svchost запустился от имени пользователя

Один из процессов svchost запустился от имени пользователя, насколько мне известно такое поведение характерно для вирусов. Он попытался прописать в авторан процесс ikowin32.exe, однако у меня стоит программа Spyware Terminator, которая меня об этом предупредила и я ему это не позволила, так как это вроде бы вирус. Кстати, Spyware Terminator показывал, что эти svchost и ikowin32.exe запускались как какие-то части обновления Adobe Reader, так как у процессов отображался его значок.
Проверьте, пожалуйста, логи. Может я, конечно, на воду дую, но уж лучше так, чем опять грохнуть систему.
Логи virusinfo_syscure и HijackThis сделаны, когда этот svchost работал, virusinfo_syscheck - после перезагрузки, когда его уже нет, согласно process explorer'у.

Версия Adobe reader-а у вас какая?
Программа AVZ - файл - выполнить скрипт - выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\dwprot.sys','');
QuarantineFile('C:\PROGRA~1\Crawler\Toolbar\ctbr.dll','');
QuarantineFile('C:\DOCUME~1\Sonya\LOCALS~1\Temp\fgtyakog.sys','');
DeleteFile('C:\DOCUME~1\Sonya\LOCALS~1\Temp\fgtyakog.sys');
BC_DeleteFile('C:\DOCUME~1\Sonya\LOCALS~1\Temp\fgtyakog.sys');
BC_ImportquarantineList;
BC_Activate;
ExecuteSysClean;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/code]После перезагрузки, карантин AVZ загрузите по ссылке в шапке темы, как написано в прил.3 правил, и повторите лог исследования системы.

Карантин закачала.
Версия Adobe reader-а восьмая.

Во время выполнения скрипта AVZ сообщил, что что-то не смог открыть, но я не успела запомнить - что именно, так как практически сразу после этого он сообщил, что скрипт выполнил и отправил машину на перезагрузку.

После перезагрузки обнаружилось какое-то неизвестное устройство. Что это такое - понять не удалось, так как в диспетчере устройств оно относится к другим устройствам. Драйвера на это тоже не нашлись. Вроде все подключенные внешние устройства работают - флешка, наушники, модем... Дисковод тоже.

Программа AVZ - верхнее меню "AVZPM" - выполните "Удалить и выгрузить драйвер расширенного мониторинга процессов"
Выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Clearquarantine;
QuarantineFile('\SystemRoot\System32\Drivers\Parport.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Parport.SYS','');
QuarantineFile('C:\WINDOWS\system32\USER32.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
BC_ImportquarantineList;
BC_Activate;
RebootWindows(true);
end.[/code] После перезагрузки, если карантин будет не пустой, загрузите его по ссылке в шапке темы.
Adobe reader, особенно, если вы открываете pdf-файлы прямо в окне браузера, следует обновить - [url]http://get.adobe.com/reader/[/url] - или, хотя бы, обновить версию 8 через встроенную обновлялку (должен обновиться до версии 8.1.3)
У вас виден установленный DrWeb, но ощущение такое, что он неактивен. Вы его выключаете на время создания логов?

Все выполнила.
Adobe reader обновила до девятой версии.

Карантин не пустой, так что загрузила его по ссылке.
Неизветсное устройство по-прежнему в наличии.
Также опять прилагаю лог исследования системы, так как AVZ написал при его сборе:
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\PROGRA~1\AUDIOS~1\AUDIOS~1.DLL --> Подозрение на Keylogger или троянскую DLL
C:\PROGRA~1\AUDIOS~1\AUDIOS~1.DLL>>> Поведенческий анализ

DrWeb активен, отключала его только, когда выполняла скрипты и делала лог virusinfo_syscure.

Кстати, опять при выполнении скрипта AVZ написал, что не мог что-то открыть, если я правильно запомнила, то речь шла о файле под названием aderyglu.sys (или что-то в этом роде). Еще после выполнении скрипта, когда он отправил компьютер на перезагрузку, комп сначала показывал минуты 3-4 пустой экран, только с картинкой рабочеко стола, без ярлыков, панели и т.п. и только потом завершил работу и перезагрузился, это нормально?

Извините, вы про меня не забыли?

