Весит процессор!

Printable View

20.07.2010, 08:04
LadyAl

Весит процессор!

Помогите, пожалуйста! Бьюсь второй день. Весит процессор на svchost.exe пробовала по вашим рекомендациям, но проблема в том, что все весит, проверку антивирусником запустить проблемотично, кое-как запустила, но на 93% вышли ошибки по процессу и все закрылось. Через день в автозагрузке появился wwwznv32.exe удалила, результата ноль. Что делать? Помогите!!!
20.07.2010, 08:29
thyrex

Выполните [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL]
20.07.2010, 11:19
LadyAl

Я бы с удовольствием выполнила правила, но все весит, я не могу ничего выполнить, весь процессор трудится на svchost.exe как мне выполнтть проверки и прислать вам отчет? Подскажите, пожалуйста, очень нужно!"!
20.07.2010, 11:34
polword

- Скачайте RSIT [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
20.07.2010, 14:01
thyrex

А также попробуйте выполнить правила из безопасного режима
20.07.2010, 20:35
LadyAl

Отправляю. Про безопасный режим - и в безопасном проблема что-либо запустить, загружен процессор. Отписываюсь вам и прошу о помощи с другого компьютера.
20.07.2010, 20:55
polword

попробуйте выполнить скрипт в [URL="http://gjf.hotbox.ru/mink.pif"]таком AVZ[/URL]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\blsskeo.exe','');
QuarantineFile('C:\WINDOWS\system32\lbwskjg.exe','');
QuarantineFile('C:\WINDOWS\system32\jgnzabo.exe','');
QuarantineFile('C:\WINDOWS\system32\ywihqkg.exe','');
QuarantineFile('C:\WINDOWS\system32\jodoqxk.exe','');
QuarantineFile('C:\WINDOWS\system32\nknapja.exe','');
QuarantineFile('C:\WINDOWS\system32\izcsjms.exe','');
QuarantineFile('C:\WINDOWS\system32\ylqgcjf.exe','');
QuarantineFile('C:\WINDOWS\system32\nrzaeq.exe','');
QuarantineFile('C:\WINDOWS\system32\fjhdyfhsn.bat','');
QuarantineFile('C:\WINDOWS\system32\4bdf6ab4.exe','');
QuarantineFile('C:\WINDOWS\system32\ryvnxnr.exe','');
QuarantineFile('C:\WINDOWS\system32\hbjlhp.exe','');
QuarantineFile('C:\WINDOWS\system32\4dgTRB8.exe','');
QuarantineFile('C:\WINDOWS\system32\LnUxN4D.exe','');
QuarantineFile('C:\WINDOWS\system32\iBhdRMz.exe','');
QuarantineFile('C:\WINDOWS\system32\ioeufce.exe','');
DeleteFile('C:\WINDOWS\system32\blsskeo.exe');
DeleteFile('C:\WINDOWS\system32\ioeufce.exe');
DeleteFile('C:\WINDOWS\system32\lbwskjg.exe');
DeleteFile('C:\WINDOWS\system32\jgnzabo.exe');
DeleteFile('C:\WINDOWS\system32\ywihqkg.exe');
DeleteFile('C:\WINDOWS\system32\jodoqxk.exe');
DeleteFile('C:\WINDOWS\system32\nknapja.exe');
DeleteFile('C:\WINDOWS\system32\izcsjms.exe');
DeleteFile('C:\WINDOWS\system32\ylqgcjf.exe');
DeleteFile('C:\WINDOWS\system32\nrzaeq.exe');
DeleteFile('C:\WINDOWS\system32\fjhdyfhsn.bat');
DeleteFile('C:\WINDOWS\system32\4bdf6ab4.exe');
DeleteFile('C:\WINDOWS\system32\ryvnxnr.exe');
DeleteFile('C:\WINDOWS\system32\hbjlhp.exe');
DeleteFile('C:\WINDOWS\system32\4dgTRB8.exe');
DeleteFile('C:\WINDOWS\system32\LnUxN4D.exe');
DeleteFile('C:\WINDOWS\system32\iBhdRMz.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)
21.07.2010, 08:18
LadyAl

Отправляю отчеты, полностью следовала вашим рекомендациям и сейчас жду информации о дальнейших действиях.
21.07.2010, 08:27
LadyAl

Время от времени выдает ошибку Generetic Host Win 32
21.07.2010, 08:30
polword

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://virusinfo.info/pravila_old.html"] как- посмотреть можно тут[/URL]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\amd64si.sys','');
DeleteService('amd64si');
DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
21.07.2010, 09:05
LadyAl

Что значит выгрузить антивирус или файрвол?

