Лишние svchost.exe грузят ЦП и интернет,

Printable View

20.10.2010, 22:43
-БЕРКУТ-

Лишние svchost.exe грузят ЦП и интернет,

Здравствуйте, стоял антивирус у меня DrWeb Pro 6 - после обновления его базы на следующий день при включении ПК увидел что DrWeb стал 5-ой версии с последним обновлением 1970 года 0_о.
Начал ставить 6 версию и после установки и перезагрузки снова у меня появились лишние процессы svchost.exe всего в диспетчере насчитал 7 штук,при подключении к интернету начинают загружать ЦП, интернет сильно тормозит, минут через 10 появляются новые процессы типа -А018,D001 и т.д.,которые DrWeb тут же отсекает, но они лезут без конца.
Далее появляется сообщение об ошибке Generic Host и интернет виснет и не отключается, приходится перезагружать. Интернета максимум хватает минут на 25-30.....
Последние пару часов через какоето время работы, ПК стал полностью виснуть - браузер виснет, даже окна виндовс не открвает,
бездействие ЦП 99% приходится перезагружать(
Несколько месяцев назад у меня была такая же проблема, тут мне помогли довольно быстро с ней справиться.
Снова прошу у вас помощи в лечении.
Из прошлой практики сразу сделал несколько сканов - стандартные + MBAM и ComboFix.
21.10.2010, 11:19
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteService('srgr');
QuarantineFile('C:\WINDOWS\system32\PH6CDTYX\D001.exe','');
DeleteService('supersev');
QuarantineFile('C:\WINDOWS\system32\t\A89.exe','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WabSvc\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\t\A89.exe');
BC_DeleteSvc('supersev');
DeleteFile('C:\WINDOWS\system32\PH6CDTYX\D001.exe');
BC_DeleteSvc('srgr');
DeleteFile('C:\WINDOWS\System32\wabapsclib.dll');
DeleteFile('c:\windows\system32\wabaprnlib.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Выполните скрипт в АВЗ -

[CODE]var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/CODE]

- прикрепите к сообщению файл [B]fystemRoot.log[/B], который появится в папке с AVZ

Удалите в МВАМ -

[CODE]Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wabsvc (Malware.Packer) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Invictus (Trojan.FakeAlert) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\BZPL8Q8U\A00[2].exe (Malware.Packer) -> No action taken.
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\S5NMRAGV\A00[1].exe (Malware.Packer) -> No action taken.
[/CODE]

- Повторите логи АВЗ + МВАМ
21.10.2010, 17:21
-БЕРКУТ-

Карантин Отправил.
Выполнил все скрипты и после перезагрузки полезли Ошибки,
на диске С какието новые файлы и папки, некоторые приложения к примеру paint не запускаются, файлы для запуска каким-то образом оказалися в карантине в папке C:\Qoobox\Quarantine\C\Program Files - эта папка вроде от ComboFix, но я им ничего не делал. Как их вернуть на место?
Неизвестных Процессов стало ещё больше и они грузят процессор( DrWeb пропал из трея.
Сделал Скрин с ошибками и на диске С появились новые папки и файлы: C:\DRIVERS\smss.exe, C:\1e2d1191.exe, 360°ІИ«ОАКїЙэј¶І№¶Ў - это вапще ярлык какойто с иероглифами.
21.10.2010, 17:34
-БЕРКУТ-