Файлы, которые вы прислали, чистые. Не попал в карантин один файл: C:\WINDOWS\System32\Drivers\Parport.SYS . Если есть желание завершить проверку возможно вредных, попробуйте [URL="http://virusinfo.info/showthread.php?t=4567"]вручную[/URL] добавить его в карантин, [URL="http://virusinfo.info/showthread.php?t=9279"]загрузившись в безопасном режиме[/URL].
Про DrWeb вы мне так и не ответили: он рабочий, или видны только остатки удаленного антивируса? И еще: зайдите в панель управления - "администрирование" - "службы" - найдите в списке служб "Центр обеспечения безопасности" и проверьте, какой у данной службы статус.

DrWeb рабочий, это никак не остатки. Его иконка в трее сообщает, что все включено, все работает. Обновляется регулярно, ключ лицензионный (с журнального диска).

Статус службы "Центр обеспечения безопасности" сообщал, что она запускалась при загрузке, но почему то отображалось, что она не работала. Я ее запустила и поставила, чтобы запускалась автоматически. Вроде бы так было раньше, так что почему она отключилась, даже не знаю...

Файл Parport.SYS пришлю завтра, мне нужно закончить работу и потому не хочется перегружать машину. Кстати, странно, что не попал, в карантине AVZ он присутствует... Но я завтра сделаю это еще раз вручную.

Вы мне так и не ответили:
1. 5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\PROGRA~1\AUDIOS~1\AUDIOS~1.DLL --> Подозрение на Keylogger или троянскую DLL
C:\PROGRA~1\AUDIOS~1\AUDIOS~1.DLL>>> Поведенческий анализ
Это ничего страшного?

2. Что мне делать с неизвестным устройством, которое после выполнения скриптов показывает диспетчер устройств? Пусть так и висит там?

Насколько я понимаю, этот перехватчик - часть программы для редактирования тэгов .mp3-файлов (если Гугл не врет, конечно). Доступна она должна быть в контекстном меню проводника, а делать вам с ней ничего не надо, если, конечно, она вам нужна.
Что до появившегося неизвестного устройства - если оно появилось после выполнения первого скрипта, то попробуйте его просто удалить и напишите, будет ли оно обнаруживаться снова после перезагрузки.

Закачала новый карантин. Надеюсь сделала все правильно и файл там будет, по крайней мере в перечне был.

[QUOTE=Numb;471786]Насколько я понимаю, этот перехватчик - часть программы для редактирования тэгов .mp3-файлов (если Гугл не врет, конечно). Доступна она должна быть в контекстном меню проводника, а делать вам с ней ничего не надо, если, конечно, она вам нужна. [/QUOTE]
Раз это не вирус, то пусть будет. Тем более что после обновления баз при последнем сборе данных AVZ на это уже не ругался (на всякий случай прикрепляю последний лог исследования системы).

[QUOTE=Numb;471786]если оно появилось после выполнения первого скрипта, то попробуйте его просто удалить и напишите, будет ли оно обнаруживаться снова после перезагрузки.[/QUOTE]
Да, именно после первого скрипта появилось. Удалила. После перезагрузки оно вновь обнаружено не было. Спасибо ))

Файл опять не пришел - карантин абсолютно идентичен последнему вчерашнему. В логах я ничего подозрительного больше не вижу.

Я очистила карантин и попробовала скопировать файл еще раз - бесполезно, пишет, что файл скопирован в карантин, но в карантине его нет.
Я скопировала C:\WINDOWS\System32\Drivers\Parport.SYS вручную и просто заархивировала его с соответствующим названием архива и паролем. Отправила через ссылку вверху. Вроде бы в инструкции, ссылку на которую вы мне дали, написано, что так тоже можно?
Надеюсь, что в этот раз вы его получите и тоже проверите.
Спасибо, что столько со мной возитесь...

