SVCHOST.EXE и XP Defender

Printable View

18.03.2010, 17:33
Sokol444

SVCHOST.EXE и XP Defender

Здравствуйте! Надеюсь вы сможете мне помочь!
Заранее извиняюсь что так много написал, просто хочу дать вам как можно более полную картину.
У меня ноутбук ACER ASPIRE 5920G, после покупки (3 года назад) я отдал его опытному программисту и он мне (за бабло) удалил лиценз Висту т.к. она постоянно вылетала и тормозила и поставил пиратку ХР сервис пак 2, все работало норм и я был доволен.
Месяца 3-4 назад при выключении начала выскакивать ошибка "завершение не отвечающей программы GUI Main" и комп выключался только после нажатия-Завершить сейчас-Отчет на отправлять. Я не придумал ничего лучше чем восстановить систему на пару месяцев назад когда этого прогона еще на было, это не помогло. Периодически эта ошибка меня мучает по сей день. Ни знаю связано ли это как-то с тем что произошло несколько дней назад или нет. А произошло следующее:
Последние года полтора я использую лицензионный антивирус "DR Web" оплачивая его через провайдера "дом.ру" Базы постоянно обновлены.
Вирус, под видом процесса SVCHOST.EXE постоянно грузит процессор на 50% все программы из-за этого тормозят, если его завершить компьютер требует выключения, так-же бывает процесс CMD.EXE грузит на 30%, но его можно завершить ничего не происходит. Проводил полную проверку докторвебом результата нет. Решил попробывать откатить систему на точку восстановления на 1 марта, в процессе этого появилось какое-то лечиво по английски, я не придал значения, после востановления появился банер в виде какой-то антивирусной программы XP Defender, которая тапа сканирует систему и находит 27 разных вирусов. Данная программа полностью на английском языке, также после включения компа выскакивает окно: Центр обеспечения безопасности WINDOWS в котором Брандмауэр отключен, Авт.обновление включено, Защита от вирусов отключена. Включить которые невозможно. Так же предлагается перейти по ссылке и зарегистрировать данный продукт на пол года-49$, на год-59$, на 2 года-69$. При этом полностью нарушен функционал ОС, программы не запускаются, при наведении мышки на "Пуск"-"Программы" появляется надпись-"Пусто":). Доктор веб мой кудато исчез, в трее его нет, по ярлычку не запускается. Диспетчер задач не открывается. Я решил установить и мне это удалось Касперского,пробную версию на месяц, обновил базы, задрал все настройки на максимум, очень был удивлен когда обнаружил в доверенных программах и исключениях знакомую программу SVCHOST.EXE, думаю ну все ща я победю, удалил её от туда, провел полную проверку, было найдено ограмное кол-во троянов, 1 вирус, опаснае программы, Касперский несколько раз перезагружал комп, писал что требуется специальное лечение, короче в итоге написал что удалить этот файл (SVCHOST.EXE)невозможно. Путь:C:\WINDOWS\SYSTEM32\SVCHOST.EXE, я залез вэту папку но такого файла там нет, есть просто SVCHOST, и SVCHOST(3).
Нужно отдать ему должное долбанный банер-вымогатель XP Defender пропал, но полностью вирус не исчез, по прежнему не работают программы, эта дрянь все ещё сидит в моем компе и пытается соединится с кем-то через инет, Касперский блокирует соединение.Дословно: обнаружено зашифрованное соединение (SSL\TSL)разорвано, Путь:C:\WINDOWS\SYSTEM32\SVCHOST.EXE
Не могу отключить восстановление системы, не работает панель управления и все программы, пишет выберите программу для открытия этого файла, запускать получается только правой клавишей и старт, ладно хоть браузер работает, сделал ровеку AVZ и логи как написано у вас, только не смог запустить их от имени админестратора т.к. требуется пароль, я пользуюсь компом один и никогда не ставил никаких паролей, может там по умолчанию какой-то пароль стоит?
С нетерпением жду ответа!
18.03.2010, 17:44
Шапельский Александр

Здравствуйте! Отключите восстановление системы!
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\documents and settings\Владелец\wuaucldt.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('c:\documents and settings\Владелец\wuaucldt.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
BC_ImportAll;
ExecuteSysClean;
Executerepair(1);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
18.03.2010, 18:58
Sokol444

Не могу отключить восстановление системы
уменя Windows XP:
Пуск > Пpогpаммы > Стандаpтные > Пpоводник Windows.
Кликнуть пpавой кнопкой мыши на "Мой компьютеp" (My Computer).
появляется маленькое окно "Панель управления" надпись: C:\WINDOWS\system32\rundll32.exe Приложение не найдено. и один вариант ОК!

