ghdriver32.exe

[igoryantheslayer]

ghdriver32.exe, winlogin.exe, dn.exe и другие процессы с именами цифр перегружают систему и интернет, в результате чего после 1-2 минут работы в интернете вылетает ошибка "Generic Host Process for Win32 Services", либо без этой ошибки интернет просто замедляется до нулевой скорости и не переподключается.
сканировал dr.web cureIT + Virus Removal Tool(от касперский)+ symantec
они находили вирусы и удаляли их, но после перезагрузки они появлялись вновь.
надоело отслеживать и завершать эти процессы, помогите пожалуйста)
ещё в диске С после перезагрузки постоянно "возрождаются" удаленные файлы m.exe и fxddx.exe
Вложение 309883

Вложение 309884

Вложение 309885

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\m.exe','');
 QuarantineFile('C:\WINDOWS\dn.exe','');
 QuarantineFile('C:\WINDOWS\system32\82.exe','');
 QuarantineFile('C:\WINDOWS\system32\74.exe','');
 QuarantineFile('C:\WINDOWS\system32\68.exe','');
 QuarantineFile('C:\WINDOWS\system32\58.exe','');
 QuarantineFile('C:\WINDOWS\system32\57.scr','');
 QuarantineFile('C:\WINDOWS\system32\55.exe','');
 QuarantineFile('C:\WINDOWS\system32\50.scr','');
 QuarantineFile('C:\WINDOWS\system32\50.exe','');
 QuarantineFile('C:\WINDOWS\system32\47.exe','');
 QuarantineFile('C:\WINDOWS\system32\41.exe','');
 QuarantineFile('C:\WINDOWS\system32\38.exe','');
 QuarantineFile('C:\WINDOWS\system32\36.exe','');
 QuarantineFile('C:\WINDOWS\system32\21.exe','');
 QuarantineFile('C:\WINDOWS\system32\18.exe','');
 QuarantineFile('C:\WINDOWS\system32\14.exe','');
 QuarantineFile('C:\WINDOWS\system32\12.exe','');
 QuarantineFile('C:\WINDOWS\system32\11.exe','');
 QuarantineFile('C:\WINDOWS\system32\10.exe','');
 QuarantineFile('C:\WINDOWS\system32\05.exe','');
 QuarantineFile('C:\WINDOWS\system32\03.exe','');
 QuarantineFile('C:\WINDOWS\system32\02.exe','');
 QuarantineFile('C:\WINDOWS\winlogin.exe','');
 QuarantineFile('C:\WINDOWS\system32\dn.exe','');
 QuarantineFile('C:\WINDOWS\ghdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Spwkwc.exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\Spwkwc.exe','');
 DeleteFile('C:\Documents and Settings\NetworkService\Application Data\Spwkwc.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Spwkwc');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Spwkwc');
 DeleteFile('C:\Documents and Settings\User\Application Data\Spwkwc.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Spwkwc');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
 DeleteFile('C:\WINDOWS\ghdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\dn.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Data Serivce');
 DeleteFile('C:\WINDOWS\winlogin.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Windows');
 DeleteFile('C:\WINDOWS\system32\02.exe');
 DeleteFile('C:\WINDOWS\system32\03.exe');
 DeleteFile('C:\WINDOWS\system32\05.exe');
 DeleteFile('C:\WINDOWS\system32\10.exe');
 DeleteFile('C:\WINDOWS\system32\11.exe');
 DeleteFile('C:\WINDOWS\system32\12.exe');
 DeleteFile('C:\WINDOWS\system32\14.exe');
 DeleteFile('C:\WINDOWS\system32\18.exe');
 DeleteFile('C:\WINDOWS\system32\21.exe');
 DeleteFile('C:\WINDOWS\system32\36.exe');
 DeleteFile('C:\WINDOWS\system32\38.exe');
 DeleteFile('C:\WINDOWS\system32\41.exe');
 DeleteFile('C:\WINDOWS\system32\47.exe');
 DeleteFile('C:\WINDOWS\system32\50.exe');
 DeleteFile('C:\WINDOWS\system32\50.scr');
 DeleteFile('C:\WINDOWS\system32\55.exe');
 DeleteFile('C:\WINDOWS\system32\57.scr');
 DeleteFile('C:\WINDOWS\system32\58.exe');
 DeleteFile('C:\WINDOWS\system32\68.exe');
 DeleteFile('C:\WINDOWS\system32\74.exe');
 DeleteFile('C:\WINDOWS\system32\82.exe');
 DeleteFile('C:\WINDOWS\dn.exe');
 DeleteFile('C:\m.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[igoryantheslayer]

