svchost.exe грузит процессор на 50%

[Absinthe]

svchost.exe грузит проц на 50%. если его выгрузить перестает работать интернет.

сделал как написано тут:

Скачайте эту программу: http://www.veldhuizen.speedxs.nl/winsockxpfix.exe, запустите и нажмите Fix. По окончании ее работы будет перезагрузка. Затем проверьте настройки сетевых подключений и при необходимости введите их заново.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить

Установите SP3(может потребоваться активация)+все последующие обновления

проблема осталась, но теперь при попытке выгрузить процесс компьютер требует перезагрузку и через минуту ребутится.

[Bratez]

сделал как написано тут:

А зачем? Это ведь не вам было написано. Лечение у нас выписывают индивидуально, на основании логов, а не с потолка. Скажите спасибо, что у вас не серверная ОС, а то был бы вам Fix с перезагрузкой!

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\TEMP\~TM326E.tmp','');
 QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
 QuarantineFile('C:\WINDOWS\system32\wbqxsw.dll','');
 DeleteFile('C:\WINDOWS\system32\wbqxsw.dll');
 DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\siszyd32.exe');
 DeleteFile('C:\WINDOWS\TEMP\~TM326E.tmp');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=67385).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Сделайте дополнительно лог gmer.

[Absinthe]

Сделал

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\wbqxsw.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\hhxyxscg');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\hhxyxscg\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\hhxyxscg');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\hhxyxscg');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\hhxyxscg\Parameters');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\hhxyxscg');
RebootWindows(true);
end.

Компьютер перезагрузится.
Повторите лог gmer.

[Absinthe]

готово.

[Bratez]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Fonts\FELIXTI.TTF:Sp3L0zWH4lN','');
DeleteFile('C:\WINDOWS\Fonts\FELIXTI.TTF:Sp3L0zWH4lN');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст.

Что с проблемами?

[Absinthe]

Карантин выслал.

Проц не грузиться больше процессом svchost, но происходит что то странное с интернет соединением. Поработает минут 10-15 и перестает. Если попробовать отключить соединение руками из трея, соединение не отключается. Если запустить ярлык впн(интернет), окно открывается и тут же пропадает.

В процессах висят непонятые вещи вроде: sdthe.exe, woota.exe

[pig]

Повторите логи.
P.S. Обновления безопасности на систему все установлены?

[Absinthe]

сделал.
обновления вроде все стоят...

Левые файлы я нашел...4 штуки. удалил и почистил все что с ними было связано в реестре, но sdthe.exe все равно копирует себя в корень диска С. После этого перестает работать интернет. Нод с послденими базами ничего не находит. AVZ тоже.

[Absinthe]

предыдущая информация оказалась не совсем точной. Обновления стояли не все. Сегодня утром поставил недостающие - после этого пока в течение 5 часов все работает нормально.

Думаю можно закрывать тему...

[Bratez]

Активной заразы больше не видно,
но для полной стерильности - последняя процедура.

Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) -  - (no file)
O3 - Toolbar: &Page Promoter Bar - {BA5D8DF9-1851-4660-B3AE-89E6E030AC34} - (no file)
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\livemessn.exe

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Data\Microsoft\vojyg.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\vojyg.exe');
DeleteFile('C:\WINDOWS\livemessn.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('iedaapyu');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Absinthe]

скрипт для AVZ выдал ошибку. выполнил его без этой строки:

Data\Microsoft\vojyg.exe','');

Получился такой:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\vojyg.exe');
DeleteFile('C:\WINDOWS\livemessn.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('iedaapyu');
BC_Activate;
RebootWindows(true);
end.

Логи прилагаю.

[Bratez]

Да, случайно обрывок строчки затесался...
Теперь в логах все нормально.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\администратор\главное меню\программы\автозагрузка\siszyd32.exe - Trojan.Win32.Agent2.cnfz ( DrWEB: Trojan.Packed.19599, AVAST4: Win32:Small-NFN [Trj] )
  2. c:\windows\fonts\felixti.ttf:sp3l0zwh4ln - Trojan.Win32.Agent2.cngm
  3. c:\windows\temp\~tm326e.tmp - Packed.Win32.Tadym.l