svchost.exe область памяти не может быть "written", hosts~5.8 мб

Printable View

17.02.2010, 22:00
alidml

svchost.exe область памяти не может быть "written", hosts~5.8 мб

Здравствуйте, многоуважаемые уничтожители зловредов.
Во второй раз к Вам обращаюсь.

Итак комп, примерно через 5 минут после запуска появляется окошко svchosts.exe "ххххххххх(адресс в памяти)" область памяти не может быть "written" по нажатию ок или отмены, пропадает реакция на внешние раздражители, ни на мышку, ни на клаву не реагирует.

Полный скан kav8 и свежим cureit ничего не дал.
Так-же в ходе беглого осмотра был обнаружен что размер файла хостс чуть более 5мб, (неудобочитаемый), при скане Касперским вирусов не находит.

Логи прилагаются.
P.S. В карантине что-то есть копия hosts сохранена, залью по первому Вашему требованию, если таковое будет.
18.02.2010, 00:13
thyrex

Пофиксить в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O4 - HKLM\..\Run: [ctfmon.exe] ctfmon.exe
[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\System Volume Information\_restore{FE26E435-55A7-414A-89C2-A34E7CDA1EC2}\RP13\A0019931.exe:exe.exe:$DATA','');
QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ylzmpnzm.sys','');
DeleteService('ylzmpnzm');
QuarantineFile('C:\WINDOWS\System32\Drivers\webvfygj.sys','');
DeleteService('webvfygj');
QuarantineFile('C:\WINDOWS\System32\Drivers\veockjky.sys','');
DeleteService('veockjky');
QuarantineFile('C:\WINDOWS\System32\Drivers\tlmeaxlc.sys','');
DeleteService('tlmeaxlc');
QuarantineFile('C:\WINDOWS\System32\Drivers\qrrmxqvc.sys','');
DeleteService('qrrmxqvc');
QuarantineFile('C:\WINDOWS\System32\Drivers\pazzydpl.sys','');
DeleteService('pazzydpl');
QuarantineFile('C:\WINDOWS\System32\Drivers\oxrshiag.sys','');
DeleteService('oxrshiag');
QuarantineFile('C:\DOCUME~1\4F37~1\LOCALS~1\Temp\nenum13E.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\mqsfdrkl.sys','');
DeleteService('mqsfdrkl');
QuarantineFile('C:\WINDOWS\System32\Drivers\lihzachy.sys','');
DeleteService('lihzachy');
QuarantineFile('C:\WINDOWS\System32\Drivers\ldnqlaly.sys','');
DeleteService('ldnqlaly');
QuarantineFile('C:\WINDOWS\System32\Drivers\kxvbsyeg.sys','');
DeleteService('kxvbsyeg');
QuarantineFile('C:\WINDOWS\System32\Drivers\kvkwnkbw.sys','');
DeleteService('kvkwnkbw');
QuarantineFile('C:\WINDOWS\System32\Drivers\kiljjcyb.sys','');
DeleteService('kiljjcyb');
QuarantineFile('C:\WINDOWS\System32\Drivers\izedousy.sys','');
DeleteService('izedousy');
QuarantineFile('C:\WINDOWS\System32\Drivers\gqfwwfwq.sys','');
DeleteService('gqfwwfwq');
QuarantineFile('C:\WINDOWS\System32\Drivers\ffhlfzov.sys','');
DeleteService('ffhlfzov');
QuarantineFile('C:\WINDOWS\System32\Drivers\eqkopvzk.sys','');
DeleteService('eqkopvzk');
QuarantineFile('C:\WINDOWS\System32\Drivers\czascinx.sys','');
DeleteService('czascinx');
DeleteFile('C:\WINDOWS\System32\Drivers\czascinx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\eqkopvzk.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ffhlfzov.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\gqfwwfwq.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\izedousy.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\kiljjcyb.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\kvkwnkbw.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\kxvbsyeg.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ldnqlaly.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\lihzachy.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\mqsfdrkl.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\oxrshiag.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\pazzydpl.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\qrrmxqvc.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\tlmeaxlc.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\veockjky.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\webvfygj.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ylzmpnzm.sys');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{FE26E435-55A7-414A-89C2-A34E7CDA1EC2}\RP13\A0019931.exe:exe.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
18.02.2010, 01:14
alidml

