services.exe (ребут компа с отсчетом)

У меня такая проблема: один из задач svchost.exe начал очень сильно грузить систему , комп начал сильно лагать. Часо вылазиет табличка :"Неожиданно завершен системный процесс "C:\\WINDOWS\system32\services.exe" с кодом состояния - 2147483641.Будет произведена перезагрузка системы." И далее идет осчет 60 секунд , после чего комп перезагружается :'-(
З.Ы. помоему таких тем как минимум две , был бы признателен за помощь , DrWeb , KAV , Panda platinum , NORTON не помогают :'-( делал проверки специальными утилитам , от червя sasser , он не был обнаружен.

Пришлите для начала следующие файлы на анализ согласно правилам:
C:\WINDOWS\system32\mscoree.dll
C:\Program Files\Common Files\ReGet Shared\Catcher.dll
statdss.dll
iasamsre.dll
e1.dll
diagdss.dll
confaud.dll
cfgdss.dll
audstat.dll
audmgr32.dll
___synmgr.exe
C:\WINDOWS\system32\audconf.exe
C:\WINDOWS\system32\dssconf.exe
C:\WINDOWS\system32\atkcadpt.dll
C:\WINDOWS\system32\statdss.dll
C:\WINDOWS\System32\iasamsre.dll
C:\WINDOWS\System32\glu3panm.dll
C:\WINDOWS\System32\diagdss.dll
C:\WINDOWS\System32\confaud.dll
C:\WINDOWS\SYSTEM32\cfgdss.dll
c:\windows\system32\atkcadpt.exe
Поместить эти файлы в карантин поможет скрипт AVZ (Файл\Выполнить скрипт):
[CODE]
begin
QuarantineFile('c:\windows\system32\atkcadpt.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\cfgdss.dll','');
QuarantineFile('C:\WINDOWS\System32\confaud.dll','');
QuarantineFile('C:\WINDOWS\System32\diagdss.dll','');
QuarantineFile('C:\WINDOWS\System32\glu3panm.dll','');
QuarantineFile('C:\WINDOWS\System32\iasamsre.dll','');
QuarantineFile('C:\WINDOWS\system32\statdss.dll','');
QuarantineFile('C:\WINDOWS\system32\atkcadpt.dll','');
QuarantineFile('C:\WINDOWS\system32\dssconf.exe','');
QuarantineFile('C:\WINDOWS\system32\audconf.exe','');
QuarantineFile('___synmgr.exe','');
QuarantineFile('audmgr32.dll','');
QuarantineFile('audstat.dll','');
QuarantineFile('cfgdss.dll','');
QuarantineFile('confaud.dll','');
QuarantineFile('diagdss.dll','');
QuarantineFile('e1.dll','');
QuarantineFile('iasamsre.dll','');
QuarantineFile('statdss.dll','');
QuarantineFile('C:\Program Files\Common Files\ReGet Shared\Catcher.dll','');
QuarantineFile('C:\WINDOWS\system32\mscoree.dll','');
end.
[/CODE]

дошел архив ? Оо

Из присланного
Стандартный набор последних недель - Warezov aka Limar aka Stration
C:\WINDOWS\system32\iasamsre.dll
C:\WINDOWS\System32\glu3panm.dll
C:\WINDOWS\system32\confaud.dll
c:\windows\system32\atkcadpt.exe
C:\WINDOWS\system32\atkcadpt.dll
C:\WINDOWS\system32\audconf.exe

C:\WINDOWS\Downloaded Program Files\popcaploader.dll -

всех их нужно удалить через отложенное удаление в программе AVZ.

Так же пофиксить ( [url]http://virusinfo.info/showthread.php?t=4491[/url] ):
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - h[I]t[/I]tp://ak.exe.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBInitialSetup1.0.0.15.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - h[I]t[/I]tp://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
O20 - AppInit_DLLs: iasamsre.dll e1.dll diagdss.dll statdss.dll confaud.dll audstat.dll
O20 - Winlogon Notify: atkcadpt - C:\WINDOWS\system32\atkcadpt.dll
O20 - Winlogon Notify: audmgr - audmgr32.dll (file missing)
O20 - Winlogon Notify: dssconf - C:\WINDOWS\SYSTEM32\cfgdss.dll
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)

не долго я радовался .... эти фиксы я начал делать , там выскочила ошибка какая-то , я ребутнул комп , хотел было уже попробывать заново , но там этих строк уже не оказалось О_о кроме поседнего (O23 - Service: Power Manager) Комп опять начал грузиться , даже еще сильнее.......что это моглы бы быть?

