проблема

Printable View

09.10.2009, 20:54
also07

Вложений: 3

проблема

Добрый день!
переустановил виндоус, почистил др.вебом ,но загрузка процессора без видимых причин достигает 100% и держиться вокруг этих значений, соотвественно все подтормаживает. Несмотря на несколько полных проверок веб постоянно находит каких-то троянцев..
Посмострите, плиз, что еще осталось...
спасибо!

спасибо заранее
09.10.2009, 22:03
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-4590749639-5700945832-755373873-1270\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\Documents and Settings\Алексей\Application Data\Microsoft\podejuttoo.exe','');
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
DeleteFile('c:\windows\mslsrv32.exe');
DeleteFile('C:\Documents and Settings\Алексей\Application Data\Microsoft\podejuttoo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wooquyw');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-24SF-N85P');
DeleteFile('C:\RECYCLER\S-1-5-21-4590749639-5700945832-755373873-1270\csvcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
11.10.2009, 12:58
also07

выполнил Ваши указания...
11.10.2009, 13:09
Макcим

Выполните скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
DeleteService('nrm4cweolyt8e');
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(false);
end.[/CODE]Повторите лог virusinfo_syscheck.zip
12.10.2009, 14:21
also07

выполнил Ваши указания...
12.10.2009, 14:41
vegas

Все по новой. Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('explorer.exe,C:\RECYCLER\S-1-5-21-9253048301-3071642488-462847162-6387\csvcs.exe,Explorer.exe','');
QuarantineFile('C:\WINDOWS\system32\wshost32.exe','');
QuarantineFile('C:\WINDOWS\jcdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9253048301-3071642488-462847162-6387\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\Documents and Settings\Алексей\Application Data\Microsoft\hohyjulan.exe','');
DeleteFile('C:\Documents and Settings\Алексей\Application Data\Microsoft\hohyjulan.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-24SF-N85P');
DeleteFile('C:\RECYCLER\S-1-5-21-9253048301-3071642488-462847162-6387\csvcs.exe');
DeleteFile('C:\WINDOWS\jcdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\wshost32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wshost32');
DeleteFile('explorer.exe,C:\RECYCLER\S-1-5-21-9253048301-3071642488-462847162-6387\csvcs.exe,Explorer.exe');
BC_ImportALL;
BC_DeleteSvc('nrm4cweolyt8e');
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
ExecuteWizard('TSW', 3, 3, true);
RebootWindows(true);
end.[/code]
Карантин закачайте, логи повторите
12.10.2009, 15:30
also07

Вложений: 2

выполнено...
12.10.2009, 15:55
vegas

Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5\CPRJTVUD\nemexp[1].exe','');
QuarantineFile('C:\Documents and Settings\Алексей\Local Settings\Temp\596.exe','');
QuarantineFile('C:\Documents and Settings\Алексей\Local Settings\Temp\212.exe','');
DeleteFile('C:\Documents and Settings\Алексей\Local Settings\Temp\212.exe');
DeleteFile('C:\Documents and Settings\Алексей\Local Settings\Temp\596.exe');
DeleteFile('C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5\CPRJTVUD\nemexp[1].exe');
DeleteFile('C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5\R18MLYB2\nemexp[2].exe');
DeleteFile('C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5\R18MLYB2\nemexp[3].exe');
DeleteFileMask('C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5','*.exe',true);
DeleteFileMask('C:\Documents and Settings\Алексей\Local Settings\Temp', '*.*', true);
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Карантин закачайте. Скачайте и пролечитесь свежим DrWeb CureIt сначала в безопасном, потом в обычном режиме. Повторите логи
12.10.2009, 22:23
also07

Вложений: 3

выполнил все рекомендации...в безопасном режиме нашлось 100 инф. файлов (в основном в папке др.веб), в обычном нечего не нашлось...
но после всех проверок появилась ошибка generic ghost for win32
12.10.2009, 23:13
vegas

Включите AVZPM- установить драйвер расширенного мониторинга процессов. Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\wshost32.exe','');
QuarantineFile('C:\WINDOWS\jcdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2689172326-3310876876-286484535-2007\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-2689172326-3310876876-286484535-2007\csvcs.exe');
DeleteFile('C:\WINDOWS\jcdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\wshost32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wshost32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-24SF-N85P');
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
ExecuteWizard('TSW', 3, 3, true);
RebootWindows(true);
end.[/code]
Закачайте карантин, повторите логи AVZ плюс лог Gmer (см.внизу в моей подписи)
13.10.2009, 11:02
also07

последовательно выполнил Ваши рекомендации...
13.10.2009, 11:04
Белый Сокол

Что с проблемой?
13.10.2009, 11:48
also07

сейчас проблем с загрузкой компа нет, но появляется сообщение об ошибке generic host for win32 (что-то типа этого), а после этого начинает комп тормозить...
13.10.2009, 12:12
Белый Сокол

[B]Выполните скрипт в AVZ [/B](AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
TerminateProcessByName('c:\documents and settings\Алексей\Мои документы\Загрузки\ihnqe0uh.exe');
QuarantineFile('c:\documents and settings\Алексей\Мои документы\Загрузки\ihnqe0uh.exe','');
DeleteFile('c:\documents and settings\Алексей\Мои документы\Загрузки\ihnqe0uh.exe');
DeleteFile('c:\windows\mslsrv32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][COLOR="Red"]Прислать запрошенные файлы[/COLOR][/B]" над первым сообщением темы).

Повторите логи.
14.10.2009, 12:12
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]55[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\алексей\local settings\temporary internet files\content.ie5\cprjtvud\nemexp[1].exe - [B]Trojan-Proxy.Win32.Agent.bub[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Generic.2518070, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\алексей\local settings\temporary internet files\content.ie5\r18mlyb2\nemexp[2].exe - [B]Trojan-Proxy.Win32.Agent.bub[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Generic.2518070, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\алексей\local settings\temporary internet files\content.ie5\r18mlyb2\nemexp[3].exe - [B]Trojan-Proxy.Win32.Agent.bub[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Generic.2518070, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\алексей\local settings\temp\212.exe - [B]Trojan-Proxy.Win32.Agent.bub[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Generic.2518070, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\алексей\local settings\temp\596.exe - [B]Trojan-Proxy.Win32.Agent.bub[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Generic.2518070, AVAST4: Win32:Trojan-gen )[*] c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe - [B]Trojan.Win32.Crypt.bgj[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Trojan.Generic.2518092, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Trojan-gen )[*] c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe - [B]Trojan.Win32.Delf.owo[/B] ( DrWEB: BackDoor.IRC.Letmein.13, BitDefender: Worm.Generic.93792, AVAST4: Win32:Injector-SE [Trj] )[/LIST][/LIST]