Невозможно остановить или отключить TermService (win serv 2003)

[Madaxice]

Здравствуйте,
Невозможно остановить TermService .
Служба находиться в состоянии "Работает" и в ручном режиме не отключается.
Все три кнопки - пауза, стоп, пуск - неактивны.
Если установить тип запуска"Отключено" - то после перезагрузки служба
вновь переходит в состояние "Работает", тип запуска "Автоматически".
(Изначально, служба вместе с другими уязвимыми службами
была отключена сразу после установки системы)

Сегодня обнаружил, что служба работает вдруг, не отключается и не останавливается.

В целом, система работает корректно, без нареканий.
Пожалуйста, помогите найти причину и отключить службу TermService.
Архив сделанный Autologger приложен.

Заранее спасибо.

[Info_bot]

Уважаемый(ая) Madaxice, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

Удалите IObit, Advanced SystemCare через установку программ в панели управления.

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Madaxice]

IObit Advanced SystemCare удален.
Архив с результатами сканирования добавлен к сообщению.

[SQ]

Знакома ли Вам?

NETSVC: zhgvo -> C:\WINDOWS\system32\ihpuqesz.dll ==> No File

Странно откуда на сервере оказался древний Net-Worm.Win32.Kido?

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  Start::
  CreateRestorePoint:
  File: C:\CCProxy\CCProxy.exe
  File: C:\Program Files\FPinger\FPinger.exe
  HKU\S-1-5-21-4092356272-2937128343-3806198540-1003\...\MountPoints2: {15fe8221-a915-11df-8437-00134639c7de} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE      .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn
  File: C:\WINDOWS\system32\ihpuqesz.dll
  File: C:\Documents and Settings\asu\comcat1.dll
  File: C:\Documents and Settings\asu\comcat2.dll
  File: C:\Documents and Settings\asu\comcat3.dll
  File: C:\Documents and Settings\asu\comcat4.dll
  File: C:\Documents and Settings\asu\comcat5.dll
  File: C:\WINDOWS\system32\ufdsvc.exe
  ContextMenuHandlers1: [ContMenu] -> {EBDF1F20-C829-11D1-8233-0020AF3E97A9} =>  -> No File
  ContextMenuHandlers4: [ContMenu] -> {EBDF1F20-C829-11D1-8233-0020AF3E97A9} =>  -> No File
  File: C:\Program Files\Allway Sync\Bin\syncappw.exe
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:21654C57 [188]
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:39413AC3 [334]
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:A5C00DEE [548]
  AlternateDataStreams: C:\Documents and Settings\asu\Desktop\Хакер.№6.июнь.2015.pdf:SummaryInformation [43]
  AlternateDataStreams: C:\Documents and Settings\asu\Desktop\Хакер.№6.июнь.2015.pdf:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
  End::

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

- Покажите лог TDSSKiller
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

P.S. В случае если найдет вредоносное ПО, самостоятельно не удаляйте.

[Madaxice]

Знакома, очень давно была. Вылечили. Скорее всего недобитки или остатки.

Лог TDSSKiller и Fixlog.

- - - - -Добавлено - - - - -

После всех операций, служба вроде отключилась (хотя кнопки "отключения" и "запуска" так и не активны). Сделал еще одну проверку TDSSKiller и вылезли новые подозрительные пункты. Лог прикладываю.

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  Start::
  CreateRestorePoint:
  NETSVC: zhgvo -> C:\WINDOWS\system32\ihpuqesz.dll ==> No File
  End::

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что сервер возможно будет перезагружен.

[Madaxice]

Все сделано. Лог приложил.

[SQ]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Madaxice]

Сделано. Лог приложил.

[SQ]

Сообщите, что с проблемой?

[Madaxice]

Как писал ранее, служба перестала быть активной (startup - disabled, service status - stopped), но кнопки "отключения" и "запуска" так и не активны.
Спасибо Вам за помощь в решении проблемы и за затраченное время.

[SQ]

Как писал ранее, служба перестала быть активной (startup - disabled, service status - stopped), но кнопки "отключения" и "запуска" так и не активны.
Спасибо Вам за помощь в решении проблемы и за затраченное время.

Так проблема не решена?

[Madaxice]

Решена. Спасибо.

[SQ]

В завершение:
1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.