-а как на счёт файлов из списка предложенного коллегой [B]Shu_b[/B], Вы их удалили?.. впрочем, в любом случае нужны свежие логи...

файлы удалял , и сначала все получилось , но позже по не известным причинам все возобновилось, правда немного теперь поменьше начал грузиться комп. Вот новые логи

Удалите файлы скриптом (будет перезагрузка):
[CODE]
begin
QuarantineFile('C:\WINDOWS\system32\MF_ARB~1.SCR','');
QuarantineFile('C:\WINDOWS\system32\___synmgr.exe','');
DeleteFile('C:\WINDOWS\system32\diagdss.dll');
DeleteFile('C:\WINDOWS\system32\statdss.dll');
DeleteFile('C:\WINDOWS\system32\MF_ARB~1.SCR');
DeleteFile('C:\WINDOWS\system32\dssconf.exe');
ExecuteSysClean;
RebootWindows(True);
end.
[/CODE]
После перезагрузки пришлите то, что будет в карантине AVZ, согласно Правил (см. в самом конце)
Адрес Вашей темы (для отправки) - [url]http://www.virusinfo.info/showthread.php?t=6661[/url]

Затем проверьте и, если останется, пофиксите в hijackthis:
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

И сделаете логи.
Что-то файерволла у Вас не видно. Если нет, очень стоило бы поставить - перестанете получать из сети всё что ни попадя.

1)файрволл есть , но тока он систему грузит и раздрожают постоянные табличики , это нкиак нельзя упростить? чтобы он молча все делал
2)после всего проделанного , сказанного вами выше, svchost начал странно много занимать оО . Щас зделаю логи , с врубденным фаерволлом
З.Ы. Когда я фиксю в hijackthis , после этого вылазиет табличка какаято , там надо нажимать ДА или НЕТ? я обычно нажимаю ДА.

а вот сопсна и сами логи

Ничего вредного не вижу.
Файлы из карантина пришлите.

отослал

Большие. Сейчас посмотрю, что там.
ЗЫ: Два раза-то зачем ?

Файл скринсейвера C:\WINDOWS\system32\MF_Arbuznie_bashni_1280x1024.scr никто не детектит, но мне он не нравится - зачем-то лезет на [url]http://www.w3.org/[/url]. Возможно, что-то у него не чисто.
Лучше его больше не ставьте. А карантин у AVZ очистьте - удалите всё оттуда.

А ожидаемый файл ___synmgr.exe почему-то не попал в карантин. Найдите его поиском и отдельно пришлите, плиз.

Исчезли ли симптомы заражения - перезагрузки больше не повторяются ?
ЗЫ: Файерволл не отключайте. Если тормозит - пробуйте другой.
Иначе наловите добра.

1) ___syngmr странный вирус , он подгруживает систему , я его удалял раз 10 как минимум втечении месяца. Помоему у него есть чтото вроде вспомогательных файлов приме "____r" "____s" и т д . Все их удалял. бывает я могу найти эти файлы и сам ____syngmr , а бывает его вообще не видно Оо . Как его можно увидеть?
2) насчет перезагрузо к- прошло уже 2 ии 3 дня после вашего совета . и с тех пор пока ничего не происходило!" помоему ЭТИМ вирусом все получилось , спасибо , ато он мне итак прилично потрепал мозги )
3) насчет C:\WINDOWS\system32\MF_Arbuznie_bashni_1280x1024.s cr , по такому адресму не обнаружил , но по адресу \WINDOWS\MF_Arbuznie_bashni_1280x1024 нашелся , так будет нормально?

никто не может ответить на вопросы эти? Оо

[QUOTE=MrGrey]1) ___syngmr странный вирус , он подгруживает систему , я его удалял раз 10 как минимум втечении месяца. Помоему у него есть чтото вроде вспомогательных файлов приме "____r" "____s" и т д . Все их удалял. бывает я могу найти эти файлы и сам ____syngmr , а бывает его вообще не видно Оо . Как его можно увидеть?
[/QUOTE]
Если не виден и он действительно есть - в AVZ будут видны его перехваты. Искать надо из AVZ "поиском файлов на диске" после снятия перехватов - т.е. после запуска сканирования (даже без выделения дисков - так быстрее) с установленными птичками "Блокировать работу RootKit".
[QUOTE]
2) насчет перезагрузок- прошло уже 2 ии 3 дня после вашего совета . и с тех пор пока ничего не происходило!" помоему ЭТИМ вирусом все получилось , спасибо , ато он мне итак прилично потрепал мозги )
[/QUOTE]
Хорошо, если так. Найдете еще - заходите :).
[QUOTE]
3) насчет C:\WINDOWS\system32\MF_Arbuznie_bashni_1280x1024.s cr , по такому адресму не обнаружил , но по адресу \WINDOWS\MF_Arbuznie_bashni_1280x1024 нашелся , так будет нормально?[/QUOTE]
Угу, там пробела в расширении файла (.scr) не должно быть. Это форум хулиганит - вставляет пробелы там, где их не должно быть.
Раз нашли - хорошо. Прибейте этот хранитель экрана.

