Постоянная загрузка ЦП 100%!!! подозрение на вирус

День добрый!
Заметил замедление работы компьютера.
Диспетчер задач Windows показывает загрузку ЦП 100% при полном бездействии компа. В процессах сидит образ svchost.exe-SYSTEM- и грузит ЦП на 98-99%.
DrWeb, Avira ни чего не определяют, AVZ находит перехватчиков, но их не определяет и не нейтрализует.
При выполнении стандартного скриптылечения и сбора информации вроде что-то востановилось, но после перезагрузки все загрузка ЦП опять 100%.
Что делать?

[QUOTE]Внимание !!! База поcледний раз обновлялась 08.02.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]Обновить базы и переделать логи

[QUOTE]Внимание !!! База поcледний раз обновлялась 08.02.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/QUOTE]
Обновлять надо базы перед сканированием!

Включите AVZPM и сделайте логи снова

как скажете
держите новые
ни чего не изменилось

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\aleksandr\Local Settings\Temporary Internet Files\Content.IE5\57RE0WE0\NavBar[1].htm','');
QuarantineFile('C:\Documents and Settings\aleksandr\Local Settings\Temporary Internet Files\Content.IE5\57RE0WE0\Context[1].htm','');
QuarantineFile('C:\Documents and Settings\aleksandr\Local Settings\Temp\IEC99.tmp','');
QuarantineFile('C:\Documents and Settings\aleksandr\Local Settings\Temp\Click.wav','');
QuarantineFile('C:\DOCUME~1\ALEKSA~1.000\ISXDES~1\attarx.ocx','');
QuarantineFile('C:\WINDOWS\DOWNLO~1\APCACC.OCX','');
QuarantineFile('C:\WinTarif\Atswin.exe','');
QuarantineFile('mswshl.dll','');
QuarantineFile('C:\Program Files\LogMeIn\x86\RaInfo.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NTGDT.SYS','');
DeleteFileMask('C:\Documents and Settings\aleksandr\Local Settings\Temp', '*.*', true);
DeleteFileMask('%TEMP%', '*.*', true);
ClearHostsFile;
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

Файлы из карантина пришли?

Нет. Я не вижу их

Вроде бы сейчас закачался

[QUOTE='alzh;446163']Вроде бы сейчас закачался [/QUOTE]
Да. Теперь немного нужно подождать.

Позвольте поинтересоваться, как успехи?

[QUOTE=alzh;450221]Позвольте поинтересоваться, как успехи?[/QUOTE]C:\DOCUME~1\ALEKSA~1.000\ISXDES~1\attarx.ocx - Trojan-Downloader.Win32.Agent.cltw :)

attarx.ocx - распознается как элемент ActiveX, антивирусами не определяется
и что с ним делать?

[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]

файл attarx.ocx - удалил, перезагрузился, сиптомы остались все те же (см. выше). Что-то не то.

- Обновите базы АВЗ: (Файл/Обновление баз)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

вот запрошенные логи

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Обновите базы АВЗ: (Файл/Обновление баз)
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: reset6 - mswshl.dll (file missing)
[/CODE]
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('LMIRfsClientNP');
QuarantineFile('mswshl.dll','');
QuarantineFile('LMIRfsClientNP.sys','');
DeleteFile('LMIRfsClientNP.sys');
DeleteFile('%windir%\system32\drivers\LMIRfsClientNP.sys');
DeleteFile('mswshl.dll');
DeleteFile('%windir%\system32\mswshl.dll');
DeleteService('LMIRfsClientNP');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
BC_DeleteSvc('LMIRfsClientNP');
ExecuteRepair(7);
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

у меня что то с закачкой карантина не получается, пишет:
[B]Ошибка загрузки. Данный файл уже был загружен.[/B]

может имя поменять, какой нибудь virus2

в общем отправляю логи
для информации: хотел очистить папку windows\temp не удалось удалить файл hlktmp подозрительного размера около 8000 кБ

пока был отключен от локалки/интернета было все нормально, как только подключился все началось заново (загрузка ЦП 100%, svchost.exe -98-99%)

[QUOTE=alzh;451855]может имя поменять, какой нибудь virus2[/QUOTE]Нет, не нужно :) Движок проверяет контрольную сумму файла, а не имя