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Извините, но возникла еще одна проблема.
Заглянула в службы, чтобы проверить работает ли служба "Центр обеспечения безопасности" - показывает, что она не запущена, а когда пытаюсь запустить, пишет "Ошибка 123: Синтаксическая ошибка в имени файла, имени папки или метке тома". Тип запуска стоит Авто, Исполняемый файл - \SystemRoot\C:\WINDOWS\System32\svchost.exe -k netsvcs

parport.sys тоже чистый, больше подозреваемых у меня нет.
По поводу службы: из логов видно, что с ней проблемы. Выполните следующее: "Пуск" - "выполнить" - [code]regedit[/code] . [b]Внимание! будьте осторожны - не меняйте никаких других параметров, кроме тех, которые указаны[/b]. В открывшемся окне слева откройте ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters В окне справа правой кнопкой мыши щелкните на параметр serviceDLL , в контекстном меню выберите "изменить" - поменяйте значение параметра на [code]%SYSTEMROOT%\system32\wscsvc.dll[/code] Подтвердите изменения, закройте редактор реестра и попробуйте снова запустить проблемную службу.

Посмотрела регистр - там именно такое значение параметра и стоит... Попыталась запустить службу - та же ошибка...
Причем Центр обеспечения безопасности в Панели управления - запускается. Показывает, что брандмауэр и автоматическое обновление включены. Однако недоступна функция "Изменить способ оповещений" и при попытке открыть справку, сообщает, что "Страница, которую вы пытаетесь просмотреть содержит некорректный адрес и не может быть отображена. Попробуйте другую страницу."
На всякий случай опять прикладываю лог AVZ и лог HijackThis.

P.S. Обратила внимание на строку HijackThis:
[CODE]O23 - Service: Центр обеспечения безопасности (wscsvc) - Unknown owner - C:\WINDOWS\C:\WINDOWS\System32\svchost.exe (file missing)[/CODE]
В связи с этим у меня возник вопрос - а должно в адресе исполняемого файла этой службы стоять именно \SystemRoot\C:\WINDOWS\System32\svchost.exe -k netsvcs ? Ведь SystemRoot по сути и есть C:\WINDOWS, то есть получается, что служба действительно ищет файл C:\WINDOWS\C:\WINDOWS\System32\svchost.exe и, разумеется, не находит его. Возможно или SystemRoot или C:\WINDOWS стоит убрать? Тем более, что у остальных служб в адресе исполняемого файла указывается только C:\WINDOWS\папка\файл без всяких SystemRoot

Упс, это я ошибся. Проверяйте следующую ветку: [code]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc[/code] . В ней проверьте значение параметра ImagePath. Должно быть:[code]%SystemRoot%\System32\svchost.exe -k netsvcs[/code]

Значение исправила - служба запустилась, спасибо ))
В логах все чисто?

Да, в логах ничего откровенно вредного я не вижу.

Откровенно вредного? Гм... А бывает неоткровенно вредное?

Всё бывает...

[B]pig[/B], мне просто интересно - а что в логах неоткровенно вредное? Может оно мне не надо и его можно оттуда удалить...

Например, вот это:
C:\PROGRA~1\Spyware Terminator\SpywareTerminatorShield.exe
Два резидентных антивируса друг с другом плохо уживаются.

SpywareTerminator работает на компе как фаерволл, с неактивным компонентом антивируса. Я его держу за то, что он предупреждает при запуске каких либо новых процессов, программ и т.д. (в частности в этот раз поймал ikowin32.exe перед тем, как тот сумел прописаться в автозагрузке), способен вылавливать отслеживающие куки и вычищать оставшиеся после ДрВеба хвосты вирусов, которые тот почему-то не видит.
Так что, честно говоря я не готова отказаться от этой проги ))

Если антивирусный компонент не активен, можно оставить. По DrWeb: если у вас лицензионный дрвеб, посмотрите в сторону их решения Dr.Web Security Space - оно должно быть эффективнее в защите от сетевых угроз, чем классический антивирус

[B]Numb[/B], Нет, я специально держу антивирусный компонент SpywareTerminator неактивным, знаю, что это может привести к конфликтам. Так что его Clam AntiVirus работает только во время проведения сканирования и в защите в реальном времени не включен.

Относительно ДрВеба - у меня он лицензионный, но ключ не приобретенный отдельно, а я использую те месячные ключи, которые идет с некоторыми журналами. Насколько мне известно, они только на антивирус... или с Dr.Web Security Space их тоже можно использовать?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]