Компьютер недоступен до сегодняшнего вечера, отпишусь примерно после 21:00 по MSK

Карантин загрузил
18.02.2010, 14:06
alidml

Готово, новые логи и свежий карантин прилагаются.
18.02.2010, 18:27
thyrex

[QUOTE]>> Заблокированы настройки системы System Restore[/QUOTE]Это Ваших рук дело или проделки вирусов?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\System Volume Information\_restore{FE26E435-55A7-414A-89C2-A34E7CDA1EC2}\RP13\A0051021.exe:exe.exe:$DATA','');
DeleteFile('C:\System Volume Information\_restore{FE26E435-55A7-414A-89C2-A34E7CDA1EC2}\RP13\A0051021.exe:exe.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
18.02.2010, 21:38
alidml

[QUOTE=thyrex;588533]Это Ваших рук дело или проделки вирусов?
[/QUOTE]
Не моих точно, да и маловероятно что владелец компа до такого мог додуматься...

Логи приложил, карантин через секунду будет согласно правилам [B]приложения 3[/B]
Извините за прошлый, совсем замотался...
19.02.2010, 00:18
thyrex

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(6);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip
20.02.2010, 16:53
alidml

Готово, извините за задержку...
20.02.2010, 18:50
Шапельский Александр

В логе чисто, проблемы решены?
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Рекомендую обновить, + установить последние обновления на ОС.
20.02.2010, 21:23
alidml

[QUOTE=shapel;590050]В логе чисто, проблемы решены?

Рекомендую обновить, + установить последние обновления на ОС.[/QUOTE]
С проблемой не ясно, владелеца компа говорит, что после последнего скрипта ошибка svchost появлялась но с какимто другим текстом, нажимать ок\отмена она не стала, а просто вырубила комп...

Завтра расскажет как дела обстоят.

Про обновления знаю, но немного проблематично, обновлю при первой возможности.
20.02.2010, 21:29
Шапельский Александр

[QUOTE='alidml;590166']С проблемой не ясно, владелеца компа говорит, что после последнего скрипта ошибка svchost появлялась но с какимто другим текстом, нажимать ок\отмена она не стала, а просто вырубила комп...[/QUOTE]
Нужен комплект логов, +лог MBAM
20.02.2010, 22:15
alidml

[QUOTE=shapel;590173]Нужен комплект логов, +лог MBAM[/QUOTE]
Хорошо, будет завтра
21.02.2010, 20:26
alidml

Проблема не решена, тот же svchost также вешает комп, даёт перезагрузится через раз, приходиться resetом
[IMG]http://virusinfo.info/attachment.php?attachmentid=218690&stc=1&d=1266773132[/IMG]
21.02.2010, 22:52
Шапельский Александр

Удалите в MBAM
[CODE]Заражено ключей реестра:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ICF (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Fci (Trojan.Agent) -> No action taken.

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> No action taken.[/CODE]
Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe','');
DeleteService('ICF');
DeleteService('nenum13E');
QuarantineFile('C:\DOCUME~1\4F37~1\LOCALS~1\Temp\nenum13E.sys','');
DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
DeleteFile('C:\DOCUME~1\4F37~1\LOCALS~1\Temp\nenum13E.sys');
BC_ImportAll;
BC_DeleteSvc('ICF');
ExecuteSysClean;
Executerepair(7);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
Сделайте лог MBAM
22.02.2010, 22:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]54[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\system volume information\_restore{fe26e435-55a7-414a-89c2-a34e7cda1ec2}\rp13\a0019931.exe:exe.exe:$data - [B]Trojan.Win32.Agent.dlfu[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Spammer.ABX )[*] c:\system volume information\_restore{fe26e435-55a7-414a-89c2-a34e7cda1ec2}\rp13\a0051021.exe:exe.exe:$data - [B]Trojan.Win32.Agent.dlfu[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Spammer.ABX )[*] c:\windows\system32\svchost.exe:exe.exe:$data - [B]Trojan.Win32.Agent.dlfu[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Spammer.ABX )[/LIST][/LIST]