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

И еще вопрос (боюсь что-то нитак сделать) системное восстановление - это откоючить восстановление системы, других действий в подсказке не нашла
21.07.2010, 10:12
polword

[QUOTE=LadyAl;673733]
И еще вопрос (боюсь что-то нитак сделать) системное восстановление - это откоючить восстановление системы[/QUOTE]
да

[QUOTE=LadyAl;673733]Что значит выгрузить антивирус или файрвол?[/QUOTE]
можно посмотреть [URL="http://virusinfo.info/showthread.php?t=57441"]тут[/URL]

выполняйте скрипт и новые логи
21.07.2010, 12:59
LadyAl

Надеюсь, что все верно сделала.
21.07.2010, 17:58
LadyAl

И что теперь? Время от времени ошибка generic host Process for Win 32 services

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Вылез gff6.exe Что с ним делать?
21.07.2010, 18:09
thyrex

Сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
21.07.2010, 21:54
LadyAl

Сделала, как вы написали. Отчет прикрепила. Но снова захожу в инет с другого компьютера. Никакой реакции на подключение и explorer. Ребята, помогите, что еще мне сделать, чтобы, наконец, привести в порядок компьютер. Вы - моя надежа!
22.07.2010, 01:22
thyrex

c:\windows\System32\sfcfiles.dll восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\gff6.exe
c:\windows\system32\sopasclib.dll
c:\windows\system32\sqlserv.exe
c:\windows\system32\sopasvstart.dll
c:\windows\system32\Service.exe
c:\windows\8954828.tmp
c:\windows\8954968.tmp
c:\windows\system32\bscerc.exe
c:\windows\system32\config\systemprofile\Application Data\swqatk.dat

Driver::
ba
msdsefar
SopSrv
SqlDebuger
vsd

Folder::
c:\windows\system32\t

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"SopSrv"=-

FMOVE::
c:\windows\system32\dllcache\beep.sys|c:\windows\System32\drivers\beep.sys

FileLook::
c:\program files\Common Files\rumik.lib
c:\program files\Common Files\teqybakav.com
c:\program files\Common Files\qyryhus.dl
c:\program files\Common Files\irunofily.db
c:\program files\Common Files\hiroqipe.exe
c:\program files\Common Files\tofojagip.lib
c:\program files\Common Files\aciw.inf
c:\program files\Common Files\jytan.db

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
22.07.2010, 18:22
LadyAl

Спасибо, что помогаете! Отправляю отчет. Выполняла в безопасном режиме, иначе все время были ошибки. Сейчас не могу подключиться к инету, нажимаю и ничего не происходит, explorer долго грузится и проблемы с антивирусниками не запускаются. Можно еще что-то сделать?
22.07.2010, 21:53
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\sfcfiles.dll','');
QuarantineFile('c:\windows\system32\43T2N6Y3\E001.exe','');
QuarantineFile('c:\windows\system32\43T2N6Y3\P001.exe','');
QuarantineFile('c:\windows\system32\43T2N6Y3\J001.exe','');
QuarantineFile('c:\windows\system32\drivers\tcpz-x86d.sys','');
QuarantineFile('c:\windows\system32\Sqldebug.exe','');
QuarantineFile('c:\windows\system32\g2010.exe','');
QuarantineFile('c:\program files\Common Files\jytan.db','');
QuarantineFile('c:\program files\Common Files\aciw.inf','');
QuarantineFile('c:\program files\Common Files\tofojagip.lib','');
QuarantineFile('c:\program files\Common Files\hiroqipe.exe','');
QuarantineFile('c:\program files\Common Files\irunofily.db','');
QuarantineFile('c:\program files\Common Files\qyryhus.dl','');
QuarantineFile('c:\program files\Common Files\teqybakav.com','');
QuarantineFile('c:\program files\Common Files\rumik.lib','');
DeleteFile('c:\windows\system32\43T2N6Y3\J001.exe');
DeleteFile('c:\windows\system32\43T2N6Y3\P001.exe');
DeleteFile('c:\windows\system32\43T2N6Y3\E001.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
23.07.2010, 12:05
LadyAl

Карантин отправила, снова делала в безопасном режиме, в обычном ПК зависала перед перезагрузкой. С антивирусниками и инетом проблемы остались.

