Файл conhou висит в фоновых процессах( Помогите решить

[YoomaY]

Добрый вечер Уважаемые форумчане,
на сервере 2012 R2 начали слетать DNS зоны, после проверки по процессам был обнаружен запущенный в фоновых процессах "conhou"!!! При попытке его отключить автоматически сам запускается снова(( установить антивирус, а так же запустить браузер неудается они тут же сворачиваются.
Подскажите есть ли возможность решить без переустановки винды??
Заранее спасибо

[Info_bot]

Уважаемый(ая) YoomaY, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[YoomaY]

прикрепляю лог

[thyrex]

Выполните скрипт в AVZ из папки Autologger

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\system\msinfo.exe','');
 QuarantineFile('C:\Windows\system32\csrs.exe','');
 QuarantineFile('C:\Windows\syswow64\csrs.exe','');
 QuarantineFile('c:\windows\inf\aspnet\lsma12.exe','');
 QuarantineFile('c:\windows\temp\conhos.exe','');
 DeleteService('xWinWpdSrv');
 QuarantineFile('c:\windows\system\msinfo.exe','');
 QuarantineFile('c:\windows\debug\item.dat','');
 TerminateProcessByName('c:\windows\temp\conhou.exe');
 QuarantineFile('c:\windows\temp\conhou.exe','');
 DeleteFile('c:\windows\temp\conhou.exe','32');
 DeleteFile('c:\windows\debug\item.dat','32');
 DeleteFile('c:\windows\temp\conhos.exe','64');
 DeleteSchedulerTask('MicrosoftsWindows');
 DeleteSchedulerTask('MicrosoftsWindowsu');
 DeleteSchedulerTask('Mysa');
 DeleteSchedulerTask('Mysa1');
 DeleteSchedulerTask('Mysa2');
 DeleteSchedulerTask('Mysa3');
 DeleteFile('c:\windows\help\lsmosee.exe','64');
 DeleteFile('c:\windows\debug\ok.dat','64');
 DeleteSchedulerTask('ok');
 DeleteSchedulerTask('oka');
 DeleteFile('c:\windows\inf\aspnet\lsma12.exe','64');
 DeleteFile('C:\Windows\syswow64\csrs.exe','32');
 DeleteFile('C:\Windows\system32\csrs.exe','32');
 DeleteFile('C:\Windows\system\msinfo.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
end.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[YoomaY]

Выполните скрипт в AVZ из папки Autologger

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\system\msinfo.exe','');
 QuarantineFile('C:\Windows\system32\csrs.exe','');
 QuarantineFile('C:\Windows\syswow64\csrs.exe','');
 QuarantineFile('c:\windows\inf\aspnet\lsma12.exe','');
 QuarantineFile('c:\windows\temp\conhos.exe','');
 DeleteService('xWinWpdSrv');
 QuarantineFile('c:\windows\system\msinfo.exe','');
 QuarantineFile('c:\windows\debug\item.dat','');
 TerminateProcessByName('c:\windows\temp\conhou.exe');
 QuarantineFile('c:\windows\temp\conhou.exe','');
 DeleteFile('c:\windows\temp\conhou.exe','32');
 DeleteFile('c:\windows\debug\item.dat','32');
 DeleteFile('c:\windows\temp\conhos.exe','64');
 DeleteSchedulerTask('MicrosoftsWindows');
 DeleteSchedulerTask('MicrosoftsWindowsu');
 DeleteSchedulerTask('Mysa');
 DeleteSchedulerTask('Mysa1');
 DeleteSchedulerTask('Mysa2');
 DeleteSchedulerTask('Mysa3');
 DeleteFile('c:\windows\help\lsmosee.exe','64');
 DeleteFile('c:\windows\debug\ok.dat','64');
 DeleteSchedulerTask('ok');
 DeleteSchedulerTask('oka');
 DeleteFile('c:\windows\inf\aspnet\lsma12.exe','64');
 DeleteFile('C:\Windows\syswow64\csrs.exe','32');
 DeleteFile('C:\Windows\system32\csrs.exe','32');
 DeleteFile('C:\Windows\system\msinfo.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
end.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

Сделал как вы сказали, процесс сперва замолчал, но остался восклицательный знак на сетевом подключении. Так же ДНС перезаписываются, conhou висит в диспетчере задач. Скрипт свежий прилагаю

[thyrex]

Сделайте лог TDSSkiller