svchost.exe

**дмитриевич Дмитрий** · 13.08.2011, 17:01

Здравсвуйте , у меня есть очень большая проблемма , процесс svchost.exe порою жрёт под 100% цп , и комп адско тормозит! и нужно перезагружать компьютер , если выключить процесс , интернет отключится , и его невозможно будет включить ( нужно перезагружать компьютер ) если выключить процесс зарание до включения интернета , то не будет звука , и панель пуска станет стандартной , (непойму что это такое) а еще есть подозрительные файлы в system32 с названием 1.exe 10.exe 20.exe 3.exe 4.exe 1D.exe ( это только пример ) и порою они включаются в диспетчере на пару секунд и пожирают до 70% цп , после этого запускается процесс aadrive32.exe , а еще есть подозрительные процессы : iexplore.exe , jodrive32.exe порою пожирают до 50%цп.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 13.08.2011, 17:03

Уважаемый(ая) дмитриевич Дмитрий, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Шапельский Александр** · 13.08.2011, 22:38

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Dimon\dwvcwj.exe','');
 QuarantineFile('C:\WINDOWS\jodrive32.exe','');
 QuarantineFile('C:\WINDOWS\aadrive32.exe','');
 QuarantineFile('C:\WINDOWS\system32\81.exe','');
 QuarantineFile('C:\WINDOWS\system32\77.exe','');
 QuarantineFile('C:\WINDOWS\system32\34.exe','');
 QuarantineFile('C:\WINDOWS\system32\25.exe','');
 QuarantineFile('C:\WINDOWS\system32\24.exe','');
 QuarantineFile('C:\WINDOWS\system32\ac32.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9850\kswor50y.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9813\kswor98y.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1858\kswor18y.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1457\system.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0953\klmqm122y.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0172\kmixm122y.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0122\k344m122y.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0113\kswor122y.exe','');
 QuarantineFile('c:\documents and settings\dimon\application data\8d.tmp','');
 TerminateProcessByName('c:\documents and settings\dimon\application data\8d.tmp');
 QuarantineFile('c:\windows\jodrive32.exe','');
 TerminateProcessByName('c:\windows\jodrive32.exe');
 QuarantineFile('c:\windows\cdpi.exe','');
 TerminateProcessByName('c:\windows\cdpi.exe');
 QuarantineFile('c:\windows\system32\ac32.exe','');
 TerminateProcessByName('c:\windows\system32\ac32.exe');
 DeleteFile('c:\windows\system32\ac32.exe');
 DeleteFile('c:\windows\cdpi.exe');
 DeleteFile('c:\windows\jodrive32.exe');
 DeleteFile('c:\documents and settings\dimon\application data\8d.tmp');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0113\kswor122y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kswor122y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0122\k344m122y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','k344m122y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0172\kmixm122y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kmix122y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-0953\klmqm122y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','klmq122y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1457\system.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Teswf');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1858\kswor18y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kswor18y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9813\kswor98y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kswor98y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9850\kswor50y.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kswor50y');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ac32');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
 DeleteFile('C:\WINDOWS\system32\ac32.exe');
 DeleteFile('C:\WINDOWS\system32\24.exe');
 DeleteFile('C:\WINDOWS\system32\25.exe');
 DeleteFile('C:\WINDOWS\system32\34.exe');
 DeleteFile('C:\WINDOWS\system32\77.exe');
 DeleteFile('C:\WINDOWS\aadrive32.exe');
 DeleteFile('C:\WINDOWS\ghdrive32.exe');
 DeleteFile('C:\WINDOWS\jodrive32.exe');
 DeleteFile('C:\Documents and Settings\Dimon\dwvcwj.exe');
BC_ImportAll;
ExecuteSysClean;
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
Executerepair(11);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Сделайте лог МВАМ

**дмитриевич Дмитрий** · 13.08.2011, 23:59

Разобрался , не могу скачать программу MBAM , не заходит на сайт , так же не могу зайти на сайт касперского , не могу качать файлы с сайта microsoft.com , туда заходит но нечего не качает , раньше и сюда не заходило , воспользовался kidoKillerОМ , теперь заходит , и не заходило на NOD32 , но сейчас заходит , незнаю даже что делать , я думал это только из за кидо , но оказывается нет.

**Шапельский Александр** · 14.08.2011, 00:28

Делайте логи АВЗ и Хиджака

**дмитриевич Дмитрий** · 14.08.2011, 00:38

вот логи сделал.

