Очень похоже на Trojan-Downloader.Win32.Small.anhp - но самолечение не на пользу

Симптомы очень похожи на описанные в [URL="http://virusinfo.info/showthread.php?t=55395"]теме[/URL]

- Подозрительный процесс jqs.exe. Но подозрительно в нем то что при его завершении происходит stop-error. Отключив авто-перезагрузку я списал с экрана тех. информацию:
*** STOP: 0x0000008E (0xC0000005, 0x8066AEB1, 0xA5DEAB2C, 0x00000000)

- Так же stop-error появляется при выключении/перезагрузки компьютера (причем уже ближе к концу выключения, когда появляется сообщение "завершение работы Windows"). Код аналогичен с предыдущей
*** *** STOP: 0x0000008E (0xC0000005, 0x8066AEB1, 0xA5DEAB2C, 0x00000000)

- в реестре присутвуют:
HKLM/SYSTEM/ControlSet001/Services/BITS - ImagePath (%fystemRoot%\system32\svchost.exe -k netsvcs)
HKLM/SYSTEM/ControlSet001/Services/wuauserv - ImagePath (%fystemroot%\system32\svchost.exe -k netsvcs)

Надеюсь на излечение. Пользуюсь антивирусом symsntec endpoint..

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите файл [B]quarantine.zip[/B] по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B] вверху темы

Не очень понятно загрузился ли файл quarantine.zip.
При попытке загрузки пишет:

Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

при попытке выполнения скрипта получаю в логе:


Ошибка карантина файла, попытка прямого чтения (D:\WINDOWS\System32\Drivers\sfc.SYS)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (D:\WINDOWS\System32\Drivers\sfc.SYS)
Карантин с использованием прямого чтения - ошибка
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('D:\WINDOWS\System32\Drivers\sfc.SYS');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Почему то AVZ не смог заархивировать карантин. В папке Quarantin есть то что нужно. Заархивировал самостоятельно с нужным именем и отправил.

Новые логи тоже здесь

virusinfo_cure.zip удалите

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Что с проблемой?

проблема исчезла -- перезагрузка норма!

Если больше ничего делать не надо - спасибо!!!

[QUOTE='Amalish;495731']- в реестре присутвуют:
HKLM/SYSTEM/ControlSet001/Services/BITS - ImagePath (%fystemRoot%\system32\svchost.exe -k netsvcs)
HKLM/SYSTEM/ControlSet001/Services/wuauserv - ImagePath (%fystemroot%\system32\svchost.exe -k netsvcs)[/QUOTE]Выполните скрипт из этой темы [url]http://virusinfo.info/showthread.php?t=43700[/url]
fystemRoot.log прикрепите к следующему сообщению

Сделано.

Теперь порядок

Спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\windows\system32\sfcfiles.dll - [B]Trojan.Win32.Patched.fr[/B] ( DrWEB: Trojan.WinSpy.322, AVAST4: Win32:Patched-KP [Trj] )[/LIST][/LIST]