Масс процессы и ухудшение работы инета.

Printable View

04.11.2009, 14:45
bakuryu

Масс процессы и ухудшение работы инета.

Здравствуйте. Только установил win xp, ещё даже обновления не успел скачать, а тут уже полезло. Со временем количество процессов увеличивается до 200+, в основном с именами cmd.exe и services.exe а интернет начинает работать через раз, то есть давишь enter при вводе адреса в адресную строку, а сайт открывается не всегда. Подозрительный файл mslsrv в папке windows. CureIT нашёл вирусы, но лучше от этого не стало, после перезагрузки он опять их находит. Буду признателен за помощь.
04.11.2009, 15:09
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\services.exe');
QuarantineFile('C:\WINDOWS\mslsrv32.exe','');
QuarantineFile('C:\WINDOWS\system32\jbteq.dll','');
QuarantineFile('c:\windows\services.exe','');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
DeleteFile('c:\windows\services.exe');
DeleteFile('C:\WINDOWS\mslsrv32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','services');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('C:\WINDOWS\system32\jbteq.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
SetAVZPMStatus(True);
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте еще такой лог:
[url]http://virusinfo.info/showthread.php?t=40118[/url].

Сделайте новые логи.
04.11.2009, 15:40
bakuryu

Готово. Вроде бы процессы в массовом порядке больше не появляются, да и интернет работает стабильно.
04.11.2009, 16:04
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\msvddr32.exe');
DeleteFile('c:\windows\msvddr32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Сделаете лог virusinfo_syscheck
04.11.2009, 16:37
bakuryu

Правда очень подозрителен процесс с именем msvddr32.exe и в корне системного диска появился файлик deep.exe :D Вирустотал грит [COLOR=red]13[/COLOR]/41 вирус.
04.11.2009, 17:03
bakuryu

Готово. Файл deep.exe так и остался на месте. Файл mslsrv32.exe тоже в папке windows лежит. msvddr32.exe не наблюдается.
04.11.2009, 17:20
snifer67

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=58309[/url]
04.11.2009, 18:05
bakuryu

Готово.
04.11.2009, 18:19
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask('C:\WINDOWS\system32','??.scr', false);
RebootWindows(true);
end.
[/code]
ПК перезагрузится.

Сделайте новый лог ComboFix
04.11.2009, 18:43
bakuryu

Готово.
04.11.2009, 20:15
bakuryu

Сейчас опять масс процессы начались =( и всякие левые файлы типа mslsrv32.exe восстали из пепла.
04.11.2009, 20:25
thyrex

С такой дырой в системе
[QUOTE]Версия Windows: 5.1.2600, Service Pack 1 [/QUOTE]будете лечиться долго

Полный комплект логов + лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] сделайте
04.11.2009, 20:34
bakuryu

Ок, тогда сначала поставлю все обновления, а потом сделаю логи.
05.11.2009, 04:26
bakuryu

Вложений: 1

Обновления поставил. Вот логи.
05.11.2009, 10:41
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys','');
QuarantineFile('C:\WINDOWS\system\svhost.exe','');
TerminateProcessByName('c:\windows\system\svhost.exe');
QuarantineFile('c:\windows\system\svhost.exe','');
TerminateProcessByName('c:\windows\services.exe');
QuarantineFile('c:\windows\services.exe','');
TerminateProcessByName('c:\documents and settings\artix\restorer32_a.exe');
QuarantineFile('c:\documents and settings\artix\restorer32_a.exe','');
TerminateProcessByName('c:\windows\system32\restorer32_a.exe');
QuarantineFile('c:\windows\system32\restorer32_a.exe','');
TerminateProcessByName('c:\windows\msmacro32.exe');
QuarantineFile('c:\windows\msmacro32.exe','');
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
TerminateProcessByName('c:\windows\system\lsass.exe');
QuarantineFile('c:\windows\system\lsass.exe','');
TerminateProcessByName('c:\windows\system\dllcache.exe');
QuarantineFile('c:\windows\system\dllcache.exe','');
TerminateProcessByName('c:\docume~1\artix\locals~1\temp\00.exe');
QuarantineFile('c:\docume~1\artix\locals~1\temp\00.exe','');
DeleteFile('C:\WINDOWS\system\svhost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msmacro32');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msmacro32');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msmacro32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','services');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('c:\docume~1\artix\locals~1\temp\00.exe');
DeleteFile('c:\windows\system\dllcache.exe');
DeleteFile('c:\windows\system\lsass.exe');
DeleteFile('c:\windows\mslsrv32.exe');
DeleteFile('c:\windows\msmacro32.exe');
DeleteFile('c:\windows\system32\restorer32_a.exe');
DeleteFile('c:\documents and settings\artix\restorer32_a.exe');
DeleteFile('c:\windows\services.exe');
DeleteFile('c:\windows\system\svhost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новых 4 лога
05.11.2009, 14:29
bakuryu