карантин прислал, вот новые логи
Вложение 309900

Вложение 309901

Вложение 309902

Вложение 309903

[Acidorum]

Здравствуйте!
Удалите в MBAM:

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowHelp (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowSearch (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

Заражённые папки:
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413 (Worm.AutoRun) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.

Заражённые файлы:
c:\fxddx.exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\3XWMI4XE\dci[1].exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\3XWMI4XE\n[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\GJU7EMXJ\dci[1].exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\GJU7EMXJ\dl[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\GJU7EMXJ\dl[2].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\GJU7EMXJ\ms1[1].exe (Malware.Gen) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\GJU7EMXJ\new1[1].exe (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\HDT1IHXS\dci[1].exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\HDT1IHXS\dci[2].exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\HDT1IHXS\dl[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\YLD1V3MG\dci[1].exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\YLD1V3MG\dci[2].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\YLD1V3MG\dl[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\YLD1V3MG\dl[2].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\User\djd.exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\User\application data\10.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\11.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\12.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\2.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\27.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\29.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\3.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\4.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\5.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\6.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\7.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\8.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\9.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\A.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\B.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\C.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\D.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\E.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\application data\F.tmp (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\User\local settings\temporary internet files\Content.IE5\GJU7EMXJ\ms1[1].exe (Malware.Gen) -> No action taken.
c:\documents and settings\User\local settings\temporary internet files\Content.IE5\HDT1IHXS\n[1].exe (Trojan.Downloader) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe (Backdoor.Bot) -> No action taken.
c:\WINDOWS\tmp1.exe (Backdoor.Bot) -> No action taken.
c:\WINDOWS\tmp2.exe (Backdoor.Bot) -> No action taken.
c:\WINDOWS\tmp3.exe (Backdoor.Bot) -> No action taken.
c:\WINDOWS\tmp4.exe (Backdoor.Bot) -> No action taken.
c:\WINDOWS\tmp5.exe (Backdoor.Bot) -> No action taken.
c:\WINDOWS\system32\63.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\83.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\86.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
c:\WINDOWS\nigzss.txt (Malware.Trace) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\Desktop.ini (Worm.AutoRun) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.

Сделайте повторный лог MBAM.

[igoryantheslayer]

то есть удалить всё, кроме этих 2ух строк:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
?

[миднайт]

Да. И лог повторите.

[igoryantheslayer]

всё успешно удалено, вот лог
Вложение 309909
лечение окончено?

[миднайт]

Рекомендую повторите лог после перезагрузки. если ничего плохого не найдется, и ничего не беспокоит больше, то закончено.

[igoryantheslayer]

после удаления стали снова появляться ненужные процессы
их не было после выполнения скрипта
и на диске С опять появился fxddx.exe

Добавлено через 18 минут

теперь ещё и локальная сеть перестала работать

[thyrex]

Новый лог МВАМ делайте

Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Acrobat Reader 10 или удалите старый
Обновите JavaRE

[igoryantheslayer]

Проделал ещё раз все тоже самое(скрипт + MBAM), удалил файлы и сейчас все заработало. Спасибо огромное! Обновления сейчас тоже наверное сделаю.

