Используется много оперативной памяти, скачет загрузка CPU.

Столкнулся с уймой троянов, руткитов, левых поисковиков и прочей гадостью. Вычистив большую часть вручную и через total uninstall, обнаружил, что компьютер стал жрать многовато ресурсов: 1.5-2 гигабайта оперативной памяти сразу после запуска системы, а загрузка CPU скачет процентов на 20, если ничего не происходит, а если что-то запустить, то доходит и до 80-90.
Посмотрев данные process explorer, заметил что ресурсы, в основном, уходят на svchost, но я их проверил: они свои и не запущены от юзера. AVZ намекает, что что-то все-таки сидит в svchost. Что это? Биткойн майнер? А то я не думаю, что какой-то еще дряни нужно столько ресурсов.

Уважаемый(ая) [B]Симеон Семёнов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Ge-Force\Ge-Force-codedownloader.exe','');
QuarantineFile('C:\Program Files (x86)\Sense\e9fb74db-6d54-483c-b8da-fd56e72101e6-4.exe','');
QuarantineFile('C:\Users\Владимир\AppData\Roaming\OAIXGJWQ.exe','');
QuarantineFile('C:\Users\Владимир\AppData\Roaming\Steam\Reversed\steam.exe','');
DeleteFile('C:\Users\Владимир\AppData\Roaming\Steam\Reversed\steam.exe','32');
DeleteFile('C:\Users\Владимир\AppData\Roaming\OAIXGJWQ.exe','32');
DeleteFile('C:\Program Files (x86)\Sense\e9fb74db-6d54-483c-b8da-fd56e72101e6-4.exe','32');
DeleteFile('C:\Program Files (x86)\Ge-Force\Ge-Force-codedownloader.exe','32');
DeleteFile('C:\Windows\Tasks\2ad41213-476b-46cc-b564-dd5d936346b0-1.job','64');
DeleteFile('C:\Windows\Tasks\e9fb74db-6d54-483c-b8da-fd56e72101e6-4.job','64');
DeleteFile('C:\Windows\Tasks\OAIXGJWQ.job','64');
DeleteFile('C:\Windows\system32\Tasks\Steam-S-1-8-22-9865GUI','64');
DeleteFileMask('C:\Program Files (x86)\Ge-Force', '*', true);
DeleteDirectory('C:\Program Files (x86)\Ge-Force');
DeleteFileMask('C:\Program Files (x86)\Sense', '*', true);
DeleteDirectory('C:\Program Files (x86)\Sense');
DeleteFileMask('C:\Users\Владимир\AppData\Roaming\Steam\Reversed', '*', true);
DeleteDirectory('C:\Users\Владимир\AppData\Roaming\Steam\Reversed');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

[QUOTE=thyrex;1191084]Сделайте новые логи.[/QUOTE]
Вот вторая пачка логов.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я что, с логами облажался? Нужно было заменять дефолтные настройки AVZ, касающиеся работы с HackTool и RiskWare?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Серьезно, товарищи, я уже сильно нервничаю. Может, карантин заново прислать?

Поместите в карантин МВАМ всё, [B]кроме[/B]
[CODE]HackTool.Wpakill, C:\Users\???»?°????????N?\Downloads\removewat.2.2.5\removewat.2.2.5\RemoveWAT.2.2.5.Hazar.carter67\RemoveWAT.exe, , [88e34bf3ceae75c1dac30c59ac5430d0],
Riskware.Tool.CK, C:\??N???????\???»N? windows 7\w7lxe_3010_ru_ru.exe, , [5a112e1086f6cd696a187a6a93717f81],
PUP.OperaPasswordTool, D:\OperaPassView.exe, , [d992c07e1d5f81b5fc0afd63d035c040],
PUP.Optional.OpenCandy, E:\MediaInfo_GUI_0.7.50_Windows_x64.exe, , [8ddee757463682b423347cfa768f1be5],
PUP.HackTool.LOIC, E:\ddos.zip, , [1c4f3fff57254aecbb7df86b639db64a],
HackTool.GamesCheat, E:\MANIA\?????????»???µ????N? N?N??°?»???µN??°\Stalker.rar, , [284392ac2854c5718535aeb52fd6718f],
Trojan.VirTool, H:\Program Files (x86)\GMT-MAX.ORG\The Walking Dead\steam_api.dll, , [ec7f68d69fdd52e4eefe6b1e49b93ec2],
Trojan.VirTool, H:\Program Files (x86)\King's Bounty.Warriors Of The North.v 1.3.1.6250u1 + 1 DLC\steam_api.dll, , [cf9c1925d4a8cc6a608c860311f1b848],
Malware.Gen.SKR, H:\R.G. Catalyst\Sleeping Dogs\buddha.dll, , [7fec90aed4a8ff3741b010b2f60a50b0],
Malware.Gen.SKR, H:\Sleeping Dogs\buddha.dll, , [1e4dac921e5e41f549a87b47ad5318e8],
[/CODE]