[size="1"][color="#666686"][B][I]Добавлено через 59 минут[/I][/B][/color][/size]

1068: Не удалось запустить дочернюю службу. В обычном режиме выдает для многих служб такую ошибку, начиная со "справки и поддержки" заканчивая антивирусниками, в безопасном такую проблему не наблюдаю. Это снова вирусы? Или сбились какие-то настройки? Есть какие-нибудь советы? Хоть какие-нибудь?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Хотя и в безопасном на некоторые службы так выдает.
23.07.2010, 13:22
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\Sqldebug.exe');
DeleteFile('c:\windows\system32\g2010.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог ComboFix
23.07.2010, 15:49
LadyAl

Вложений: 1

Отправляю, в безопасном режиме при выполнении ComboFix вылезла ошибка rev.exe. Лог прицепляю. Все остальные ошибки сохранились.
24.07.2010, 07:46
LadyAl

Нет ответов... Жаль, мне завтра ноут отдавать, а со своего я не так и не могу зайти в инет???
24.07.2010, 19:55
thyrex

Папку c:\windows\system32\43T2N6Y3 удалите вручную. Больше ничего необычного не видно

[QUOTE='LadyAl;675459']со своего я не так и не могу зайти в инет[/QUOTE]Попробуйте [url]http://virusinfo.info/showthread.php?t=10267[/url]
25.07.2010, 19:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]32[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\blsskeo.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@aWWc5vgi, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\fjhdyfhsn.bat - [B]Trojan.BAT.DelFiles.ez[/B] ( DrWEB: BAT.KillFiles.42, BitDefender: Trojan.BAT.AACH, NOD32: BAT/Agent.NFC trojan, AVAST4: VBS:Malware-gen )[*] c:\windows\system32\hbjlhp.exe - [B]Trojan.Win32.Jorik.Shiz.ay[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4542246, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\ibhdrmz.exe - [B]Backdoor.Win32.Shiz.kh[/B] ( DrWEB: Trojan.PWS.Ibank.53 )[*] c:\windows\system32\ioeufce.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@aWWc5vgi, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\izcsjms.exe - [B]Trojan.Win32.Jorik.Shiz.bd[/B] ( DrWEB: Trojan.PWS.Ibank.53, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\jgnzabo.exe - [B]Trojan.Win32.Jorik.Shiz.bk[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@aa4fQ1hi, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\jodoqxk.exe - [B]Trojan.Win32.Jorik.Shiz.bi[/B] ( DrWEB: Trojan.PWS.Ibank.53, BitDefender: Gen:Trojan.Heur.FU.gq0@aWbtFgoi, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\lbwskjg.exe - [B]Trojan.Win32.Jorik.Shiz.bm[/B] ( DrWEB: Trojan.PWS.Ibank.55, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\lnuxn4d.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.hq0@aqZauEdi, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\nknapja.exe - [B]Trojan.Win32.Jorik.Shiz.bd[/B] ( DrWEB: Trojan.PWS.Ibank.53, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\nrzaeq.exe - [B]Trojan.Win32.Jorik.Shiz.be[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@a4JyV!hi, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\ryvnxnr.exe - [B]Trojan.Win32.Jorik.Shiz.az[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.fq0@aahwu4bi, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Spyware-gen [Spy] )[*] c:\windows\system32\sqldebug.exe - [B]Trojan.MSIL.Small.j[/B] ( BitDefender: Trojan.Generic.4140133, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\windows\system32\ylqgcjf.exe - [B]Trojan.Win32.Jorik.Shiz.bd[/B] ( DrWEB: Trojan.PWS.Ibank.53, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\ywihqkg.exe - [B]Trojan.Win32.Jorik.Shiz.bj[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.gq0@aiS671oi, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\4bdf6ab4.exe - [B]Backdoor.Win32.Shiz.la[/B] ( DrWEB: Trojan.DownLoad1.42328, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\4dgtrb8.exe - [B]Trojan.Win32.Jorik.Shiz.bc[/B] ( DrWEB: Trojan.PWS.Ibank.55 )[*] c:\windows\system32\43t2n6y3\e001.exe - [B]Backdoor.Win32.Krafcot.zc[/B] ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Generic.4310109, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\43t2n6y3\j001.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: BackDoor.Beizhu.2245, BitDefender: Backdoor.Generic.266158, AVAST4: Win32:Dogrobot [Drp] )[/LIST][/LIST]