**Шапельский Александр** · 14.08.2011, 00:50

Выполните скрипт

Код:

begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\81.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe','');
 QuarantineFile('C:\Documents and Settings\Dimon\Application Data\5D.tmp','');
 QuarantineFile('C:\WINDOWS\system\lsass.exe','');
 QuarantineFile('C:\WINDOWS\system32\ac32.exe','');
 QuarantineFile('C:\WINDOWS\jodrive32.exe','');
 QuarantineFile('C:\Documents and Settings\Dimon\Application Data\Attktk.exe','');
 QuarantineFile('C:\Documents and Settings\Dimon\Application Data\Gvtktq.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
 QuarantineFile('c:\windows\jodrive32.exe','');
 TerminateProcessByName('c:\windows\jodrive32.exe');
 QuarantineFile('c:\windows\system32\ac32.exe','');
 TerminateProcessByName('c:\windows\system32\ac32.exe');
 DeleteFile('c:\windows\system32\ac32.exe');
 DeleteFile('c:\windows\jodrive32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 DeleteFile('C:\Documents and Settings\Dimon\Application Data\Gvtktq.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gvtktq');
 DeleteFile('C:\Documents and Settings\Dimon\Application Data\Attktk.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Attktk');
 DeleteFile('C:\WINDOWS\jodrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Config Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Config Setup');
 DeleteFile('C:\WINDOWS\system32\ac32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ac32');
 DeleteFile('C:\WINDOWS\system\lsass.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ilasss');
 DeleteFile('C:\Documents and Settings\Dimon\Application Data\5D.tmp');
 DeleteFilemask('C:\Documents and Settings\Dimon\Application Data','??.tmp',false);
 DeleteFile('C:\WINDOWS\system32\81.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Закачайте карантин, делайте новые логи.

**дмитриевич Дмитрий** · 14.08.2011, 01:36

вот , посмотрел лог хиджека , там у меня процесс wmagent.exe , странно , никаких вебмани агентов я не устанавливал

**Шапельский Александр** · 14.08.2011, 12:34

C:\Program Files\WebMoney Agent\wmagent.exe--странно, судя по логу установлен. Удалите, если не нужен.

Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\Dimon\Application Data\80E.tmp');
 DeleteFilemask('C:\Documents and Settings\Dimon\Application Data','*.tmp',false);
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Что сейчас с проблемой?

**дмитриевич Дмитрий** · 14.08.2011, 12:57

да вроде всё ! , спасибо , не известных мне процессов нету , да и еще , знаете , у меня 2 проблемки

после запуска Windows ДО приветсвия ,у меня на чёрном фоне , появляется окно Windows , и в вверху написано C:programm files .. crupt32.exe (Как то так ) и горит кнопка(ОК) её нажимаеш , и загружает Windows , а еще , на раб столе , у всех файлов указано расширение , например , музыка.mp3 , и при переименовании файла музыки и тд и тп , если не дописать его расширение , То файл становится каким то другим файлом.

**Шапельский Александр** · 14.08.2011, 13:19

Сделайте лог МВАМ и сделайте лог TDSSkiller--http://support.kaspersky.ru/faq/?qid=208636926 TDSSkiller запустите из командной строки с параметром -qmbr