И ещё на рабочем столе пропала папка Мои Документы, в место неё появился ярлык
Internet Explorer - кликнул начала открываться страница с адресом zhaosui.com/go.htm?my=99999, что это? интернет ооочень тормозит поэтому только увидел там квадратики и догружать не стал.
21.10.2010, 17:35
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\temp\1634.exe');
QuarantineFile('c:\windows\temp\1634.exe','');
TerminateProcessByName('c:\windows\temp\23641.exe');
QuarantineFile('c:\windows\temp\23641.exe','');
TerminateProcessByName('c:\windows\temp\3704.exe');
QuarantineFile('c:\windows\temp\3704.exe','');
TerminateProcessByName('c:\windows\temp\8797.exe');
QuarantineFile('c:\windows\temp\8797.exe','');
TerminateProcessByName('c:\windows\temp\b9a5c96.exe');
QuarantineFile('c:\windows\temp\b9a5c96.exe','');
TerminateProcessByName('c:\windows\system32\ckw7awiq\c010.exe');
QuarantineFile('c:\windows\system32\ckw7awiq\c010.exe','');
TerminateProcessByName('c:\windows\system32\ajxtnjr4\d001.exe');
QuarantineFile('c:\windows\system32\ajxtnjr4\d001.exe','');
TerminateProcessByName('c:\windows\system32\vo3j5xb1\f001.exe');
QuarantineFile('c:\windows\system32\vo3j5xb1\f001.exe','');
TerminateProcessByName('c:\documents and settings\all users\application data\lanmao.exe');
QuarantineFile('c:\documents and settings\all users\application data\lanmao.exe','');
TerminateProcessByName('c:\windows\svhost4.exe');
QuarantineFile('c:\windows\svhost4.exe','');
TerminateProcessByName('c:\windows\svhost6.exe');
QuarantineFile('c:\windows\svhost6.exe','');
TerminateProcessByName('c:\windows\svhost7.exe');
QuarantineFile('c:\windows\svhost7.exe','');
QuarantineFile('c:\windows\system32\bxmrs.cc3','');
QuarantineFile('C:\WINDOWS\system32\dbr06006.ocx','');
QuarantineFile('C:\WINDOWS\system32\dbr06006.tsp','');
QuarantineFile('C:\WINDOWS\system32\dbr09006.ocx','');
QuarantineFile('C:\WINDOWS\system32\dbr09006.tsp','');
QuarantineFile('C:\WINDOWS\system32\dbr11005.tsp','');
QuarantineFile('C:\WINDOWS\system32\msctfime.iem','');
QuarantineFile('C:\WINDOWS\TEMP\kb208169.gon','');
QuarantineFile('C:\WINDOWS\TEMP\kb551178.gon','');
QuarantineFile('C:\WINDOWS\system32\0AFD20F8.sys','');
QuarantineFile('C:\Program Files\Internet Explorer\Antinoftn.scr','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Storm\update\Console\jpqly.cc3','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\lanmao.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\ra.vbe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\smsrun.jse','');
QuarantineFile('C:\WINDOWS\system32\4cdd0.dll','');
QuarantineFile('c:\drivers\smss.exe','');
QuarantineFile('C:\WINDOWS\system32\msctfiem.cpl','');
DeleteFile('C:\WINDOWS\system32\msctfiem.cpl');
DeleteFile('c:\drivers\smss.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','micrososot');
DeleteFile('C:\WINDOWS\system32\4cdd0.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\.Net C2LR\Parameters','ServiceDll');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\smsrun.jse');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\ra.vbe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\lanmao.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WmdmPmSN\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\0AFD20F8.sys');
DeleteFile('C:\WINDOWS\TEMP\kb551178.gon');
DeleteFile('C:\WINDOWS\TEMP\kb208169.gon');
DeleteFile('C:\WINDOWS\system32\msctfime.iem');
DeleteFile('C:\WINDOWS\system32\dbr11005.tsp');
DeleteFile('C:\WINDOWS\system32\dbr09006.tsp');
DeleteFile('C:\WINDOWS\system32\dbr09006.ocx');
DeleteFile('C:\WINDOWS\system32\dbr06006.tsp');
DeleteFile('C:\WINDOWS\system32\dbr06006.ocx');
DeleteFile('c:\windows\system32\bxmrs.cc3');
DeleteFile('c:\windows\svhost7.exe');
DeleteFile('c:\windows\svhost6.exe');
DeleteFile('c:\windows\svhost4.exe');
DeleteFile('c:\documents and settings\all users\application data\lanmao.exe');
DeleteFile('c:\windows\system32\vo3j5xb1\f001.exe');
DeleteFile('c:\windows\system32\ajxtnjr4\d001.exe');
DeleteFile('c:\windows\system32\ckw7awiq\c010.exe');
DeleteFile('c:\windows\temp\b9a5c96.exe');
DeleteFile('c:\windows\temp\8797.exe');
DeleteFile('c:\windows\temp\3704.exe');
DeleteFile('c:\windows\temp\23641.exe');
DeleteFile('c:\windows\temp\1634.exe');
TerminateProcessByName('c:\windows\system32\ckw7awiq\c010.exe');
QuarantineFile('c:\windows\system32\ckw7awiq\c010.exe','');
TerminateProcessByName('c:\windows\system32\vo3j5xb1\f001.exe');
QuarantineFile('c:\windows\system32\vo3j5xb1\f001.exe','');
TerminateProcessByName('c:\windows\qqmusic.exe');
SetServiceStart('sreyfyu', 4);
StopService('sreyfyu');
SetServiceStart('8ї', 4);
DeleteService('8ї');
StopService('8ї');
DeleteService('sreyfyu');
DeleteService('djsak2');
QuarantineFile('C:\WINDOWS\system32\CKW7AWIQ\C010.exe','');
QuarantineFile('C:\WINDOWS\system32\VO3J5XB1\F001.exe','');
QuarantineFile('C:\WINDOWS\system32\7165ds.exe','');
QuarantineFile('C:\WINDOWS\QQMusic.exe','');
QuarantineFile('C:\WINDOWS\system32\bxmrs.cc3','');
QuarantineFile('C:\WINDOWS\system32\wacaprnlib.dll','');
DeleteFile('C:\WINDOWS\system32\wacaprnlib.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WacSvc\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\bxmrs.cc3');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Messenger\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\QQMusic.exe');
DeleteFile('C:\WINDOWS\system32\7165ds.exe');
DeleteFile('C:\WINDOWS\system32\VO3J5XB1\F001.exe');
DeleteFile('C:\WINDOWS\system32\CKW7AWIQ\C010.exe');
BC_DeleteSvc('djsak2');
BC_DeleteSvc('sreyfyu');
BC_DeleteSvc('8ї');
DeleteFile('c:\windows\system32\vo3j5xb1\f001.exe');
DeleteFile('c:\windows\system32\ckw7awiq\c010.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine2.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
21.10.2010, 18:07
-БЕРКУТ-

