svhost съедает процесор а тотал командер вытирает мои странички в нете

svhost съедает процесор а тотал командер вытирает мои странички в нете это основные симптомы и еще куча все возможных проблем часть которых вроде исчезла после выполнения всех операций описаных в ПРАВИЛАХ. ув.Гуру очень прошу помочь! так как не могу переустанавливать систему из за некоторых программ которые потом не востановлю. заранее спасибо

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\yatool.dll','');
QuarantineFile('D:\AUTORUN\AutoRun.exe','');
QuarantineFile('C:\r151_160.bat','');
QuarantineFile('C:\WINDOWS\system32\winload.dll','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\system32\winload.dll');
DeleteFile('C:\r151_160.bat');
DeleteFile('D:\AUTORUN\AutoRun.exe');
DeleteFile('sysfldr.dll');
DeleteFile('C:\WINDOWS\system32\yatool.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O2 - BHO: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - C:\WINDOWS\system32\winload.dll (file missing)
O2 - BHO: Yahoo Toolbar - {54C7D1DD-4296-451e-B756-1E94F665B4FF} - C:\WINDOWS\system32\yatool.dll (file missing)
O4 - HKLM\..\Run: [AutoRun] "D:\AUTORUN\AutoRun.exe" "/10"
O4 - HKLM\..\Policies\Explorer\Run: [MStask] C:\WINDOWS\svchost.exe
O4 - Startup: Ярлык для r151_160.lnk = C:\r151_160.bat
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
O22 - SharedTaskScheduler: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - C:\WINDOWS\system32\winload.dll (file missing)[/CODE]
Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=11492"]этой[/URL] ссылке. Повторите логи.

O4 - HKLM\..\Run: [AutoRun] "D:\AUTORUN\AutoRun.exe" "/10"
O4 - HKLM\..\Policies\Explorer\Run: [MStask] C:\WINDOWS\svchost.exe
O4 - Startup: Ярлык для r151_160.lnk = C:\r151_160.bat
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
O22 - SharedTaskScheduler: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - C:\WINDOWS\system32\winload.dll (file missing)

вот этих строчек там не было и простите чайника где взять тот самый файл карантина?

[QUOTE='danjastar;126209']где взять тот самый файл карантина?[/QUOTE]
[URL="http://virusinfo.info/showthread.php?t=4567"]По этой ссылке[/URL], начиная с пункта 5.
Или "Приложение 3. Как прислать запрошенные файлы." правил.

[B]danjastar[/B], Восстановите файл r151_160.bat , это файл маршрутизации в локальной сети и вставьте от него ярлык в автозагрузку иначе интернет с локалом вместе работать не будут (на всякий случай данный файл можно взять [URL="http://www.degunino.net/help/routing/"]там[/URL] либо взять оттуда программу автоматической настройки).

p.s. Sorry.

да спасибо с маршрутизацией я понял, ничего страшного! карантин я загрузил, файлы прилагаю, еще раз всем спасибо! вам надо как врачам степени и категории всякие присваивать,( например было бы так Вас обслуживает врач первой категории Shu_b) хорошее дело делаете товарищи!

Приношу извинение за удаление легитимного файла, всё ни как не могу привыкнуть, что настройки провайдер может давать в батнике. :)

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('ICF');
BC_QrFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
BC_QrFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\GPMFEZKJ\n2_31_07_07_0[1].exe');
BC_QrFile('C:\Downloads\Проги\mp3directcut\mp3DC202.exe');
BC_QrFile('C:\msntfgcl.exe');
BC_QrFile('C:\msntkkdf.exe');
BC_QrFile('C:\WINDOWS\csrss.exe');
BC_QrFile('C:\WINDOWS\smss.exe');
BC_QrFile('C:\WINDOWS\svсhost.exe');
BC_QrFile('C:\WINDOWS\system32\msswchx.dll');
BC_QrFile('C:\WINDOWS\Temp\13134089.exe');
BC_QrFile('C:\WINDOWS\Temp\1797720019.exe');
BC_QrSvc('ICF');
BC_DeleteSvc('ICF');
BC_DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O20 - Winlogon Notify: sysfldr - C:\WINDOWS\[/CODE]
Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=11492"]этой[/URL] ссылке. Повторите логи.

выполнено

Microsoft AntiSpyware + AnVir Task Manager + BitDefender Scan Server
- не много ли для одного компьютера.

Карантин загрузили после выполнения скрипта?

А что много? что посеветуете удалить? на сколько я понял они конфликтуют BitDefender находит вирусы в файлах карантина AVZ

про карантин не помню если честно на всякий случай загружаю сейчас новый уже точно после выполнения скрипта. проблема с svhost вроде не беспокоит тоесть процесов с таким именем по прежнему 6 но процесор они так не нагружают как раньше а про троянов BitDefender по прежнему активно сигнализирует
загрузил карантин еще раз вот номер на всякий случай
Файл сохранён как 070803_145416_virus_46b30958dc4ce.zip
Размер файла 3446
MD5 97d58103b6dc857a0629f1c673c7eb5b

На время лечения при помощи AVZ остальные надо отключать.

В карантине только ini-файлы. Ничего интересного не видно, похоже все убил BitDefender.
Надо повторить скрипт в "Защищенном режиме"

повторил скрипт в "безапасном режиме"
повторил логи
загрузил карантин

номера на всякий случай
Файл сохранён как070803_165238_virus_46b3251644bd4.zipРазмер файла3160MD520956ffb0f502f4cbd39bd44defc67ec


как мои дела? )

Карантин опять пуст. В логах все по-старому.
Поступаем так:

1.Профиксить строчку:
[CODE]O4 - HKCU\..\Run: [AnVir Task Manager] "C:\Program Files\AnVir Task Manager\AnVir.exe" Minimized[/CODE]

2.Проверить ВЕСЬ диск при помощи CureIt от Доктора Веба в защищенном режиме. А потом и в нормальном.