Готово.
05.11.2009, 15:55
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('sysdrv32');
DeleteFile('C:\mwy.exe');
DeleteFile('C:\WINDOWS\msvddr32.exe');
DeleteFile('C:\Documents and Settings\ARTIx\oashdihasidhasuidhiasdhiashdiuasdhasd');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
DeleteFileMask('C:\Documents and Settings\ARTIx\Local Settings\temp', '*.*', true);
DeleteFileMask('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
DeleteFileMask('C:\WINDOWS\system32','??.scr', false);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Сделайте новые логи.
05.11.2009, 16:57
bakuryu

Готово.
05.11.2009, 21:26
AndreyKa

Не видно ничего подозрительного. Проблема решена?
07.11.2009, 03:39
bakuryu

Надеюсь да. Внешних признаков гадости не наблюдается. Спасибо.
08.11.2009, 03:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]37[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\artix\restorer32_a.exe - [B]Trojan-Downloader.Win32.Mutant.glm[/B] ( DrWEB: Trojan.DownLoad.41506, BitDefender: Trojan.Kobcka.IN, AVAST4: Win32:Cutwail-AC [Trj] )[*] c:\docume~1\artix\locals~1\temp\00.exe - [B]Trojan-Proxy.Win32.Agent.re[/B] ( DrWEB: Trojan.Proxy.1783, NOD32: Win32/TrojanProxy.Agent.MM trojan, AVAST4: Win32:Trojan-gen )[*] c:\windows\mslsrv32.exe - [B]Trojan.Win32.Buzus.cleo[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Backdoor.SDBot.DGDE, AVAST4: Win32:Injector-SE [Trj] )[*] c:\windows\mslsrv32.exe - [B]P2P-Worm.Win32.Palevo.kbw[/B] ( DrWEB: BackDoor.IRC.Bot.144, BitDefender: Trojan.Generic.2627914, AVAST4: Win32:Buzus-AEI [Trj] )[*] c:\windows\msmacro32.exe - [B]Trojan-Proxy.Win32.Agent.re[/B] ( DrWEB: Trojan.Proxy.1783, NOD32: Win32/TrojanProxy.Agent.MM trojan, AVAST4: Win32:Trojan-gen )[*] c:\windows\services.exe - [B]Packed.Win32.Krap.w[/B] ( DrWEB: Trojan.Spambot.3531, NOD32: Win32/Kryptik.BAK.gen trojan, AVAST4: Win32:Bredolab-AT [Trj] )[*] c:\windows\services.exe - [B]Trojan.Win32.FraudPack.znu[/B] ( DrWEB: Trojan.Packed.682, BitDefender: Trojan.Generic.2650648, AVAST4: Win32:FakeAlert-DU [Trj] )[*] c:\windows\system\dllcache.exe - [B]Trojan.Win32.Agent.cncs[/B] ( DrWEB: BackDoor.Siggen.205, BitDefender: Trojan.Generic.2053126, NOD32: Win32/AutoRun.IRCBot.AZ worm, AVAST4: Win32:Inject-SW [Trj] )[*] c:\windows\system\svhost.exe - [B]Net-Worm.Win32.Kolab.ccj[/B] ( DrWEB: BackDoor.IRC.Sdbot.4752, BitDefender: Trojan.Generic.2314165, NOD32: Win32/Injector.MM trojan, AVAST4: Win32:AutoRun-AVE [Wrm] )[*] c:\windows\system32\drivers\sysdrv32.sys - [B]Worm.Win32.AutoRun.ftp[/B] ( DrWEB: Tool.TcpZ, BitDefender: Rootkit.Agent.AJBM, AVAST4: Win32:Tcpz [Tool] )[*] c:\windows\system32\jbteq.dll - [B]Net-Worm.Win32.Kido.ih[/B] ( DrWEB: Win32.HLLW.Shadow.based, BitDefender: Win32.Worm.Downadup.Gen, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\restorer32_a.exe - [B]Trojan-Downloader.Win32.Mutant.glm[/B] ( DrWEB: Trojan.DownLoad.41506, BitDefender: Trojan.Kobcka.IN, AVAST4: Win32:Cutwail-AC [Trj] )[*] c:\windows\system32\svchost.exe:ext.exe:$data - [B]Trojan.Win32.Sasfis.tqm[/B] ( AVAST4: Win32:Inject-VX [Trj] )[/LIST][/LIST]