Слетает ОС подозрительные svchost

Отформатировал винт, установил с компакт-диска ОС, прогнал на вирусы с новыми расширенными базами КАВ 5.0.165, ничего не обнаружил. При запуске любого приложения в процессах появляется подозрительные процессы с именем "svchost.exe d516", например, система подвисает до тех пор пока не завершишь этот процесс. ПАМАГИТЕ неделю мучаюсь!!!

[QUOTE=lansod]Отформатировал винт, установил с компакт-диска ОС, прогнал на вирусы с новыми расширенными базами КАВ 5.0.165, ничего не обнаружил. При запуске любого приложения в процессах появляется подозрительные процессы с именем "svchost.exe d516", например, система подвисает до тех пор пока не завершишь этот процесс. ПАМАГИТЕ неделю мучаюсь!!![/QUOTE]
Возможно, в системе живет "зверь" с руткитом.
Необходимо:
1. Пролечить ПК с AVZ включенным противодействием руткитам и не выходя из AVZ поместить в карантин следующие файлы (описание, как искать файлы из AVZ есть в правилах):
c:\windows\temp\svchost.exe
c:\docume~1\user\locals~1\temp\svchost.exe
C:\WINDOWS\system32\drivers\mdvdrom.sys
System32\drivers\klmc.sys
2. Прислать данные файлы на анализ

Спасибо за оперативный ответ! Выслал файлы! С нетерпением жду ответа!!!

если есть файлы
D:\FIREWALL\DDK\BIN\NMAKE.EXE
D:\FIREWALL\DDK\BIN\LINK.EXE
d:\program files\mew9\mew32.exe
то пришлите посмотреть.

файлы
c:\windows\temp\svchost.exe 3d54
C:\Documents and Settings\user\Local Settings\Temp\SVCHOST.EXE D8E7
нужно удалить.

В папки windows файла нет, а в local setting он появляется при открытии приложения. Как избавится от rootkit может как-нибудь отформатироваться на самом низком уровне?

[QUOTE=lansod]В папки windows файла нет, а в local setting он появляется при открытии приложения. Как избавится от rootkit может как-нибудь отформатироваться на самом низком уровне?[/QUOTE]
Пришлите ещё любой EXE файл, при запуске которого вылезает этот левый svchost.
Скачайте [url=http://www.sysinternals.com/Utilities/Autoruns.html]Autoruns[/url]
Запустите Autoruns.exe, зайдите в опции и поставьте галки "Hide signed microsoft entries" и "Verify code signatures" нажмите обновить и сохранить лог, добавьте лог к следующему сообщению.

Отослал EXE файл и запускаемый с ним Svchost. Лог autoruns прикреплен здесь. Может кто подскажет как протестить на наличие rootkit. Я уже не верю что от этого можно избавиться (((

[QUOTE=lansod]Отослал EXE файл и запускаемый с ним Svchost. Лог autoruns прикреплен здесь. Может кто подскажет как протестить на наличие rootkit. Я уже не верю что от этого можно избавиться ((([/QUOTE]
Главное - делать все по порядку ... руткиты AVZ ловит, и он собственно показывает на наших подозреваемых.
Итак, насколько я понимаю, в момент запуска любого исполняемого файла в папке Temp появляется файл, аналогичный присланному. Тогда необходимо
1. Закрыть все программы, запустить AVZ, активировать AVZ Guard
2. Выполнить "Файл/Восстаноавление системы", там jnvtnbnm "Восстановление параметров запуска exe, com ...", "Удаление всех Policies", "Удаление отладчиков системных процессов" и нажать "Выполнить отмеченные операции"
3. Перезагрузиться, не выходя из AVZ и не выключая AVZ Guard
После перезагрузки посмотреть, сохранится ли этот эффект

PS: Файлы пришли, сейчас изучу и напишу о результате
И еще - попутно вопрос. Этот самый процесс "svchost.exe d516" появляется при запуске любой программы из Total Commander или при запуске любым способом (например, из проводника) ?