Карантин прислал.
18.03.2010, 19:12
Шапельский Александр

c:\windows\system32\[B]wuaucldt.exe[/B]
c:\documents and settings\Владелец\[B]wuaucldt.exe[/B]
C:\WINDOWS\system32\[B]regedit.exe[/B]
Посмотрите в карантине есть ли эти файлы?
Если есть, то пришлите согласно Приложение 3 правил
18.03.2010, 19:40
Sokol444

Нет, таких нет.
Там есть два вот таких:
C:\WINDOWS\system32\Drivers\cdrom.sys
C:\WINDOWS\system32\sfcfiles.dll

Прислать их?
18.03.2010, 20:05
Шапельский Александр

Сделайте новые логи.
18.03.2010, 20:35
Sokol444

[QUOTE=shapel;606201]Сделайте новые логи.[/QUOTE]
Вот они
18.03.2010, 20:53
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
O4 - HKLM\..\Run: [plugin] "C:\Program Files\plugin.exe"
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKCU\..\Run: [syncman] c:\documents and settings\Владелец\wuaucldt.exe
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://virusinfo.info/pravila_old.html"] как- посмотреть можно тут[/URL]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\documents and settings\Владелец\wuaucldt.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('c:\documents and settings\Владелец\wuaucldt.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
QuarantineFile('C:\Program Files\plugin.exe','');
DeleteFile('C:\Program Files\plugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','plugin');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(1);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
18.03.2010, 20:57
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\Владелец\wuaucldt.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Program Files\plugin.exe','');
DeleteFile('C:\Program Files\plugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','plugin');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('c:\documents and settings\Владелец\wuaucldt.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
RenameFile('%windir%\system32\rundll32.exe', '%windir%\system32\rundll32.bak');
CopyFile('%windir%\system32\dllcache\rundll32.exe', '%windir%\system32\rundll32.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(1);
Executerepair(6);
Executerepair(8);
Executerepair(11);
Executerepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Пробуйте отключить Восстановление системы и сделайте новые логи.
18.03.2010, 21:23
Sokol444

Обязательно!!! Системное восстановление!!! как- посмотреть можно тут,------ по этой ссылке я все доскональна изучил, о чем речь? вы имеете ввиду отключить восстановление системы? я не могу это сделать, т.к. описал выше. Может есть какой-то другой способ отключить его?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

После того как я Профиксил в HijackThis, попробывал перезагрузится, экран потемнел все перестало работать, ЖЕСТЬ, перезагрузился через просто кнопкой((((
18.03.2010, 21:31
Шапельский Александр

Вы выполнили [URL="http://virusinfo.info/showpost.php?p=606239&postcount=9"]последний[/URL] скрипт?
18.03.2010, 21:35
Sokol444

Да последний скрипт выполнил, кажись помогло)))) Смог отключить восстановление системы.!!!!!! Проигрыватель может воспроизводить музыкальные файлы! Ща сделаю логи и пришлю карантин.
18.03.2010, 21:38
Шапельский Александр

Ок! Ждемс:)
18.03.2010, 21:50
Sokol444

[QUOTE=shapel;606281]Ок! Ждемс:)[/QUOTE]

вот
18.03.2010, 21:57
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%windir%\system32\rundll32.bak','');
DeleteFile('%windir%\system32\rundll32.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
18.03.2010, 22:00
Sokol444

Карантин выслал. Вроде все норм работает теперь!:D Спасибо чуваки! Спасли меня от этого геморроя. Так что-же это было? И как это опять не подхватить? Бесит то что я плачу ежемесячно за лиценз доктор вэб и выхватываю таких головняков...:furious3:

[size="1"][color="#666686"][B][I]Добавлено через 32 секунды[/I][/B][/color][/size]

а еще скрипт. щааа
18.03.2010, 22:07
Шапельский Александр

Проблема решена?
Рекомендую прочитать эти рекомендации--[URL]http://virusinfo.info/showthread.php?t=30339[/URL]
и [URL]http://security-advisory.virusinfo.info/[/URL]
18.03.2010, 22:11
Sokol444

Проблема решена. Спасибо!
20.03.2010, 23:04
Шапельский Александр

У Вас ПК не долечен, необходимо заменить C:\WINDOWS\system32\Drivers\[B]cdrom.sys[/B] этот файл из дистрибутива.
Как правильно заменить файл см. здесь--[URL="http://virusinfo.info/showthread.php?t=51654"]http://virusinfo.info/showthread.php?t=51654[/URL]
Затем сделайте логи!
21.03.2010, 23:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\cdrom.sys - [B]Rootkit.Win32.Agent.bdzp[/B] ( DrWEB: Win32.Lutin.2, BitDefender: Gen:Heur.Krypt.3 )[*] c:\windows\system32\drivers\cdrom.sys - [B]Rootkit.Win32.Agent.bdzq[/B] ( DrWEB: Win32.Lutin.2, BitDefender: Gen:Heur.Krypt.3 )[/LIST][/LIST]