Вирус, который сжирает пространство на системном диске.

Сразу хочу сказать, что в этих вирусах я мало чего смыслю, поэтому пишу как могу =))
В общем, у меня несколько проблем, но я так понимаю, что они связаны. Во-первых, когда я сижу в Нете (у мя выделенка), у меня с завидной регулярностью вылезают два окошка: svchost.exe - ошибка приложения и [B][SIZE=1]Generic Host Process for Win32 Services. И если я нажимаю "отмена" или "не отправлять отчет" Интернету как по башке дают и он больше не работает, пока не перезагрузишь. И второе: с удивительной быстротой сжирается пространство на диске. Причем, чем больше окошек с ошибкой открывается, тем меньше памяти становиться. Вчера я вообще чуть не умерла, когда увидела, что на жеском диске осталось 2 МБ. Помогите, пожалуйста!!!
[/B][/SIZE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('csrs.exe','');
QuarantineFile('C:\WINDOWS\system32\srshost.exe','');
RebootWindows(false);
end.[/CODE]Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите".

Проблема Generic Host Process for Win32 Services решается:
1) Установка всех патчей;
2) Установкой и настройкой firewall; [url]http://forum.kaspersky.com/index.php?showtopic=30127[/url]
3) Отключением служб; [url]http://forum.kaspersky.com/index.php?showtopic=30184[/url]
4) Всеми вышеперечисленными способами.

На карантин не поместилось ни одного файла. Что делать дальше?

Файл csrs.exe поищите и пришлите как написано [URL="http://virusinfo.info/showthread.php?t=4567"]здесь[/URL].

Для карантина rshost.exe [URL="http://virusinfo.info/showthread.php?t=7239"]выполните[/URL] скрипт в AVZ
[CODE]begin
BC_QrFile('C:\WINDOWS\system32\srshost.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите".

Файл csrs.exe не нашелся. Крипт выполнен, на карантине ни одного файла.

[quote=MaXim;112423]
2) Установкой и настройкой firewall; [URL]http://forum.kaspersky.com/index.php?showtopic=30127[/URL]
[/quote]
Не помогло.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\srshost.exe');
DeleteFile('csrs.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]Повторите логи.
[QUOTE]Не помогло.[/QUOTE]Тогда спасение одно - отключить службы. А что у Вас за файрвол?

В начале темы я писала, что в компах разбираюсь плохо, поэтому я бы с удовольствием сказала что у меня за файрвол, если бы знала что это. ;)
Отключить службы? Попробую.
Скрипт выполнен - ноль эмоций. Никакого карантина и вообще ничего.
Кстати, это нормально, что после каждого скрипта комп перезагружается?

[quote=Aeon Flux;112467]Кстати, это нормально, что после каждого скрипта комп перезагружается?[/quote]
Да, нормально

[QUOTE]В начале темы я писала, что в компах разбираюсь плохо, поэтому я бы с удовольствием сказала что у меня за файрвол, если бы знала что это.[/QUOTE]Понятно. Поэтому и не помогло, потому что наверняка файрвола нет. [QUOTE]Скрипт выполнен - ноль эмоций. Никакого карантина и вообще ничего. [/QUOTE]Это нормально.[QUOTE]Кстати, это нормально, что после каждого скрипта комп перезагружается?[/QUOTE]Это тоже нормально.

Логи сделайте ещё раз.

[quote=MaXim;112471]Понятно. Поэтому и не помогло, потому что наверняка файрвола нет. [/quote]
А надо? И где его взять?
Логи сейчас повторю.

@Aeon Flux
1. Загрузитесь в безопасном модусе: [url]http://virusinfo.info/showthread.php?t=9279[/url]
2. Запустите АВЗ, Меню Сервисы/Диспетчер процессов
3. Найдите процесс [B]srshost.exe[/B] , замаркируйте и убейте его (крест справа)
4. Там же Сервисы/Поиск файла задайте [B]srshost.exe[/B], Пуск
Находку запакуйте в карантин, потом удалите.
5. Закройте АВЗ
6. Запустите HiJackThis и пофиксите
[QUOTE]O4 - HKLM\..\Run: [Intel Driver] csrs.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKLM\..\RunServices: [Intel Driver] csrs.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\srshost.exe[/QUOTE]
7. Перегрузите систему в нормальном модусе и сделайте новые логи.

[QUOTE=Aeon Flux;112475]А надо? И где его взять?
Логи сейчас повторю.[/QUOTE]Я же Вам написал, что нужно установить файрвол, а Вы ответили, что не помогло... По файрволу у нас есть отдельный раздел. Милости просим туда.

