Помогите избавиться от ошибок Spool и Svchost

Printable View

15.07.2010, 01:19
Gabidz

Помогите избавиться от ошибок Spool и Svchost

Помогите пожалуйста вычистить систему от вирусов. Какой-то вирус обрубает инет, появляется ошибка svchost и ошибка spool. Высылаю отчёты.
Не могу из-за этого скачать Service pack 3.
15.07.2010, 01:24
Никита Соловьев

Логи сделаны старой версией AVZ. Доступна 4.34. Скачайте и переделайте
15.07.2010, 11:00
Gabidz

Выслал новые логи
15.07.2010, 11:30
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('SqlDebuger');
StopService('ba');
StopService('MSNETService');
StopService('NrConnmags');
StopService('vsd');
StopService('u7t');
DeleteService('vsd');
DeleteService('u7t');
DeleteService('NrConnmags');
DeleteService('MSNETService');
DeleteService('ba');
DeleteService('SqlDebuger');
QuarantineFile('C:\WINDOWS\system32\sqlserv.exe','');
QuarantineFile('C:\WINDOWS\system32\Service.exe','');
QuarantineFile('C:\WINDOWS\system32\abynnnqj.exe','');
QuarantineFile('C:\WINDOWS\system\csrss.exe','');
QuarantineFile('C:\WINDOWS\system32\YISIJFVY\J001.exe','');
QuarantineFile('C:\WINDOWS\system32\M3AOWQQP\E001.exe','');
QuarantineFile('C:\WINDOWS\System32\sopasclib.dll','');
QuarantineFile('c:\windows\system32\sopasvstart.dll','');
DeleteFile('C:\WINDOWS\system32\M3AOWQQP\E001.exe');
DeleteFile('C:\WINDOWS\system32\YISIJFVY\J001.exe');
DeleteFile('C:\WINDOWS\system\csrss.exe');
DeleteFile('C:\WINDOWS\system32\abynnnqj.exe');
DeleteFile('C:\WINDOWS\system32\Service.exe');
DeleteFile('C:\WINDOWS\system32\sqlserv.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карнатин" над первым сообщением темы)

Сделайте новые логи
15.07.2010, 12:29
Gabidz

Карантин и логи выслал.
15.07.2010, 12:45
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\All Users\DRM\Console\bofup.cc3','');
DeleteFile('c:\windows\system32\sopasvstart.dll');
DeleteFile('C:\WINDOWS\system32\sopasvstart.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SopSrv\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Экспортируйте содержимое веток (на этом ключе правой клавишей мыши - экспортировать)
[QUOTE][HKLM\SYSTEM\CurrentControlSet\Services\BITS]
[HKLM\SYSTEM\CurrentControlSet\Services\wuauserv][/QUOTE]
в отдельные файлы и прикрепите их к сообщению
15.07.2010, 13:04
Gabidz

При попытке загрузки quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы появляется сообщение:
Ошибка загрузки. Данный файл уже был загружен
15.07.2010, 13:07
polword

делайте остальное из сообщения №6
15.07.2010, 13:35
Gabidz

Экспортированные ветки реестра заархивировал так как не могу прикрепить файлы с расширением reg
15.07.2010, 13:44
polword

кнопка Пуск - Выполнить - [B]regedit[/B], откроется редактор реестра
Зайдите в ветку
[QUOTE][HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost][/QUOTE]
и удалите параметр SopSrv

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[CODE]
KillAll::

File::
c:\temp\Server.exe
c:\temp\Service.exe
c:\windows\system32\sopasclib.dll

Driver::

Folder::
c:\windows\system32\YILXA4EU
c:\windows\system32\TOIJH08Q
c:\windows\system32\HBWN1ZF2
c:\windows\system32\EWID0TNZ
c:\windows\system32\AREUB6Z2
c:\windows\system32\TGIIMDY7
c:\windows\system32\L5WO5IX3
c:\windows\system32\K6KOAHGE
c:\windows\system32\FQC1DI5C
c:\windows\system32\CYJTD656
c:\windows\system32\8J2GAXZR
c:\windows\system32\2OCOQ7DQ
c:\windows\system32\1TB8J02H
c:\windows\system32\ZUBVWF4U
c:\windows\system32\X3INW34O
c:\windows\system32\1VCJNVTX
c:\windows\system32\W7DXB4GH
c:\windows\system32\RKECYF31
c:\windows\system32\P4N1E8KS
c:\windows\system32\M3AOWQQP
c:\windows\system32\YISIJFVY
c:\windows\system32\LVLZOYPH
c:\windows\system32\K82CT02D
c:\windows\system32\K7Y54GYG
c:\windows\system32\5R5TN352
c:\windows\system32\YP2IZ5R6
c:\windows\system32\XAAEDWHG
c:\windows\system32\t

Registry::

FileLook::
c:\windows\system32\wayic.dll
c:\windows\system32\wayi.exe

DirLook::[/CODE]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
15.07.2010, 13:52
polword

внесите данные в реестр, предварительно распаковав файлы во вложении
15.07.2010, 14:09
Gabidz

Сделал
15.07.2010, 14:33
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('c:\windows\system32\wayic.dll','');
QuarantineFile('c:\windows\system32\wayi.exe','');
QuarantineFile('c:\windows\system32\drivers\tcpip.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
15.07.2010, 14:48
Gabidz

Файл quarantine.zip загрузил
15.07.2010, 15:09
polword

что с проблемой?
15.07.2010, 17:27
Gabidz

svchost.exe - Ошибка приложения появилась через 3 минуты работы в интернете. Интернет не работает.