Guard отказался активироваться, пришлось заново скачать. После активации система подвисла. При попытке перезагрузки упали логические диски винта. Fdisk /mbr оживило диск С: остальная область стала неразмеченной. Скачал заново АВЗ и выполнил по инструкции улучшений не наблюдаю.
Запускать не имеет значения откуда, процесс "svchost.exe d516" появляется но с разным кодом в конце. И еще постоянно слетают установленные программы, архиватор ставлю после каждой перезагрузке. Комп постоянно ругается на то, что не найден перечень библиотек .dll и установочные файлы Винды подменены.

Присланный образец изучен - к нему приписано что-то в хвост по вирусному принципу, машинный код "зверя" в частности создает поток ... ни один из антивирей это пока не ловит и не лечит, в Лабораторию Касперского зверь уже отправлен

Поставил КАВ6, обновил базы, прогнал проверку в защищенном режиме по максимуму всех областей - ничего не найдено. То же самое и при обычной загрузки. При запуске приложения КАВ пишет "Программный модуль C:\Documents and Settings\user\Local Settings\Temp\SVCHOST.EXE 9CD6 установлен и запускается без взаимодействия с пользователем. Данное поведение характерно для троянских программ."
Упали все компы в сети, кроме одного. Отключение от сети не помогает.
Как скоро можно получить какой-либо ответ???

[QUOTE=Зайцев Олег]Присланный образец изучен - к нему приписано что-то в хвост по вирусному принципу, машинный код "зверя" в частности создает поток ... ни один из антивирей это пока не ловит и не лечит, в Лабораторию Касперского зверь уже отправлен[/QUOTE]
в vms drweb тоже отправлено, но пока ответа нет.

KAV не детектит пока этот вирус. Я отправил его аналитикам VBA и KAV, поскольку AVZ антитроян и не умеет лечить вирусы... От KAV пока тишина, да и вирус это какой-то неправильный - не хочет на тестовом ПК безобразничать

Не могу понять откуда "зверь" рождается!!! Даже БИОС сбрасывал! Поможет ли полное форматирование под ДОС с переразбиением винта??? Иногда день два машина работает, а потом все заново!

[QUOTE=lansod]Не могу понять откуда "зверь" рождается!!! Даже БИОС сбрасывал! Поможет ли полное форматирование под ДОС с переразбиением винта??? Иногда день два машина работает, а потом все заново![/QUOTE]
Попробуем разобраться. А пока нужно как можно скорее прислать нам еще неколько исполняемых файлов, при запуске которых проявляется такой эффект. Аналитики вирлаба VBA сейчас изучают зверя, им нужны образцы для создания и тестирования лечилки, хотя бы 2-3 разных файла
Еще момент - а в папке TEMP нет файла или папки с именем _t ?? Если есть, то нужно его прислать. А после этого почистить папку TEMP

Отправил. В папке temp файла с именем _t нет, все файлы оттуда удаляются кроме запущенных svchost

vms drweb ответил - Вирус: Win32.HLLP.Karud

ps. лечение реализовано.
pps. обновления баз пока нет.

[QUOTE=Shu_b]vms drweb ответил - Вирус: Win32.HLLP.Karud

ps. лечение реализовано.
pps. обновления баз пока нет.[/QUOTE]
Я изучил файл - приписывание зверя идет в начало файла и есть деструктив - убиение данных на диске. Заражает файлы в расшаренных папках ... Я на всякий случай у себя в сети решил ввести запрет на размещение EXE в расшаренных папках - от греха, для перестраховки

Что д-е-л-а-т-ь то???

[QUOTE=lansod]Что д-е-л-а-т-ь то???[/QUOTE]
Теперь только ждать пока вендоры выпустят обновления баз...
Но и после того, не надо расчитывать что антивирус всё вылечит.... возможны варианты...