[quote=Rene-gad;112477]@Aeon Flux
3. Найдите процесс [B]srshost.exe[/B] , замаркируйте и убейте его (крест справа)
4. Там же Сервисы/Поиск файла задайте [B]srshost.exe[/B], Пуск
Находку запакуйте в карантин, потом удалите.
Перегрузите систему в нормальном модусе и сделайте новые логи.[/quote]
В процессах нет srshost.exe

[B]MaXim[/B]
по этой ссылке я загрузила WindowsXP-KB921883-x86-RUS, только я понятия не имею что это такое. Файрвол я загрузила SensiveGuard.

[QUOTE]В процессах нет srshost.exe[/QUOTE]Это хорошо.
[QUOTE]по этой ссылке я загрузила WindowsXP-KB921883-x86-RUS, только я понятия не имею что это такое.[/QUOTE]А вот это плохо. Плохо, что не понимаете. Это патч, который нужно установить.
[QUOTE]Файрвол я загрузила SensiveGuard.[/QUOTE]Прекрасно. Устанавливайте и настраивайте.

Установила SensiveGuard, патч тоже установила. Только все тоже самое. И комп не сразу загружается, и ошибки вылезают, и места на диске 47 МБ.
Мне повторить логи?
У меня в Каспере на карантине стоит файл srshostu.exe Каспер говорит он заражен и не лечиться. Его можно удалить?

[QUOTE]Установила SensiveGuard[/QUOTE]А настраивать кто будет? ;)
[QUOTE]У меня в Каспере на карантине стоит файл srshostu.exe Каспер говорит он заражен и не лечиться. Его можно удалить?[/QUOTE]Можно. У Вас Касперский Про или Персонал?

Настраивать буду я, наверное =)) Я подумаю об этом ;))
У меня Касперский Персонал.

Что мне делать дальше? Все равно пространство жрет. Повторить логи, может?

[QUOTE=Aeon Flux;112544]Что мне делать дальше? Все равно пространство жрет. Повторить логи, может?[/QUOTE]
Вы [URL="http://virusinfo.info/showpost.php?p=112477&postcount=11"]пофиксили[/URL] то, что я просил? Если да - сделайте новые логи.

Закачиваю новые логи. Посмотрите пожалуйста!

The Lion King.exe - в автозапуске зачем ? Что за зверь ?
А так ничего интересного не видно :(

[QUOTE=drongo;112787]The Lion King.exe - в автозапуске зачем ? Что за зверь ? [/QUOTE]Ничего особеного - [URL="http://www.swarmz.com/swarmz-download-p2p-file.php?tth=IWNA7HX6S337XWRHWDSX5OMUGCY6PG252KIN47Q"]Р2Р-Ворота[/URL] для следующей инфекции ;)

[quote=Rene-gad;112789]Ничего особеного - [URL="http://www.swarmz.com/swarmz-download-p2p-file.php?tth=IWNA7HX6S337XWRHWDSX5OMUGCY6PG252KIN47Q"]Р2Р-Ворота[/URL] для следующей инфекции ;)[/quote]

Я бы с такого льва содрал бы шкуру и повесил для красоты на десктоп ;) Меня больше интересует , что знает о нём [B]Aeon Flux[/B] .

Это игрушка моей сестренки. Из короля льва. Точнее, не игрушка, а СкринМэйт. Я могу его удалить, но вряд ли это он оставил на моем системном диске 332 КБ

[QUOTE=drongo;112790]Я бы с такого льва содрал бы шкуру и повесил для красоты на десктоп.[/QUOTE]
Живодёр [img]http://cheesebuerger.de/images/more/bigs/c007.gif[/img]
[QUOTE]Меня больше интересует , что знает о нём [B]Aeon Flux[/B] [/QUOTE]
Подожди, скоро узнаем [img]http://cheesebuerger.de/images/smilie/frech/p046.gif[/img]

А в папке Windows должны быть какие-то странные папки с именами $hf_mig$ и $NtUninstallKB921883$ Что это за ерунда?

[QUOTE=Aeon Flux;112879]А в папке Windows должны быть какие-то странные папки с именами $hf_mig$ и $NtUninstallKB921883$ Что это за ерунда?[/QUOTE]
Эти папки создает сама система при обновлениях. В них собрана информация на случай, если пользователю вздумается удалить какое-либо обновление (поэтому [B]Uninstall[/B]). Если на диске мало места эти папки можно удалить.