svchost.com внезапно стал просить внести изменения

Здравствуйте! Возникли сомнения по поводу процесса svchost.com, что это файловый вирус. Расположен в C:\Windows\svchost.com. При запуске любого приложения выходит окно Контроль учетных записей пользователей (Windows7), чтобы под правами администратора разрешить внести изменения этой программе. Соответственно без разрешения ни одно приложение не запускается, в том числе и Dr.Web CureIt!, [B][/B]а нажать Да рука не поднимается, т.к. не понятно с чего вдруг это началось. Как поступить в такой ситуации, чтобы сделать логи? Компьютер не выходит в безопасный режим, только дает возможность в BIOS выбрать загрузочное устройство.

Уважаемый(ая) [B]skadi[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Пока меня не было за компьютером мои домашние умники уже нажали эту пресловутую Да. Ну, зато можно сразу запустить утилиту др.веб. Результат - во всех ехе-шках, и в обновлениях винды, сидел Win32.HLLP.Neshta. Утилита обезвредила их. Теперь нужно логи делать?

Вы заражены файловым вирусом Neshta! Пожалуйста, пролечитесь как указано в этой теме: [URL="http://virusinfo.info/showthread.php?t=15927"]Как вылечить систему от файлового вируса?[/URL], а после этого сделайте и прикрепите новые логи.

После первой проверки ДрВеб провел лечение. После Вашего ответа при повторной проверке с диска вебовская утилита ничего не нашла. Логи сделаны.
Кстати, после лечения при перезагрузке стало появлять некое сообщение (во вложение скрин), а также слетела мозилла фаерфокс (но это не критично).

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\Max\AppData\Roaming\askme\5minecraft.ru.url','');
DeleteFile('C:\Windows\system32\Tasks\{255D106A-6DA3-4F45-8FAE-1FB7DF91553E}','64');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[LIST=1][*]Вставьте диск, с которого устанавливали Windows (либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.[*][LIST][*]Если у вас windows Vista или windows 7 откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".[*]Если у вас windows XP откройте меню Пуск (Start) -> Выполнить (Run)[/LIST]
[*]Введите sfc /scannow и нажмите Энтер.[*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.[*]После того как закончится проверка в командной строке введите команду:
[CODE]findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log>%SYSTEMDRIVE%\sfcdetails.txt[/CODE][*]После выполнения вышеописанных операций в корне системного диска (тот диск,на котором установлена операционная система-как правило диск С) найдите файл sfcdetails.txt, прикрепите его к следующему сообщению.[/LIST]


- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Как выполнить п.1, если у меня нет диска, с которого устанавливали Windows? ...(упс, нашелся образ диска установщика, надеюсь подойдет смонтированный образ диска)
Скрип выполнен, но при загрузке карантина по ссылке вверху пишет - Ошибка загрузке, данный файл уже был загружен.
п.2 и 3 выполнены, написал, что ничего не нарушено. (правда AVZ пришлось скачивать заново, прежний вместо названий закладок и строк имел цифры и проценты)
нужные файлы вложены.

[quote="skadi;1101224"]Как выполнить п.1, если у меня нет диска, с которого устанавливали Windows?[/quote]
...
[quote="regist;1101218"](либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.[/quote]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ посмотрите такой файл у вас есть? Он вам знаком?
[CODE]C:\Users\Max\AppData\Roaming\askme\5minecraft.ru.url[/CODE]
Заархивируйте его в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

[QUOTE]либо другой но с той же локализацией [/QUOTE]
что-то мне не понятно это...

[QUOTE]+ посмотрите такой файл у вас есть? Он вам знаком?
Код: C:\Users\Max\AppData\Roaming\askme\5minecraft.ru.url[/QUOTE]
По этому пути что-то не нахожу, есть вот такое C:\Users\Max\AppData\Roaming\.minecraft\5minecraft.ru.exe.

Выполните скрипт в AVZ

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Users\Max\AppData\Roaming\askme\5minecraft.ru.exe','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','minecraft-five');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

- Файл [b][color=Red]quarantine.zip[/color][/b] из папки AVZ загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.


- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

лог

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

я не пойму куда пропадают мои последние сообщения ))

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

ссылка http ://virusinfo.info/virusdetector/report.php?md5=750D937A11AB91733C868B3AE191BDB3

как и предполагал, вирус всё ещё активен.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
QuarantineFile('C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\MMLoadDrvPXDiscrete.exe', 'MBAM: Virus.Neshta');
QuarantineFile('C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\MOM.exe', 'MBAM: Virus.Neshta');
QuarantineFile('C:\Program Files (x86)\Common Files\Acronis\CDRecord\readcd.exe', 'MBAM: Virus.Neshta');
QuarantineFile('C:\Program Files (x86)\Common Files\Java\Java Update\jaureg.exe', 'MBAM: Virus.Neshta');
QuarantineFile('C:\Program Files (x86)\Common Files\microsoft shared\DW\DW20.EXE', 'MBAM: Virus.Neshta');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

пролечитесь как указано в этой теме: [url=http://virusinfo.info/showthread.php?t=15927]Как лечить файловый вирус?[/url], потом сделайте новые логи.

Скрипт выполнен без ошибок. Карантин закачан (MD5 ffa49431b3edc756bdff6a22c3f78dd5 )
Кстати, вчера, пока ждала ответа, была сделана полная проверка вебом (демо). Найдено 513 угроз, все "нечто". Вылечил он 377. Много из пострадавших ехе-шек из Program files не поддались лечению. На всякий прикладываю отчет.
Продолжаю выполнение инструкций.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Проверку вебовской утилитой проведена, правда только в нормальном режиме. Безопасный режим почему-то не запускается, даже после скрипта АВЗ на эту тему. В общем, угроз он не нашел. Логи сделаны.

[QUOTE]Найдено 513 угроз, все "нечто". Вылечил он 377. Много из пострадавших ехе-шек из Program files не поддались лечению.[/QUOTE]
Пока хоть один зараженный файл останется активным проблема не решится. Лечитесь с LiveCD диска лучше воспользоваться дисками Касперского или DrWeb.

1) Лечить из под вашей системы бесполезно, только напрасно теряете и своё и наше время. Лучше всего лечить с Live Cd (либо подключить винчестер к другому компу, но если не будете осторожны, то заразите и его).
2) Обязательно заархивируйте [U]несколько заражённых файлов[/U] в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

Я парочку файлов, которые DrWeb находил как зараженные и не смог вылечить отправила. Файл сохранён как 140320_122746_Desktop_532adec289960.zip MD5 1aeea461e524ac64178d9b98335d9c68
Пошла лечить с Live Cd

[quote="skadi;1101545"]Я парочку файлов, которые DrWeb находил как зараженные и не смог вылечить отправила.[/quote]
эти файлы чистые, доктор веб на них тоже не ругается. Так что если проблема сохранится, то пришлите несколько заражённых файлов.

Проверка с помощью DrWeb LiveCd отрицательного результата не дала. Написал, что угроз не обнаружено, правда при этом все архивы и образы дисков выдал в список файлов, которые невозможно проверить. Это почему так? Появилось желание их все вычистить с компа )))
Лечение реестра тоже запускала.
В общем, то ли проблема каким-то образом решилась, либо вирус ну такой хитрый... Можно спокойно жить дальше что ли? ))

Лог MBAM снова сделайте.

Лог MBAM сделан. Посмотрев на список, пришла к выводу, что все-таки надо потратить н-ное время, чтобы после многочисленных пользователей (в т.ч. детей) вычистить комп от всякого хлама....

проблема решена?

Ну, кажется да. Программы запускаются нормально, др.веб не ругается, МВАМ тоже только на кейгены поругался. Да и то, после оценки важности этих файлов и архивов, большая их часть оказалась в корзине... Вы как считаете, можно выдохнуть?...

MBAM деинсталируйте.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Да, MBAM снесла сразу после проверки, как сказано в рекомендациях.
Скрипт выполнен, нашел 2 уязвимости: про Java JDK и JRE все понятно, а вот с этим что делать -
[I][SIZE=2]Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=7dabf372-4b31-4c9e-a660-4e0f4a65db04[/url]
Запускайте обновление от имени Администратора[/SIZE][/I]

Установите обновление по ссылке.

Обновление установлено. В целом проблема решена. Огромное Вам человеческое спасибо.
Могу отблагодарить и так, и так )) во втором случае что за чистые файлы соберутся?

[quote="skadi;1102010"]во втором случае что за чистые файлы соберутся?[/quote]
пополняется базы безопасных файлов AVZ - меньше файлов выводится в ваш лог, в результате логи легче просматривать.

Посильная помощь с моей стороны оказана )) Как говорится, спасибо за то, что вы есть....

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]