Добавлено через 9 минут

Во второй раз просто не стал отключать главный антивирус

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 87
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\networkservice\\application data\\spwkwc.exe - P2P-Worm.Win32.Palevo.cphp ( DrWEB: Trojan.Inject.34179, BitDefender: Trojan.Generic.KDV.205505, NOD32: Win32/Dorkbot.A worm, AVAST4: Win32:Inject-AGC [Trj] )
  2. c:\\documents and settings\\user\\application data\\spwkwc.exe - P2P-Worm.Win32.Palevo.cpko ( DrWEB: Trojan.Inject.34179, BitDefender: Trojan.Generic.KDV.205306, NOD32: Win32/Dorkbot.A worm, AVAST4: Win32:Inject-AGC [Trj] )
  3. c:\\m.exe - Trojan.Win32.Powp.pcy ( DrWEB: BackDoor.IRC.Sdbot.6672, BitDefender: Trojan.Generic.KDV.206413, AVAST4: Win32:Ruskill-BO [Trj] )
  4. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - P2P-Worm.Win32.Palevo.cprn ( DrWEB: Trojan.DownLoader2.47649, BitDefender: Trojan.Generic.KDV.205305, AVAST4: Win32:Inject-AGC [Trj] )
  5. c:\\windows\\dn.exe - Trojan.Win32.Powp.pcy ( DrWEB: BackDoor.IRC.Sdbot.6672, BitDefender: Trojan.Generic.KDV.206413, AVAST4: Win32:Ruskill-BO [Trj] )
  6. c:\\windows\\ghdrive32.exe - Net-Worm.Win32.Kolab.aacc ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, NOD32: IRC/SdBot trojan, AVAST4: Win32:Inject-AGC [Trj] )
  7. c:\\windows\\system32\\dn.exe - Net-Worm.Win32.Kolab.zyk ( DrWEB: Trojan.Packed.21614, BitDefender: Trojan.Generic.KDV.204719, AVAST4: Win32:Inject-AFY [Trj] )
  8. c:\\windows\\system32\\02.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  9. c:\\windows\\system32\\03.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  10. c:\\windows\\system32\\05.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  11. c:\\windows\\system32\\10.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  12. c:\\windows\\system32\\11.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  13. c:\\windows\\system32\\12.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  14. c:\\windows\\system32\\14.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  15. c:\\windows\\system32\\18.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  16. c:\\windows\\system32\\21.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  17. c:\\windows\\system32\\36.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  18. c:\\windows\\system32\\38.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  19. c:\\windows\\system32\\41.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  20. c:\\windows\\system32\\47.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  21. c:\\windows\\system32\\50.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  22. c:\\windows\\system32\\50.scr - Backdoor.Win32.IRCBot.tfh ( DrWEB: BackDoor.IRC.Bot.743, BitDefender: Trojan.Generic.KDV.221041, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:VB-TGM [Trj] )
  23. c:\\windows\\system32\\55.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  24. c:\\windows\\system32\\57.scr - Backdoor.Win32.IRCBot.tfh ( DrWEB: BackDoor.IRC.Bot.743, BitDefender: Trojan.Generic.KDV.221041, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:VB-TGM [Trj] )
  25. c:\\windows\\system32\\58.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  26. c:\\windows\\system32\\68.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  27. c:\\windows\\system32\\74.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Palevo.16, AVAST4: Win32:Inject-AGC [Trj] )
  28. c:\\windows\\system32\\82.exe - Net-Worm.Win32.Kolab.aaay ( DrWEB: Trojan.Inject.34179, BitDefender: Trojan.Generic.KDV.205306, AVAST4: Win32:Inject-AGC [Trj] )
  29. c:\\windows\\winlogin.exe - Net-Worm.Win32.Kolab.zyk ( DrWEB: Trojan.Packed.21614, BitDefender: Trojan.Generic.KDV.204719, AVAST4: Win32:Inject-AFY [Trj] )