Система тормозит

Столкнулся с такой проблемой. Неделю, две назад проверялся на вирусы с помощью касперского - нашел кое-какое добро и плюс вирус Trojan.Downloader.6177 в winlogon.exe. Файл этот я заменил на чистый.
Со вчерашнего дня система начала тормозить, особенно при работе в с папками и файлами. Проверка на вирусы NOD32 ничего не дала, однако virustotal.com засек в винлогоне опять туже заразу. Кроме того, вчера диспетчер процессов в AVZ засек замаскированный процесс. Сегодня утром в безопасном режиме с откл. сетью проверил ПК AVZ и NODом - ничего. В общем высылаю логи.

Логи сделаны в обычном режиме или в безопасном?

Режим обычный, при чем винлогон не вылечен.

C:\WINDOWS\system32\RAinit.dll
C:\WINDOWS\System32\rtcres.dll
C:\WINDOWS\System32\spool\PRTPROCS\W32X86\RAproc.dll
System32\drivers\A4SII300.SYS
System32\Drivers\kpem.SYS
System32\DRIVERS\ramirr.sys
C:\WINDOWS\Installer\{199B7F78-69B7-47C5-8D4B-A3ED1391FB6B}\NewShortcut1_8C7A59A89ABE459A9A9308C281A4A264.exe

Перечисленные файлы нужно прислать на проверку. А система может тормозить потому что остались хвосты от Нортона

Файлы пришлю. а что касается нортона, то ПК стоит на работе, в сети, ну соответственно всем поставили симантек. А ввиду его очевидной бесполезности, я просто его отрубил до лучших времен и поставил нод. Торможение началось еще при нортоне.

Жаль что не сохранились логи когда АВЗ обнаружил замаскированный процесс.

Желательно выложить протокол сканирования AVZ.
---
5. Выполните сканирование системы при помощи AVZ, для этого нажмите на кнопку Пуск сразу после запуска программы.
---
Подозрение вызывает строка в логе Hijackthis
O20 - Winlogon Notify: crypt32chain- - C:\WINDOWS\

[url]http://www.processlibrary.com/directory/files/crypt32chain/[/url]

Сможете содержимое ключа HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
экспортировать в файл и выложить?

ОК. Протокол будет как только АВЗ завершит сканирование. Что касается вчерашнего лога с замаскированным процессом - сам сейчас кусаю локти, просто не было времени вчера вплотную этим заниматься. crypt32chain - его прибивать или пока подождать результаты обследования файлов??

Забыл вставить ветвь реестра.

Remotely Anywhere сами ставили?

Вот результат сканирования. Нет, но пк достался в наследство, поэтому может предыдущий хозяин, либо админы.

[QUOTE=ivan]Вот результат сканирования. Нет, но пк достался в наследство, поэтому может предыдущий хозяин, либо админы.[/QUOTE]
ну так выясните! RA позволяет удаленно управлять компьютером.

Уже выяснил - админы тут непричем...

[QUOTE=ivan]Уже выяснил - админы тут непричем...[/QUOTE]
ну так сносите его, раз сами не пользуетесь.

пофиксите в HijackThis строки:
O21 - SSODL: SysTray.Excn - {1722ECFF-4356-4f5b-B534-E67294FE75E9} - (no file)
O23 - Service: Service - Unknown owner - C:\WINDOWS\System32\Service.exe (file missing)

да еще у Вас Симантек и Нод на одной машине живут. Симантек лучше выкинуть.

после перезагружайтесь и проверяйте свои ощущения :-)

лог AVZ можно повторить, только выгрузите из памяти всякие там ворды, эксели, куипы (собственно как и сказано в ПРАВИЛАХ), а то в глазах рябит

Строку
O20 - Winlogon Notify: crypt32chain- - C:\WINDOWS\
в Hijackthis можно пофиксить - это мусор оставшийся после зачистки.

RA - там где он должен быть согласно отключенному процессу в msconfig не обнаружен, видать снесли его и осталась от него одна дллка. С симантеком сложнее - стоит пароль на удаление, узнать его не получится. Я все его процессы отключил, но почему то висит в списке авз длл нортоновская, ее можно как нибудь отключить? После перезагрузки - та же песня, тормоза жуткие, минут на 2-3 - все просто замирает. При запуске проводника или панели управления, все также замирает на какое то время. При чем это началось до установки НОДа. Так что 2 антивируса вместе не при чем. Вот лог без мусора, и после фикса хайджеком.

