрееву из ВирусБлокАды.[/I]

[B]Aleksandra[/B], выполнено...

Основной глюк - при нажатии на "Пуск"-"Поиск" [B]пропал[/B], поиск запускается и работает :)
При выключении(перезагрузке) сообщение со звуковым сигналом тоже пропало, две перезагрузки прошли чисто, далее надеюсь не появится.

Единственное что на первый взгляд пока беспокоит - долгая загрузка системного трея при включении(перезагрузке), от 5 до 10 секунд каждый ярлычек. В остальном будем наблюдать пару дней, как будет на счет задумчивости.

PS может быть нужно почистить что нибудь в дирректории C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\ ? Что там ошметки от трояна а что нужные файлы?

[QUOTE=Gugenot;440579]может быть нужно почистить что нибудь в дирректории C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\ ? Что там ошметки от трояна а что нужные файлы?[/QUOTE]
Тут вот какое дело: не все аналитики едины во мнении, что удалённый файл является зловредом, хотя в папке ..\Local Settings\Application Data\Microsoft ни исполняемых файлов, ни библиотек быть не должно.

- [U]Обновите базы АВЗ.[/U]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('mpr_freader');
QuarantineFile('c:\Program Files\Multi Password Recovery\mpr_freader.sys','');
DeleteFile('c:\Program Files\Multi Password Recovery\mpr_freader.sys');
DeleteService('mpr_freader');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('mpr_freader');
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Сделайте повторные логи
[b]virusinfo_syscheck.zip
hijackthis.log [/b]
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).

[B]Rene-gad[/B], выполнено... карантин выслал... прикрепляю логи...

Я ничего плохого в логах не нашёл.
В порядке рекомендации проделайте ещё операцию по очистке трэя: [url]http://virusinfo.info/showthread.php?t=20712[/url]

Я тоже в логах ничего подозрительного не вижу.

[QUOTE=Gugenot;440579]PS может быть нужно почистить что нибудь в дирректории C:\Documents and Settings\Gugi\Local Settings\Application Data\Microsoft\Windows Update\ ? Что там ошметки от трояна а что нужные файлы?[/QUOTE]
Там может быть keystrokes.html - хтмл-ка с логом клавишь и errorlog.dat - побочный лог отладки.