[QUOTE=Alexey P.]Если не виден и он действительно есть - в AVZ будут видны его перехваты. Искать надо из AVZ "поиском файлов на диске" после снятия перехватов - т.е. после запуска сканирования (даже без выделения дисков - так быстрее) с установленными птичками "Блокировать работу RootKit".[/QUOTE]
Дико извиняюсь , но я не оч понял этот момент :oops: если вас не затруднит, можно немного поподробнее пожалуйста:00000504:

[QUOTE=MrGrey]Дико извиняюсь , но я не оч понял этот момент :oops: если вас не затруднит, можно немного поподробнее пожалуйста:00000504:[/QUOTE]
Читайте справку AVZ:
Содержание
Работа с программой
Главное окно программы
Закладка "Параметры поиска"

- запустить AVZ, произвести первоначальное сканирование без выделения дисков.
- Если есть перехваты:
Проверено функций: 284, перехвачено: 17, восстановлено: 0
смотрим, чьи они (по указанному файлу перехватчика). Очень часто перехваты принадлежат файлу от файерволла (вышеприведенное число - от Kerio Personal Firewall) или от антивируса вроде Касперского.
- если не указано, чьи и есть подозрение на трояна - ставим на вкладке "Параметры поиска" птички "Блокировать работу Rootkit" и снова без выделения дисков запускаем сканирование.
В логе должно быть написано:
перехвачено: 17, восстановлено: 17
Теперь AVZ может видеть файлы, скрытые руткитом. Из него запускаем "Поиск файлов на диске". Например, по маске "___*.*" для вышеописанного варианта.
Найденное - в карантин и сюда.

Проверил вроде как , но ничего не нашел. Вот так надо было?

Похоже.
Перезагрузиться надо после такой операции.

Ну тогда спасибо , если че , обращусь!

что-то комп както грузит svchost , всегда занимает не меньше explorera , бывает в 3 раза , а то и в 4 раза больше . Помоему это опять чтото вроде ___syngmr , тока заловить никак не могу его. делал прверку DrWeb'oм , он обычно проделывает процедуры с инфицированными файлами ПОСЛЕ полной провекри , но на 90-ом % он са ребутнул комп , так и не вылечив вирусы :( их было намного меньше чем впрошлый раз. Ну надеюсь это не то вирус с каторым я имел дело впрошлый раз. вот зделал логи , авось поможете , был бы признателен.

вот это вполне нрмльное явление , уже напротяжение 2-ух недель. Сколько я помню свой комп этот svchost обычно увеличивался до 10 000 МАХимум , ито до такого состояния доходи если врубить плеер (WMplayer , winamp)

Пощите и пришлите, если найдутся:
[code]C:\WINDOWS\svchost.exe
___synmgr.exe
EXPLORER.exe[/code]
Пофиксите:
[code]O4 - HKLM\..\RunServices: [Microsoft Synchronization Manager] ___synmgr.exe
O4 - HKLM\..\RunServices: [WksSVC] EXPLORER.exe
O4 - HKCU\..\Run: [WksSVC] EXPLORER.exe
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)[/code]
После перезагрузки сделайте новый лог HijackThis, а то непонятно, это мусор с прошлого раза или возродилось.

Не знаю странно ли это или нет , но все из выше перечисленных файлов не были найдены о_О как их перехватить если таковые есть?

Значит, просто мусор в реестре. Пофиксите, чтобы не отвлекал внимание.

пофиксил все зделал) а с svchost.exe значит все нормально? странно что он начал так занимать странно.

Вы это присылали уже?
[code]C:\DOCUME~1\gabst3r.ExE\LOCALS~1\Temp\CmdLineExt02.dll[/code]
Если что-то новое, то пришлите. Больше ничего не вижу.

Такова файла нету. Значит поидее все норм?

"Такова файла" есть, его AVZ загруженным в память видит. Ищите с помощью AVZ, ссылка на подробности у меня в подписи.

нашел , отправил

файл не дошел?