Printable View
Здравствуйте. У меня такая проблема: вчера вечером компьютер стал ужасно тормозить, в диспетчера задач увидел что процесс svchost.exe грузит процессор на 100%. В компьютерах я не силен, как дать больше информации, к сожалению, не знаю. Следую инструкциям диагностики не смог открыть hijackthis , пробовал обе ссылку ,обычную и game. Надеюсь на Вашу помощь.
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\WINDOWS\system32\5fabc168.exe','');
QuarantineFile('C:\WINDOWS\system32\ntlanui2.dll','');
QuarantineFile('C:\WINDOWS\system32\plywdu.exe','');
QuarantineFile('C:\WINDOWS\system32\sidebar32.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\vdq1odu3.sys','');
DeleteFile('C:\WINDOWS\system32\sidebar32.exe');
DeleteFile('C:\WINDOWS\system32\plywdu.exe');
DeleteFile('C:\WINDOWS\system32\5fabc168.exe');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Secure Star');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
BC_ImportAll;
ExecuteSysClean;
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- [B]Обновите базы[/B]
- Повторите логи
В безопасном режиме запустить не получилось, жмал F8 никакой реакции.
Выполнял скрипт в обычном режиме. Карантин отправил.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]МВАМ[/URL]
Извиняюсь за свою тупость, зашел в безопасный режим щас пришлю логи.
Вот новые логи, кстати после безопасного режима вроде все стало нормально, svchost не грузит процессор.
Спасибо за Ваш труд , потраченное время и нервы )
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]МВАМ[/URL]
пожалуйста...
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] -
[CODE]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
Зараженные файлы:
D:\Установка\Dr.Web.13\infected.!!!\WDICA.sys (Rootkit.Bubnix) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP93\A0041718.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP93\A0041807.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP93\A0041946.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP93\A0042277.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP93\A0042599.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP93\A0042722.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP94\A0043015.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP94\A0043266.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP94\A0043608.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP95\A0044039.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP95\A0044392.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP95\A0044606.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP95\A0044719.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{460BE094-E536-4D1D-A2A3-2E04EA877147}\RP95\A0045045.exe (Trojan.Spambot) -> No action taken.
D:\System Volume Information\_restore{51B7AAB6-20DD-4601-9F9C-CA5127B87201}\RP11\A0003521.dll (Trojan.Agent.CK) -> No action taken.
D:\System Volume Information\_restore{FD6329F5-8400-41EE-8DBD-826152418669}\RP2\A0000212.exe (Malware.Packer) -> No action taken.
C:\Documents and Settings\Admin\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\Reconstruction.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine2.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- Не отключали восстановление системы, а рекомендация была.
Карантин отправил. На счет восстановления это я наверно начудил, извиняюсь, в биосе нажал load safe file только так я смог зайти в безопасный режим. А так восстановление всегда отключено.
Повторите лог МВАМ
пожалуйста...
Чисто, что с проблемой.
Проблемы больше нет, еще раз огромнейшее спасибо за помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\monoca32.exe - [B]Trojan.Win32.FakeAV.cqk[/B] ( DrWEB: Trojan.Botnetlog.502, BitDefender: Gen:Variant.Kazy.43, AVAST4: Win32:Crypt-HKP [Drp] )[*] c:\\windows\\system32\\plywdu.exe - [B]Backdoor.Win32.Shiz.tj[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Heur.FKP.1, AVAST4: Win32:MalOb-DS [Cryp] )[/LIST][/LIST]