Загрузка SVCHOST. Приложение "Total XP Security"

При загрузке системы выскакивает окно, имитирующее центр безопасности Win. Начинается "проверка" с нахождением вирусных угроз. Загрузка системы процессом svchost.exe почти 100%. Логи прилагаются

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\localservice\local settings\application data\ave.exe');
QuarantineFile('c:\documents and settings\localservice\local settings\application data\ave.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\cdrom.sys','');
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\windows\system32\config\systemprofile\wuaucldt.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\syspck32.exe','');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\syspck32.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('c:\windows\system32\config\systemprofile\wuaucldt.exe');
DeleteFile('c:\windows\system32\wuaucldt.exe');
DeleteFile('c:\documents and settings\localservice\local settings\application data\ave.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Svchost.exe больше не грузит. Приложение Total XP Security по-прежнему загружается. Полная проверка AVP-Tool ничего не дала. Логи прилагаются.

Карантин отправлен.

[B]C:\WINDOWS\system32\Drivers\cdrom.sys[/B] замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\localservice\local settings\application data\ave.exe');
DeleteFile('c:\documents and settings\localservice\local settings\application data\ave.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Файл заменён. Скрипт выполнен. Визуально - проблема исчезла. Спасибо. Логи прилагаю.

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe[/CODE]

Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/URL]

Пофиксил. Загрузка svchost опять 100%. Новые логи прилагаются. На всякий случай первый скрипт сделал в БР.

Соответственно, svchost грузит только при подключенном сетевом соединении.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\syspck32.exe','');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\syspck32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Установите все обновления, вышедшие после SP3

Сделайте новые логи

Скрипт выполнен. Обновления установлены. Теперь загрузка svchost исчезла. Зато появилась загрузка 100% при запуске любого браузера с любой страницей. Логи приложены.

Карантин пуст. Высылать нечего.

Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

Anti-Malware загружена, установлена. Сканирование произведено. Отчет прилагается.

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Заражено значений реестра:
HKEY_CLASSES_ROOT\.exe\shell\open\command\(default) (Hijack.ExeFile) -> No action taken.
HKEY_CLASSES_ROOT\secfile\shell\open\command\(default) (Rogue.MultipleAV) -> No action taken.

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Documents and Settings\LocalService\Local Settings\Application Data\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe") Good: (firefox.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Documents and Settings\LocalService\Local Settings\Application Data\ave.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe") Good: (iexplore.exe) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\FIREFOX.EXE\shell\safemode\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Documents and Settings\LocalService\Local Settings\Application Data\ave.exe" /START "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode) Good: (firefox.exe -safe-mode) -> No action taken.

Заражено файлов:
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> No action taken.
C:\Documents and Settings\Admin\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
[/CODE]Что сейчас с браузерами?

Вечером загрузка 100% была. Утром пропала. Почему, не знаю. Может - перезагрузка компа, может - закрытие какой-либо вкладки в Firefox.

Файлы в МВАМ удалил, сначала 2 верхних, потом - остальные. Логи прилагаю. Вроде все работает нормально, глюков не наблюдаю. Большое спасибо за помощь.
[U][/U][URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"][/URL]

Браузеры работают нормально, загрукзка проца обычная...

Верхние 2 строки еще раз удалите

Верхние 2 строки еще раз удалил...
Лог прилагаю...

Теперь порядок

Еще раз огромное спасибо...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\главное меню\программы\автозагрузка\syspck32.exe - [B]Backdoor.Win32.Bredolab.djk[/B] ( DrWEB: Trojan.DownLoad1.46761, BitDefender: Backdoor.Agent.AANU, NOD32: Win32/TrojanDownloader.Bredolab.BE trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\documents and settings\localservice\local settings\application data\ave.exe - [B]Trojan.Win32.FraudPack.aoxt[/B] ( DrWEB: Trojan.Fakealert.14113, BitDefender: Trojan.FakeAV.KUG, NOD32: Win32/Adware.XPAntiSpyware.AA application, AVAST4: Win32:MalOb-AL [Cryp] )[*] c:\windows\system32\drivers\cdrom.sys - [B]Rootkit.Win32.Agent.behk[/B] ( DrWEB: Win32.Lutin.2, BitDefender: Gen:Rootkit.Heur.fuW@DajxQ4g, AVAST4: Win32:Cutwail-AG [Trj] )[/LIST][/LIST]