Раз вся эта дрянь находится только на C, то и сканировать для последующей добавки в карантин тоже только его? Я сомневаюсь, что перенесу еще один семичасовой процесс сканирования всего.

Да, можете отметить только диск С

Ну, в карантин МВАМ я все это добавил, потом оттуда удалил. Но AVZ все еще говорит, что функции .dll библиотек перехватываются. Поэтому очередная пачка логов (на utorrent не обращайте внимания, это свежий с оффсайта).

[quote="Симеон Семёнов;1191598"]Но AVZ все еще говорит, что функции .dll библиотек перехватываются[/quote]Это нормальные записи

Выполните скрипт в AVZ
[code]begin
DeleteService('SPDRIVER_1.37.0.1409');
DeleteFile('C:\Program Files (x86)\ShopperPro\JSDriver\1.37.0.1409\jsdrv.sys','32');
DeleteFile('C:\Program Files (x86)\VPets\VPets.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VPetsPlayer','command');
DeleteFileMask('C:\Program Files\VPets', '*', true);
DeleteDirectory('C:\Program Files (x86)\VPets');
DeleteFileMask('C:\Program Files (x86)', '*', true);
DeleteDirectory('C:\VPets');
DeleteFileMask('D:\VPets', '*', true);
DeleteDirectory('D:\VPets');
ExecuteSysClean;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Сделайте новые логи

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

Вы бы хоть предупредили, что этот скрипт почти всю папку Program Files (x86) потрет. Ладно, вот еще логи.

Извините, пожалуйста, это моя оплошность при правке скрипта :(

Восстановили содержимое папки?

Нет, думал что так и задумывалось. Хотя нужно было раньше написать, когда AVZ завис при выполнении скрипта. Раз я туда malwarebytes переустановил, то всякие программы для восстановления стертого не сработают? Ладно, ничего страшного, наверное, важные программы переустановлю потом. Что дальше-то делать?

[quote="Симеон Семёнов;1191709"]всякие программы для восстановления стертого не сработают?[/quote]Что-то я думаю, можно восстановить будет

Что с загрузкой процессора?

Загрузка процессора скачет, ~2.5 гигабайта оперативки при одном IE используются.

Майнер у Вас был, но его удалили еще первым скриптом. Затем основательно почистили мусор от Adware с помощью МВАМ. Странно, что это не помогло...

AVZ ведь все еще выдает предупреждения о том, что драйвер не загружается при "поиске перехватчиков API работающих в KernelMode" и "проверке обработчиков IRP".

Это нормальные записи в логе

Записи, может, и нормальные, но компьютер все еще ведет себя ненормально. Что делать дальше-то?

Отключение антивируса тоже не помогает?

Так нет ведь теперь у меня никаких антивирусов кроме MBAM, которого в автозагрузке нет.

IE у Вас тоже не должно быть, а Вы жалуетесь на использование памяти

Так IE у меня и установлен был просто в Program Files, a не в x86. В любом случае, 1.20 ГБ оперативной памяти сразу после запуска и без других программ и скачущая загрузка ЦП при 80% максимальной частоты все еще есть.

Это вряд ли уже в вирусах дело

Как вариант - отключить автозагрузку всех программ (уцелевших или нет - все равно отключать все), не имеющих отношения к системе, и проверить наличие проблемы

Не помогает. Может, есть какая-то возможность откатить настройки Windows на момент "до загрязнения"? Вот только встроенная система не поможет, т.к. бэкапа у меня не было.

Кстати, восстановление системы у Вас ведь включено. Попробуйте сделать откат (тем более может помочь после моего "убийственного" скрипта)

К сожалению, точки восстановления до загрязнения у меня нет. Плюс, после скрипта, пропала даже та, что была после загрязнения.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]