выполнил
работать стало все значительно лучше
поставил firefox
но про вирусы битдефендер сигнализирует

[code]
begin
QuarantineFile('C:\Program Files\PartyGaming\PartyPoker\RunApp.exe','');
QuarantineFile('C:\WINDOWS\system32\XRegLib.dll','');
end.[/code]

вот эти 2 файла и прислать,

А версия битдефендера старая . Кстати, на что ругается ? Полные пути к файлам даёт?

[B]danjastar[/B], лог Cure-It приложи к теме.

паника!!! sv chost вроде успокоился но появилась вторая проблема которая стала №1 в квадрате: мой сайт в интернете :http:super-krepeg.ru когда заходиш на него в мазиле загружает стартовую а при попытке перехода на другую страницу битдефендер сигнализирует о трояне гдето в папке с кэш фаирфокса и закрывает сесию боюсь что это не только у меня так но и у моих посетителей , пароли к сайту хранятся в тотал командере может от туда бида пришла и кроме того бит дефендер кричит переодически о вирусах в корне диска С

Выполните скрипт в AVZ:
[code]
begin
BC_QrSvc('msupdate');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки пришлите карантин по правилам и прикрепите сюда файл [B]boot_clr.log [/B]из папки с AVZ.

прилагаю запрошенный выше лог cureit

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

или не прилагаю размер большой ща удалю его и сделаю новый

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

выполнил! загрузил карантин, меня оооочень волнует положение на моем сайте, больше чем на локальном комьютере, уже и другие люди говорят что там вирусы, ХЕЛП............

[QUOTE]меня оооочень волнует положение на моем сайте, больше чем на локальном комьютере[/QUOTE]
С вашего сайта грузится [B]Trojan-Downloader.JS.Psyme.kr[/B]. Т.е. кто-то поимел ваш пароль на фтп, скорее всего украл его с вашего компьютера при помощи шпионской программы. Вот ее то мы и пытаемся у вас найти.

[I]msupdate [/I]в карантин не попал, видимо файл в базе безопасных.
Очевидно, шпион уже удален, т.к. в логах более ничего "интересного" нет.
Осталось поменять пароль на фтп и вычистить вредоносные коды со страниц сайта.

[QUOTE='Bratez;127552']вычистить вредоносные коды со страниц сайта.[/QUOTE] - это как и где прям в теле страницы? а как их распознать?

[QUOTE]это как и где прям в теле страницы?[/QUOTE]
Ну да...

[QUOTE] а как их распознать?[/QUOTE]
Ну свое от чужого отличить не так уж трудно.
Или вы сайт не сами делали?
Поищите тэги IFRAME.

[QUOTE='Bratez;127555']Или вы сайт не сами делали[/QUOTE] но с помощью дрим вейвера, я так понял что там должны быть ссылки на внешние ресурсы или нет? IFRAME и все или еще что то ?

[size="1"][color="#666686"][B][I]Добавлено через 31 секунду[/I][/B][/color][/size]

сам

Возможно, я поспешил с выводами относительно сервиса [I]msupdate[/I].
Давайте попробуем еще такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\windows\system32\mssrv32.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите новый карантин, если будет не пустой.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[QUOTE]я так понял что там должны быть ссылки на внешние ресурсы или нет? IFRAME и все или еще что то[/QUOTE]
Ссылки может и не быть, может быть скрипт или какая-нибудь длиннющая шестнадцатеричная константа, возможно что-то еще, я не силен в хтмл, яваскриптах и технологии этих псаймов...

по моему скрипт не выполняется коректно,пробовал дважды он написал что выполнил после чего пытаюсь сохранить карантин - AVZ зависает а фаерфокс вырубается при попытке запустить пишет что нет доступа ( тоже самое с IE ) после выполнения в окне АВЗ - много красного, в процессе выполнения скрипта надолго зависает на файле netapi32.dll

Загляните в папку Quarantine\<текущая дата>\ и почитайте содержимое *.ini файлов. Если в каком-то найдете упоминание о [B]c:\windows\system32\mssrv32.exe[/B], пришлите *.dat файл с тем же именем, как у ini (в виде архива с паролем [I]virus[/I]).

сделал

Свеженький! На Вирустотал никто однозначно не детектит, только несколько подозрений. Отправил в ЛК, подождем ответа.

ну хоть обозначили проблему! Спасибо большое! а что мне делать с сайтом? создать отдельную тему? менять пароль сейчас или дождаться излечения?

1. Ждем вердикта ЛК.
2. Удаляем зловреда.
3. Меняете пароль.
4. Чистите страницы.

3 и 4 уже выполнил но потом повторю! спс!

Вердикт от ЛК получен: avz00001.dta - Backdoor.Win32.Agent.art
Выполните скрипт:
[code]
begin
BC_DeleteSvc('msupdate');
BC_DeleteFile('c:\windows\system32\mssrv32.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новый лог HijackThis для контроля.

есть ! неужели я чист?

Да,теперь у вас всё чисто.
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!

РЕБЯТА всем огромное спасибо! жаль нельзя приложить к меседжу пиво ))) правильное дело делаете!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\avz00001.dta - [B]Backdoor.Win32.Agent.art[/B] (DrWEB: Trojan.MulDrop.8347)[/LIST][/LIST]