Карантин с трудом отправил, svchost грузит процессор на 99%.......изменений к лучшему нету.
21.10.2010, 19:04
olejah

Да какие там изменения, Вы умудрились наловить тучу зверей, так просто не отделаетесь.

- Просканируйте компьютер CureIt, после чего сделайте новые логи.
22.10.2010, 15:58
-БЕРКУТ-

Проверил систему CureIt - нашёл много всего, было много заражённых exe-файлов программ, половину в карантин скинул, другое удалил. теперь половина программ переставлять надо.
После проверки загрузился, вылезла ошибка Сервера сенариев (скрин сделал), svchost было 5, через минут 10 появился ещё 1,
при подключении с выключенным фаерволлом к интернету появляются неизвестные процессы и лезут в сеть. АВЗ переставил так как exe-файл был заражён.
Все ярлыки на рабочем столе и в Пуске не работают, у всех почти в своиствах прописан адрес ("C:\Qoobox\Quarantine\C\Program Files\WinPcap\StormII.exe.vir" "C:\Program Files\WinPcap\µTorrent.lnk")
при попытке запустить ярлык пишет что ненайден файл StormII.exe.vir.
Запускаю программы только из корневой папки.
Появился DrWeb, вроде работает.
Похоже всё это началось когда ДрВеб откатился на 5 версию, в интернете читал что это из-за неверного ключа по которому он обновлял базу с Китайского сервера, выше писал уже что появилась страница на рабочем столе тоже на китайский сайт похоже, так как при загрузке шрифт был квадратами весь, и ещё у меня вдруг появилась неизвестно откуда Китайская раскладка в языковой панели.
Китайцы атакуют блин(
А ещё папка- Мои документы пропала с рабочего стола, в пуске стоит галочка отображать на столе, но она не отображается.
По первому скрипту АВЗ нашёл там снова подозрительный файл и ещё отмечал много отладчиков процессов.
Начал делать логи АВЗ по второму скрипту с подключением к интенету, через пару минут комп полностью завис, перезагрузился снова включил на последней стадии АВЗ просто отключился, браузер запускается долго бездействие системы 99%. svchost систему пока не грузит.
Ещё раз переустановил АВЗ сделал логи.
22.10.2010, 20:09
-БЕРКУТ-