**дмитриевич Дмитрий** · 14.08.2011, 17:14

вот лог MBAM , не понял как запустить TDSSkiller через коммандную строку

, в описании ничего не написано

**Шапельский Александр** · 14.08.2011, 21:37

Удаляйте все, что нашел МВАМ, сделайте новый лог МВАМ

**CyberHelper** · 15.08.2011, 21:37

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 99
В ходе лечения обнаружены вредоносные программы:
1. c:\\documents and settings\\dimon\\application data\\attktk.exe - Backdoor.Win32.Ruskill.anu ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KDV.316739, NOD32: Win32/Dorkbot.A worm, AVAST4: Win32:Kolab-JO [Trj] )
2. c:\\documents and settings\\dimon\\application data\\gvtktq.exe - Backdoor.Win32.Ruskill.akq ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Trojan.Generic.KD.368992, AVAST4: Win32:Kolab-JO [Trj] )
3. c:\\documents and settings\\dimon\\application data\\5d.tmp - Trojan-Downloader.Win32.Genome.cjwq ( DrWEB: Trojan.DownLoader3.36983, BitDefender: Trojan.Generic.KDV.260229, AVAST4: Win32:Dropper-gen [Drp] )
4. c:\\documents and settings\\dimon\\application data\\8d.tmp - Net-Worm.Win32.Kolab.aomv ( DrWEB: Trojan.Packed.21854, BitDefender: Trojan.Generic.6610518 )
5. c:\\documents and settings\\dimon\\dwvcwj.exe - Trojan.Win32.Midgare.ayvj ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.KDV.315446, AVAST4: Win32:Kolab-JO [Trj] )
6. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - Backdoor.Win32.IRCBot.umc ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.6476804, AVAST4: Win32:Kolab-JO [Trj] )
7. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-0113\\kswor122y.exe - Trojan.Win32.Midgare.aywg ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
8. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-0122\\k344m122y.exe - Trojan.Win32.Midgare.ayvy ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
9. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-0172\\kmixm122y.exe - Trojan.Win32.Midgare.ayvt ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
10. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-0953\\klmqm122y.exe - Trojan.Win32.Midgare.aywf ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
11. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1457\\system.exe - HEUR:Hoax.Win32.SMWnd.a ( DrWEB: BackDoor.Siggen.637, BitDefender: Gen:Variant.Kazy.27929, AVAST4: Win32:FakeAV-CJB [Trj] )
12. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - Backdoor.Win32.Ruskill.apz ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
13. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1858\\kswor18y.exe - Trojan.Win32.Midgare.ayvu ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
14. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-6883\\dfe.exe - Trojan.Win32.Midgare.ayli ( DrWEB: Trojan.Packed.21784, BitDefender: Trojan.Generic.KD.278218, AVAST4: Win32:Malware-gen )
15. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-9813\\kswor98y.exe - Trojan.Win32.Midgare.aywh ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
16. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-9850\\kswor50y.exe - Backdoor.Win32.Ruskill.apz ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
17. c:\\recycler\\s-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe - Trojan.Win32.Midgare.ayxh ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.317558, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Kolab-JO [Trj] )
18. c:\\recycler\\s-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe - Backdoor.Win32.Floder.bmo ( DrWEB: Trojan.Packed.21852, BitDefender: Trojan.Generic.KDV.304762, AVAST4: Win32:Kolab-JO [Trj] )
19. c:\\windows\\aadrive32.exe - Trojan.Win32.Inject.bhxj ( DrWEB: BackDoor.Siggen.33929, BitDefender: Trojan.Generic.KD.316723, AVAST4: Win32:Downloader-JNP [Trj] )
20. c:\\windows\\jodrive32.exe - Net-Worm.Win32.Kolab.aomv ( DrWEB: Trojan.Packed.21854, BitDefender: Trojan.Generic.6610518 )
21. c:\\windows\\system32\\ac32.exe - HEUR:Hoax.Win32.SMWnd.a ( DrWEB: Trojan.Click.64512, BitDefender: Trojan.Generic.6226675, AVAST4: Win32:FakeAV-CJB [Trj] )
22. c:\\windows\\system32\\24.exe - Backdoor.Win32.IRCBot.umc ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.6476804, AVAST4: Win32:Kolab-JO [Trj] )
23. c:\\windows\\system32\\25.exe - Trojan.Win32.Midgare.aysx ( DrWEB: Trojan.Packed.21852, BitDefender: Trojan.Generic.KDV.306971, AVAST4: Win32:Malware-gen )
24. c:\\windows\\system32\\34.exe - Backdoor.Win32.IRCBot.umc ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.6476804, AVAST4: Win32:Kolab-JO [Trj] )
25. c:\\windows\\system32\\77.exe - Backdoor.Win32.IRCBot.umc ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.6476804, AVAST4: Win32:Kolab-JO [Trj] )
26. c:\\windows\\system32\\81.exe - Backdoor.Win32.IRCBot.umc ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.6476804, AVAST4: Win32:Kolab-JO [Trj] )

svchost.exe (заявка № 107364)

Опции темы

svchost.exe

Итог лечения

Похожие темы

Trojan-PSW.Win32.Agent.mzh в svchost.exe/svchost.exe

Модуль svchost.exe\svchost.exe, обнаружено: троянская программа 'Trojan-PSW.Win32.Agent.mzh'

svchost.exe

Троянская программа Trojan.Win32.Agent.goa Модуль: svchost.exe\svchost.exe

Help! Маскировка процесса "svchost.exe" \HarddiskVolume1\~\svchost.exe

Ваши права в разделе