Winlogon 50%

Доброночь.

1. Не удалось выполнить 1 и 2 пункты правил\После загрузки инструментов.
Касперский с истекшей лицензией, а вот второй пункт заслуживает отдельного внимания.

Не удалось войти в безопасный режим. После выбора пункта загрузки "Безопасный режим" начинается загрузка. После строки навроде "Нажмите Esc для отмены загрузки vax347b.sys" следует перезагрузка компа. И не важно, дожидаюсь я загрузки или отменяю. Видимо проблема не в этом файле, а в том, что следует после него..


Сама проблема: winlogon грузит процессор, explorer жрет непомерно много памяти (60мб+) вместо 20-30мб. Иногда svchost начинает грузить проц.

Ранее, до того как вышел на ваш сайт, симптомы были следующие:
Во время выключения компьютера, в последний момент выскакивал синий экран, и комп уходил в ребут. Каждый раз запускалась проверка и оказывалось, что некоторые файлы, запущенных в тот момент приложений, умирали. Проверился Cure It'ом, нашлись троянцы, проблема с синим экраном устранилась.

спасибо за внимание

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,\\?\globalroot\systemroot\system32\y8pppia.exe,c:\windows\system32\a98302d0.exe,
O4 - HKCU\..\Run: [System Panel] C:\WINDOWS\system32\syspanel32.exe[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\RECYCLER\S-1-5-21-4951762843-8665788866-639402225-9587\hdav.exe','');
QuarantineFile('C:\WINDOWS\system32\syspanel32.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\y8pppia.exe','');
QuarantineFile('c:\windows\system32\a98302d0.exe','');
QuarantineFile('C:\Program Files\ToolBHO\module.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('c:\windows\system32\a98302d0.exe');
DeleteFile('\\?\globalroot\systemroot\system32\y8pppia.exe');
DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System Panel');
DeleteFile('C:\RECYCLER\S-1-5-21-4951762843-8665788866-639402225-9587\hdav.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(20);
ExecuteRepair(11);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи

в данный момент winlogon и svchost заняли 100% цп :O

Карантин не вижу, отсылали?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE]Сканирование запущено в 14.08.2010 23:19:54[/QUOTE] - старые логи мне зачем? Скрипт вообще выполняли? После него новые логи нужны.

через мозиллу не пошел оказывается. через оперу закачался О_о
скрипт выполнял, логи снял без последующего лечения, отсюда - syscheck является тем логом.
если что то делаю не верно - дайте наставление пожалуйста, сделаю как надо )

1. Скачайте "[B]OSAM[/B]" Online Solutions Autorun Manager [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]тут[/URL]. В меню драйверов правой кнопкой по [B]tlmcq[/B] и выберите "[B]Turn Run Off[/B]". Перезагрузку подтвердите.


2. [URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O18 - Filter hijack: text/html - (no CLSID) - (no file)
[/CODE]
3. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] в безопасном режиме
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Distrib\procexp.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\hinmmn.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\tlmcq.sys','');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
DeleteService('aic32p');
DeleteFile('C:\WINDOWS\system32\drivers\hinmmn.sys');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B])
- Скачайте [B]RSIT[/B] [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета [B]log.txt[/B] и [B]info.txt[/B]. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

спасибо за участие, проблема решилась сама собой - винда перестала грузиться, после чего была успешно ликвидирована залповым огнем )

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Zapchast.cbh[/B] ( DrWEB: Trojan.WinSpy.935, BitDefender: Trojan.Spy.Agent.OFN, NOD32: Win32/Agent.OSS trojan, AVAST4: Win32:Patched-TI [Trj] )[*] c:\\windows\\system32\\a98302d0.exe - [B]Packed.Win32.Krap.hr[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Dropper.TON, AVAST4: Win32:MalOb-CI [Cryp] )[/LIST][/LIST]