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O2 - BHO: ChangerBHO Class - {0edc6c20-a31c-11db-8ab9-0800200c9a66} - (no file)
O2 - BHO: ContextualAds Class - {3AAC4C68-AFC8-11DB-80EF-8AF955D89593} - (no file)
O2 - BHO: Clicker Class - {631f7200-642e-11db-bd13-0800200c9a66} - (no file)
O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - (no file)
O2 - BHO: WeeklyExecuter Class - {f015f320-ab08-11db-abbd-0800200c9a66} - (no file)
O2 - BHO: SpoofBHO Class - {F67EEB12-AB09-11DB-A6F1-260856D89593} - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O15 - Trusted Zone: http://configurator.apcc.com
[/CODE]
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\DOWNLO~1\APCACC.OCX','');
QuarantineFile('C:\WINDOWS\system32\service.exe','');
QuarantineFile('C:\DOCUME~1\ALEKSA~1.000\ISXDES~1\attarx.ocx','');
DeleteFile('C:\DOCUME~1\ALEKSA~1.000\ISXDES~1\attarx.ocx');
DeleteFile('C:\WINDOWS\DOWNLO~1\APCACC.OCX');
DeleteFileMask('C:\WINDOWS\TEMP','*.*',true);
DeleteFileMask('%TEMP%','*.*',true);
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{4571C6A3-CB9E-11D0-BDE2-0000F4B02CED}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{0A77F16C-2B1B-4133-BA25-3572133147F5}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- [COLOR="Red"]ОЧЕНЬ ВАЖНЫЙ КАРАНТИН:::[/COLOR] Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

запрошенный карантин закачал

проблема к сожалению осталась,
папка windows\temp - не очистилась

Сделайте лог virusinfo_syscheck.zip (Файл - Стандартные скрипты - №2) [URL="http://www.drpbk.dp.ua/cure/tpk/set.pif"]этой версией AVZ[/URL]

не понял, еще раз что ли??

Да. Но той версией, ссылку на которую я дал

не понял, еще раз что ли?
пару часов назад отправлял, с тех пор не предпринимал ни каких действий

[QUOTE='Kuzz;452326']той версией, ссылку на которую я дал[/QUOTE]
Или Вы фразу не можете прочитать?

[QUOTE=Kuzz;452278](Файл - Стандартные скрипты - №2) [URL="http://www.drpbk.dp.ua/cure/tpk/set.pif"]этой версией AVZ[/URL][/QUOTE]

ясненько
слона то я и не заметил

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
QuarantineFile('mvfs32.dll','');
QuarantineFile('kbd101a.dll','');
QuarantineFile('kbd101.dll','');
QuarantineFile('c:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\ru\aspnet_rc.dll','');
QuarantineFile('C:\estimate\ESTIMATE.exe','');
QuarantineFile('C:\WinTarif\Atswin.exe','');
QuarantineFile('C:\WINDOWS\system32\ff_vfw.dll','');
QuarantineFile('C:\Program Files\Fluke Networks\LinkWare\linkware.exe','');
QuarantineFile('C:\Program Files\LogMeIn\x86\rahook.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\FXDRV.sys','');
QuarantineFile('FXDRV.sys','');
QuarantineFile('C:\WINDOWS\system32\ati2sgag.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NTGDT.SYS','');
end.[/CODE]

Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]

карантин отправил

Все присланные файлы - чистые.

это хорошо, но проблема то к сожалению осталась
а что это за файл hlktmp размером 8М в папке C:\WINDOWS\TEMP, который не удаляется?
я посмотрел на других компьютерах, файл этот есть, но его размер 0 Kb

- Обновите базы АВЗ: (Файл/Обновление баз)
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

ok

[QUOTE] база от 21.08.2009 14:23[/QUOTE]

- Обновите базы АВЗ: (Файл/Обновление баз)
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

вот

В логах ничего подозрительного. Жалобы есть?

Жалобы все те же.
Замедление работы компьютера из-за постоянной загрузки ЦП 100%, которую создает процесс . (см. скрин экрана, svchost.exe = 98% ЦП)
причем и Брендмауэр сам по себе блокируется, и драйвер звука постоянно выключается (приходится переустанавливать), и "КОМПАС" переодически тоже ломается, приходится переустанавливать.
Я все таки связываю это с каким то перехватчиком который маскируется под процесс svchost.exe

- Сделайте лог [URL="http://www.malwarebytes.org/mbam-download.php"]MBAM[/URL].

[url]http://www.siteadvisor.pl/sites/plaxis.nl/downloads/6051586/[/url]
Файлик в темпе от хаспа скорее всего. Компас наверное защищается.
Но на всякий случай попробуйте sfc /scannow

Так, вот, запрашиваемый лог МВАМ

Компас не только у меня стоит, у других таких проблем нет

и можно поподробнее про sfc /scannow

В "Установка/удаление программ":
Hardlock Device Drivers
есть?
[QUOTE]и можно поподробнее про sfc /scannow[/QUOTE]
пуск - выполнить

В "Установка/удаление программ":
Hardlock Device Drivers - отсутствует
сверк sfc /scannow прошла с непонятным результатом, окно закрылось, отчетов ни каких не появилось

[QUOTE=alzh;456306]
Замедление работы компьютера из-за постоянной загрузки ЦП 100%, которую создает процесс . (см. скрин экрана, svchost.exe = 98% ЦП)[/QUOTE]
1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. Перегрузить систему
Если будет сохраняться высокая загрузка - то Вы правы.