Браузер FireFox очень долго запускается, при попытке чтонить скачать браузер виснет.
В диспетчере бездействие 99%, при попытке выбрать в нём вкладку "Сеть" диспетчер тоже виснет.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 33 минуты[/I][/B][/color][/size]

После перезагрузки в диспетчере висит процесс cfdrive32.ехе, через пару минут
ДрВеб уведомляет что заблокировал его, но он всё равно остаётся в процессах пока в ручную не завершу задачу. Ещё блокирует файлы из папки C:\Recycler, я её что-то не могу найти.
И ДрВеб стал сильно грузить процессор до такой степени, что не даёт работать другим программам, примерно каждые 5 минут процесс dwengine.exe загружает ЦП на 99% и браузер в это время зависает, раньше такова не было.
22.10.2010, 20:15
olejah

[QUOTE]Внимание !!! База поcледний раз обновлялась 25.08.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE] Надо бы базы обновить.
22.10.2010, 20:47
-БЕРКУТ-

Вложений: 2

Обновил базы, снова просканил.
22.10.2010, 22:52
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
22.10.2010, 23:58
-БЕРКУТ-

Сделал:
23.10.2010, 13:40
-БЕРКУТ-

На данный момент ДрВеб работает и перестал сильно грузить Прцессор, до сих пор находит заражённые файлы и блокирует их.
Браузер и интернет работают нормально.
После загрузки ПК cfdrive32.exe больше не появляется, осталось 6 процессов svchost.exe.
Ошибка Сервера сценариев осталась.
Поиск в Виндовс перестал работать, жму поиск -выдаёт ошибку: "Непредвиденная Ошибка. Не удаётся завершить указанное действие".
На диске D появились папки: Temporary в ней uewurweuc - системный файл,
RECYCLER пустая размер 85 байт.
23.10.2010, 14:49
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::

File::
c:\documents and settings\All Users\lanmao.bat
c:\documents and settings\All Users\Application Data\lanmao.exe
c:\windows\ouqay.vbe
c:\windows\aoedo.vbe
c:\windows\system32\ssowxqwcpc
c:\windows\yrbie.vbe
c:\documents and settings\All Users\123.bat
c:\windows\system32\bxmrs.cc3
c:\windows\system32\wacapsclib.dll
c:\windows\system32\xkddkk.exe
c:\documents and settings\All Users\Application Data\Storm\update\%SESSIONNAME%\cqtqv.cc3

Driver::
WacSvc
Netnanerav

Folder::

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"WacSvc"=-
"xcvs"=-

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
23.10.2010, 16:16
-БЕРКУТ-

Всё сделал
23.10.2010, 20:28
thyrex

c:\windows\System32\xmlprov.dll восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

c:\windows\system32\d3d8.dll проверьте проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::

File::
c:\program files\Internet Explorer\IEXPLOPE.EXE

Driver::
WabSvc

Folder::

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"WabSvc"=-

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
23.10.2010, 22:20
-БЕРКУТ-

[LEFT]Результат проверки virustotal: [url]http://www.virustotal.com/file-scan/report.html?id=464b16865c4991e237fb6397a05f77359ffb30627b9c54574424beff6f617c1a-1287855920[/url]