Вот лог, забыл прилепить

[QUOTE=ivan]RA - там где он должен быть согласно отключенному процессу в msconfig не обнаружен, видать снесли его и осталась от него одна дллка. [/QUOTE]
там была не одна DLL от RA, а три файла (среди присланных):
C:\WINDOWS\system32\RAinit.dll
C:\WINDOWS\System32\spool\PRTPROCS\W32X86\RAproc.dll
C:\WINDOWS\System32\DRIVERS\ramirr.sys

еще у Вас есть руткитоподобное C:\WINDOWS\System32\Drivers\kpem.SYS
возможно его выгрузка поможет.

и еще пришлите файл mksicon.dll (искать нужно из AVZ)

mksicon.dll находится в списке авз среди расширений проводника, однако при добавлении его в карантин он там не появляется. Поиск этого файла через авз или через штатный поиск ничего не дает. kpem.sys я проверял на вирустотале - результат опять нулевой ничего в нем не обнаружено. Сейчас попробую его переименовать и проверить что будет.

[QUOTE]mksicon.dll находится в списке авз среди расширений проводника, однако при добавлении его в карантин он там не появляется.[/QUOTE]
А если поискать в защищённом режиме?

[QUOTE=ivan]mksicon.dll находится в списке авз среди расширений проводника, однако при добавлении его в карантин он там не появляется. Поиск этого файла через авз или через штатный поиск ничего не дает. [/QUOTE]
надеюсь противодействие руткитам было включено?

в любом случае, выкинуть этот файл из расширений проводника не помешает, ибо проблемы у Вас при работе с проводником, а этот файл однозначно получается странный

В защищенном - то бишь в безопасном? Если да, то тоже ничего не находится, хотя авз его нисмотря ни на что отмечает его.

если с livecd загрузиться, то должен найтись ;)

[QUOTE=agnec]если с livecd загрузиться, то должен найтись ;)[/QUOTE]
ну откуда нормальному юзеру взять livecd???

1. купить готовый (типа "загрузочный с антивирусами")
2. качнуть с инета (образ найти не проблема)

[QUOTE=agnec]1. купить готовый (типа "загрузочный с антивирусами")
[/QUOTE]
не все диски одинаково полезны.
тем более с древними антивирусами.

[QUOTE=agnec]
2. качнуть с инета (образ найти не проблема)[/QUOTE]
100-600mb? и кто будет столько качать?
нет, это все фантастика.

каюсь, халявный инет по выделенке меня испортил ;)
значит остается купить :)

[QUOTE=agnec]каюсь, халявный инет по выделенке меня испортил ;)
значит остается купить :)[/QUOTE]
а я веду к тому, что надо как-то решать проблемы подручными средствами

Есть BartPe - подойдет? или лучше че нибудь из линукса? Кстати, сейчас проверяюсь rootkitrevealer, при проверке найден запрятанный ключ реестра. По названию его я вышел на один файлик sys в системной директории. Может быть имеет смысл его тоже отправить для проверки?

[QUOTE=ivan]Есть BartPe - подойдет?
[/QUOTE]
да

[QUOTE=ivan]
Кстати, сейчас проверяюсь rootkitrevealer, при проверке найден запрятанный ключ реестра. По названию его я вышел на один файлик sys в системной директории. Может быть имеет смысл его тоже отправить для проверки?[/QUOTE]
конечно присылайте

mksicon.dll в барте тоже не нашелся. А не может быть такого что он был удален и о нем осталасть только запись где-нибудь в реестре? Что касается RootkitRevealer, то он нашел 2 ключа в реестре, которые не видны в редакторе реестра, как их можно удалить? Кроме того, он нашел в папках с кэшем экплореровским скрытые файлы, я их в барте удалил и плюс - заменил винлогон зараженный на чистый, посмотрим что с ним дальше будет.

Интересное дело - не прошло и пару часов, а чистый винлогон опять заражен этой дрянью - называется у касперского Trojan.Win32.Agent.gq. Причем в инете я не лазил, видать что-то с пк его подгружает. То что NOD промолчал значит ли что его отрубили?

[quote=ivan]Интересное дело - не прошло и пару часов, а чистый винлогон опять заражен этой дрянью - называется у касперского Trojan.Win32.Agent.gq. Причем в инете я не лазил, видать что-то с пк его подгружает. То что NOD промолчал значит ли что его отрубили?[/quote]
пришлите его на просмотр

[QUOTE=ivan]То что NOD промолчал значит ли что его отрубили?[/QUOTE]

То, что пришло - по НОД Win32/Agent.NAI. Возможно настройки НОД не соответствуют необходимым, выставьте уровень защиты на максимум. Возможно НОД не фунциклирует.

При установке я изменял умолчальные установки на самые максимальные.

Хм. Дело в том, что у меня при максимальных настройках НОД грохает эту заразу.

Видимо дело в том, что я вынужден был поставить NOD на зараженную систему.