winlogon.exe грузит систему на 50%

Доброе время суток.
Все началось с того, что я сделал быструю проверку касперским и удалил пару вирусов. При следующем запуске системы возникла проблема, описанная в заголовке. Максимальная проверка касперским обнаружила несколько вирусов, которые я впоследствии удалил. но проблема осталась. Логи прилагаются.

Кстати, увидел только что одну новую тему, там у человека svchost грузит систему на 50 %, так вот у меня тоже был процесс monoca32 в автозагрузке, его то я и удалил во время быстрой проверки.

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]begin
SetAVZGuardStatus(True);
ExecuteWizard('TSW', 2, 2, true);
QuarantineFile('C:\WINDOWS\system32\netprotocol.dll','');
QuarantineFile('C:\WINDOWS\system32\netprotdrvss','');
QuarantineFile('C:\WINDOWS\system32\sidebar32.exe','');
QuarantineFile('C:\Program Files\plugin.exe','');
DeleteService('zoynu');
DeleteService('xnhjks');
DeleteService('vgfxgcwij');
DeleteService('kmzhwo');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\lqczxzzv');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\lqczxzzv\Parameters');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\lqczxzzv\enum');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\gybawz');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\gybawz\Parameters');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\gybawz\enum');
QuarantineFile('C:\WINDOWS\system32\04.tmp','');
QuarantineFile('C:\WINDOWS\system32\02.tmp','');
DeleteService('dgwoziuv');
DeleteFile('C:\WINDOWS\system32\02.tmp');
DeleteFile('C:\WINDOWS\system32\04.tmp');
DeleteFile('C:\Program Files\plugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','plugin');
DeleteFile('C:\WINDOWS\system32\sidebar32.exe');
DeleteFile('C:\WINDOWS\system32\netprotocol.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b]Прислать запрошенный карантин[/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

Скрипт выполнил, но компьютер сам не перезагрузился, перезагрузил через альт-ф4. winlogon продолжает грузить систему на 50 %.

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\gitntiep.dll','');
QuarantineFile('C:\WINDOWS\TEMP\tempo-17457890.tmp','');
DeleteFile('C:\WINDOWS\TEMP\tempo-17457890.tmp');
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\lqczxzzv');
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\gybawz');
DeleteFile('C:\WINDOWS\Tasks\{5B57CF47-0BFA-43c6-ACF9-3B3653DCADBA}.job');
DeleteFile('C:\WINDOWS\system32\gitntiep.dll');
DeleteFile('C:\WINDOWS\system32\netprotdrvss');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Выполните в AVZ скрипт из файла [url=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл avz_log.txt из под-папки [b]log[/b].
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедится, что уязвимости устранены.

Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b]Прислать запрошенный карантин[/b][/color], вверху этой темы.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

Всё сделал, но в карантине файлов нет.

и winlogon все еще грузит на 50% кстати

Не видно ничего подозрительного.

Выполните процедуру, описанную в первом сообщении: [url]http://virusinfo.info/showthread.php?t=3519[/url]

по результату обработки вирусов нету в подозрительных файлах. Ребутнулся - winlogon продолжает грузить... Может еще раз выполнить стандартные скрипты?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 4 минуты[/I][/B][/color][/size]

я могу рассчитывать на дальнейшую помощь или мне дальше своими силами?

Лично я не знаю, что вам ещё сказать.

и на том спасибо, похоже придётся сносить систему

Лог Гмером сделайте, проверим все ли скрипты удалили.

вот

В логе ничего плохого не видно.

может новые логи сделать в AVZ и HiJackThis?

Просто лог Мбам сделайте, но ничего пока не удаляйте.

Мбам лог:

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в Мбам[/URL] -

[CODE]
Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{6d125299-c2a9-4dbc-bec3-6f7124e39a41} (Adware.FieryAds) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d125299-c2a9-4dbc-bec3-6f7124e39a41} (Adware.FieryAds) -> No action taken.

Зараженные папки:
C:\Documents and Settings\User\Application Data\FieryAds (Adware.FieryAds) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\User\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Documents and Settings\User\Application Data\fieryads.dat (Adware.FieryAds) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\Application Data\FieryAds.dat (Adware.FieryAds) -> No action taken.[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
If FileExists('C:\WINDOWS\System32\dllcache\sfcfiles.dll') then
begin
RenameFile('C:\WINDOWS\System32\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.bak','');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
AddToLog('File was renamed and deleted');
end
else
AddToLog('dllcache\sfcfiles.dll does not exist');
SaveLog(GetAVZDirectory + 'avz.log');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Файл [B]avz.log[/B] из папки с АВЗ, прикрепите к следующему сообщению.

- Повторите лог MBAM.

Карантин отослал, лог авз прикрепляю, мбам лог сделаю чуть позже

winlogon вроде ведет себя адекватно, систему не грузит

C:\WINDOWS\System32\sfcfiles.dll [B]Trojan.WinSpy.921[/B] по Доктору Вебу

плохо, что в логах AVZ его видно не было :(

лог мбама

я тут посмотрел, последний ключ реестра в логе - это мой старый вирус (Ahsan Manan Khan Bhutta), который я когда-то удалил, удалить его?

Вот эти ключи можно оставить, остальное удалить.
[QUOTE]C:\Program Files\Total Commander\Plugins\arc\Default.sfx (Malware.Packer) -> No action taken.
C:\Program Files\Total Commander\Utils\SFX Tool\Upack.exe (Malware.Packer) -> No action taken.
C:\Program Files\Total Commander\Utils\UUDS\WnASPI32.dll (Malware.Packer.Gen) -> No action taken.[/QUOTE]

Большое всем спасибо, теперь точно комп чист.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\cmdow.exe - [B]not-a-virus:RiskTool.Win32.HideWindows[/B][*] c:\windows\system32\netprotocol.dll - [B]Backdoor.Win32.Buterat.sx[/B] ( DrWEB: BackDoor.Butirat.3, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\sfcfiles.bak - [B]Trojan-Spy.Win32.Agent.bifx[/B] ( DrWEB: Trojan.WinSpy.921 )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]