[/LEFT]
24.10.2010, 00:37
thyrex

Что с проблемой?
24.10.2010, 15:11
-БЕРКУТ-

При включении ПК выдёт две ошибки Сервера сценариев Windows:
C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\ny.vbe
C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\smsrun.jse
это удалить можно?
DrWeb каждый раз блокирует три файла из system32: 199A0720, 3C711EEC, 6D0C62A1 тип файла системные. Опознаёт их как Trojan.NtRootKit.9742(virus) - Через несколько минут работы ДрВеб снова уведомляет что заблокировал их, что с ними сделать?
Нашёл эти файлы хотел посмотреть своиства, жму ПКМ и Виндовс выдаёт ошибку:
Ошибка приложения explorer.exe, версия 6.0.2900.2180, модуль mramenu.dll,
версия 0.0.0.0, адрес 0x000134b1.
Оболочка неожиданно завершила работу, и программа "Explorer.exe" была перезапущена.
Поиск не работает, и у всех программ в меню пуск стоит неверный адрес для запуска приложения.
Можно как-то восстановить адреса хотябы стандартных программ? и поиск?
Ещё в диспетчере стал часто мелькать процесс drwreg.exe раньше такова не было, и процесс drwebupw.exe на против него где пишется имя пользователя пустая строка- это нормально?
В остальном всё в норме, хостов 5, Цп не грузят.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

И что на счёт двух папок, которые появились на диске D? раньше их не было.
24.10.2010, 17:59
thyrex

Новые логи AVZ сделайте
24.10.2010, 18:44
-БЕРКУТ-

С изменёнными адресами программ думаю разберусь, пропишу пути сам.

Перестал работать IE8, жму запуск и никакой реакции нет, переустановил - всё также не запускается.
Сделал логи:
24.10.2010, 23:33
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\smsrun.jse','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\ny.vbe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Storm\update\Console\cqtqv.cc3','');
QuarantineFile('C:\WINDOWS\system32\6D0C62A1.sys','');
QuarantineFile('C:\WINDOWS\system32\3C711EEC.sys','');
SetServiceStart('199A0720', 4);
QuarantineFile('C:\WINDOWS\system32\xkddkk.exe','');
DeleteService('txstx');
QuarantineFile('C:\WINDOWS\system32\199A0720.sys','');
DeleteFile('C:\WINDOWS\system32\199A0720.sys');
DeleteFile('C:\WINDOWS\system32\xkddkk.exe');
DeleteFile('C:\WINDOWS\system32\3C711EEC.sys');
DeleteFile('C:\WINDOWS\system32\6D0C62A1.sys');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Storm\update\Console\cqtqv.cc3');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\ny.vbe');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\smsrun.jse');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('199A0720');
BC_DeleteSvc('3C711EEC');
BC_DeleteSvc('6D0C62A1');
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Сделайте новые логи
25.10.2010, 13:24
-БЕРКУТ-

АВЗ не может выполнить скрипт, пишет -
Ошибка скрипта: ';' expected, позиция [20:13]
25.10.2010, 13:47
olejah

Поправлено, выполняйте.
25.10.2010, 16:01
-БЕРКУТ-

Скрипт выполнил, карантин отправил.
В АВЗ ещё есть за 22 число карантин там два файла: cfdrive32.exe и oekx.exe,
их тоже выслать?

"ушёл ставить сп3".

[size="1"][color="#666686"][B][I]Добавлено через 47 минут[/I][/B][/color][/size]

скачал SP3 по вашей ссылке, не ставится( выдаёт ошибку:
Windows XP Пакет обновления 3 installation failed.
Внутренняя ошибка.
Код(ID): 4373
25.10.2010, 16:46
thyrex

Логи новые где?
25.10.2010, 18:06
-БЕРКУТ-

Новые логи:
25.10.2010, 22:01
thyrex

Попробуйте еще раз скачать. Логи плохого не показывают
01.11.2010, 08:22
-БЕРКУТ-