[size="1"][color="#666686"][B][I]Добавлено через 53 минуты[/I][/B][/color][/size]

Spool.exe - тоже появляется. Интернет отключается через 3-5минут. Я не успеваю скачать сервис пак 3. Уже весь трафик потратил...

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

Есть ещё идеи? Очень жду!
15.07.2010, 17:57
polword

Пришлите файл Spool.exe запакованным в архив ZIP с паролем: [COLOR="Red"]virus[/COLOR] по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

- Сделайте повторные логи virusinfo_syscure.zip hijackthis.log
15.07.2010, 18:13
Gabidz

Ещё закачал xsvr85.exe@ - он тоже вызывает ошибку. При ошибке спул интернет не отключается, только при свхост ошибке пропадает связь.
15.07.2010, 18:34
Gabidz

Выслал логи
15.07.2010, 19:26
Gabidz

Ещё что-то нашли?

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Те же самые вирусы отлавливает нод32, что и до скриптов...мда...
15.07.2010, 21:36
polword

полный путь до файла xsvr85.exe напишите.
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]
15.07.2010, 23:09
Gabidz

Полный путь к двум подозрительным файлам:
C:\WINDOWS\system32\xsvr85.exe@
C:\WINDOWS\system32\xsvr18.exe@
16.07.2010, 02:01
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\sopasclib.dll
c:\windows\system32\sopasvstart.dll
C:\WINDOWS\system32\xsvr85.exe@
C:\WINDOWS\system32\xsvr18.exe@
c:\windows\system32\wayic.dll
c:\windows\system32\wayi.exe
c:\windows\system32\00YIZA37\E001.exe
C:\WINDOWS\system32\058OI1JM\A13.exe
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\XVT9XSNA\A13[1].exe
c:\windows\system32\sqlserv.exe
c:\windows\system32\xsvr85.zip

Driver::
vsd
SopSrv
SqlDebuger

Folder::
c:\windows\system32\1ETZ07WQ
c:\windows\system32\28NU55MB
c:\windows\system32\00YIZA37
c:\windows\system32\058OI1JM
c:\windows\system32\WH3GNP2R
c:\windows\system32\VRM05LZH
c:\windows\system32\O0PU8H04
c:\windows\system32\NQUXKZEN
c:\windows\system32\t

Registry::

FileLook::
c:\windows\system32\Sqldebug.exe

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
26.07.2010, 10:57
Gabidz

Извините, что долго не отвечал, не было доступа к ПК. Отчет во вложении.
26.07.2010, 12:53
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\Sqldebug.exe

Driver::

Folder::
c:\windows\system32\DYBXL32O
c:\windows\system32\G4VHGRSW

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"SopSrv"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
26.07.2010, 15:02
Gabidz

Отчёт добавил.
26.07.2010, 15:38
thyrex

c:\windows\system32\gametower.exe - что за файл?
26.07.2010, 15:40
Gabidz

Не знаю.
26.07.2010, 22:28
thyrex

Выполните скрипт в AVZ
[code]begin
QuarantineFile('c:\windows\system32\gametower.exe','');
end. [/code]

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
27.07.2010, 17:35
Gabidz

Карантин выслал.
27.07.2010, 21:47
thyrex

Файл в вирлабе. Ждем
27.07.2010, 22:06
PavelA

В одном из карантинов был:
[B]Net-Worm.Win32.Kolab.jqi[/B]
28.07.2010, 10:58
Gabidz

[QUOTE=PavelA;677481]В одном из карантинов был:
[B]Net-Worm.Win32.Kolab.jqi[/B][/QUOTE]
Что мне с ним делать?
28.07.2010, 11:42
polword

[QUOTE=Gabidz;677653]Что мне с ним делать?[/QUOTE]
ничего не сделаете. Его нет уже - удалили.

c:\windows\system32\gametower.exe - чистый

- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

- Сделайте повторный лог hijackthis.log;
28.07.2010, 12:34
Gabidz

Лог добавил.
28.07.2010, 12:36
thyrex

Плохого не видно

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
28.07.2010, 15:51
Gabidz

Благодарю за помощь всех отозвавшихся!
29.07.2010, 15:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\sopasclib.dll - [B]Net-Worm.Win32.Kolab.joa[/B] ( DrWEB: Trojan.MulDrop1.39558, BitDefender: DeepScan:Generic.Malware.WX!.06D4662F, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\sopasvstart.dll - [B]Net-Worm.Win32.Kolab.jpj[/B] ( DrWEB: Trojan.MulDrop1.39579, BitDefender: DeepScan:Generic.Malware.WX!.EDADE49C, AVAST4: Win32:Kolab-DN [Wrm] )[*] \xsvr85.exe@ - [B]Net-Worm.Win32.Kolab.jqi[/B] ( DrWEB: BackDoor.IRC.Bot.538, BitDefender: Trojan.Generic.4498965, AVAST4: Win32:Rumous [Drp] )[/LIST][/LIST]