Спасибо за помощь с лечением, вирусов больше не наблюдаю) Обновить винду так и не вышло, тут ещё половина служебных программ перестали работать, времени нету разбираться что к чему.
В общем в ближайшее время буду переустанавливать виндовс, и обновлю всё что возможно)
:druzja:
02.11.2010, 08:22
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]122[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\application data\\lanmao.exe - [B]Backdoor.Win32.DarkShell.li[/B] ( DrWEB: BackDoor.Darkshell.246, BitDefender: Trojan.Generic.4984793, AVAST4: Win32:Agent-AERY [Trj] )[*] c:\\documents and settings\\all users\\главное меню\\программы\\автозагрузка\\smsrun.jse - [B]Trojan.VBS.Zapchast.an[/B] ( NOD32: JS/Runner.NAA trojan, AVAST4: IRC:Malware-gen )[*] c:\\drivers\\smss.exe - [B]Trojan-Clicker.Win32.VB.fqg[/B] ( DrWEB: Trojan.DownLoader1.31978, BitDefender: Trojan.Generic.4984571, AVAST4: Win32:Dropper-EFZ [Drp] )[*] c:\\program files\\internet explorer\\antinoftn.scr - [B]Backdoor.Win32.Agent.azak[/B] ( DrWEB: BackDoor.Darkshell.246, BitDefender: MemScan:Backdoor.Agent.AATF, AVAST4: Win32:Agent-AERY [Trj] )[*] c:\\windows\\qqmusic.exe - [B]Trojan.Win32.Agent.hfex[/B] ( DrWEB: Trojan.Siggen2.6393, BitDefender: Trojan.Generic.4989811, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\ajxtnjr4\\d001.exe - [B]Backdoor.Win32.Krafcot.afv[/B] ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Generic.5232303, NOD32: Win32/Agent.OSH trojan, AVAST4: Win32:Crypt-IBQ [Trj] )[*] c:\\windows\\system32\\bxmrs.cc3 - [B]Trojan-PSW.Win32.Bjlog.lno[/B] ( BitDefender: Trojan.Zegost.A, NOD32: Win32/Redosdru.GR trojan, AVAST4: Win32:Zegost-D [Drp] )[*] c:\\windows\\system32\\ckw7awiq\\c010.exe - [B]Trojan.Win32.MicroFake.ck[/B] ( DrWEB: DDoS.Rincux.316, BitDefender: Trojan.Inject.AAE, AVAST4: Win32:ServStart-C [Trj] )[*] c:\\windows\\system32\\dbr06006.ocx - [B]Packed.Win32.Klone.i[/B] ( BitDefender: Trojan.Generic.5009361, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\dbr06006.tsp - [B]Trojan-GameThief.Win32.OnLineGames.xgms[/B] ( DrWEB: Trojan.PWS.Wsgame.23867, BitDefender: Trojan.Generic.5017538, AVAST4: Win32:Agent-AMKP [Drp] )[*] c:\\windows\\system32\\dbr09006.ocx - [B]Packed.Win32.Klone.i[/B] ( DrWEB: Trojan.PWS.Wow.1959, BitDefender: Trojan.Generic.5001360, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\dbr09006.tsp - [B]Trojan-GameThief.Win32.OnLineGames.xgnb[/B] ( DrWEB: Trojan.PWS.Wsgame.23832, BitDefender: Trojan.Generic.5001246, AVAST4: Win32:Agent-AMKP [Drp] )[*] c:\\windows\\system32\\dbr11005.tsp - [B]Trojan-GameThief.Win32.OnLineGames.xgnk[/B] ( DrWEB: Trojan.PWS.Wsgame.23868, BitDefender: Trojan.Generic.5017336, AVAST4: Win32:Agent-AMKP [Drp] )[*] c:\\windows\\system32\\msctfiem.cpl - [B]Trojan-GameThief.Win32.OnLineGames.xhfj[/B] ( DrWEB: Trojan.PWS.Wsgame.25055, BitDefender: Trojan.Generic.5091630, AVAST4: Win32:Agent-AMKP [Drp] )[*] c:\\windows\\system32\\msctfime.iem - [B]Trojan-GameThief.Win32.OnLineGames.xgnb[/B] ( DrWEB: Trojan.PWS.Wsgame.23832, BitDefender: Trojan.Generic.5001246, AVAST4: Win32:Agent-AMKP [Drp] )[*] c:\\windows\\system32\\vo3j5xb1\\f001.exe - [B]Backdoor.Win32.Xyligan.bqx[/B] ( DrWEB: Trojan.DownLoad1.58649, BitDefender: Trojan.Generic.4985265, NOD32: Win32/Agent.OSF trojan, AVAST4: Win32:PcClient-ZE [Trj] )[*] c:\\windows\\system32\\wacaprnlib.dll - [B]Net-Worm.Win32.Kolab.mbw[/B] ( DrWEB: Trojan.Siggen1.8784, BitDefender: MemScan:Trojan.Dropper.TDSS.H, AVAST4: Win32:Alureon-LC [Trj] )[*] c:\\windows\\system32\\0afd20f8.sys - [B]Rootkit.Win32.Agent.bjqz[/B] ( DrWEB: Trojan.NtRootKit.13246, BitDefender: Rootkit.40695, AVAST4: Win32:Jadtre-H [Rtk] )[*] c:\\windows\\system32\\199a0720.sys - [B]Rootkit.Win32.Agent.bjqz[/B] ( DrWEB: Trojan.NtRootKit.13246, BitDefender: Rootkit.40695, AVAST4: Win32:Jadtre-H [Rtk] )[*] c:\\windows\\system32\\3c711eec.sys - [B]Rootkit.Win32.Agent.bjqz[/B] ( DrWEB: Trojan.NtRootKit.13246, BitDefender: Rootkit.40695, AVAST4: Win32:Jadtre-H [Rtk] )[*] c:\\windows\\system32\\4cdd0.dll - [B]Backdoor.Win32.Agent.aiev[/B] ( DrWEB: Trojan.Raber.3, BitDefender: Rootkit.49497, NOD32: Win32/Agent.OPH trojan, AVAST4: Win32:Redosdru-B [Trj] )[*] c:\\windows\\system32\\6d0c62a1.sys - [B]Rootkit.Win32.Agent.bjqz[/B] ( DrWEB: Trojan.NtRootKit.13246, BitDefender: Rootkit.40695, AVAST4: Win32:Jadtre-H [Rtk] )[*] c:\\windows\\temp\\kb208169.gon - [B]Trojan-PSW.Win32.Kykymber.jvh[/B] ( DrWEB: Trojan.Siggen2.6329, BitDefender: Trojan.Generic.4927569, AVAST4: Win32:Kykymber [Trj] )[*] c:\\windows\\temp\\kb551178.gon - [B]Trojan-PSW.Win32.Kykymber.kbc[/B] ( DrWEB: Trojan.PWS.Siggen.8725, BitDefender: Trojan.Generic.4874430, AVAST4: Win32:OnLineGames-GCA [Trj] )[*] c:\\windows\\temp\\1634.exe - [B]Trojan.Win32.StartPage.acxl[/B] ( DrWEB: Trojan.Inject.20122, BitDefender: Gen:Variant.Strictor.3253, AVAST4: Win32:Spyware-gen [Spy] )[*] c:\\windows\\temp\\23641.exe - [B]Trojan-Clicker.Win32.Agent.pfg[/B] ( DrWEB: Trojan.Click1.26931, BitDefender: Trojan.Generic.4924371, AVAST4: Win32:VB-OUB [Trj] )[*] c:\\windows\\temp\\3704.exe - [B]VirTool.Win32.UPXScrambler[/B] ( DrWEB: Tool.Siggen.6147, BitDefender: Trojan.Generic.5009602, AVAST4: Win32:Dropper-EFZ [Drp] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]