Зависает комп и после этого подозрительно большой размер SOUNDMAN.EXE.

[avk06]

Вечер добрый.
Знакомые попросили посмотреть комп, говорят стал сильно тормозить.
Ну прошелся я CureIt, поубивал зловредов. Но осталась такая проблема. После загрузки системы, когда уже все иконки в системном трее загрузятся, секунд через 20 запускаются процессы svchost и winlogon и на пару грузят минут 5-7 проц на все 100%. После этого загрузка падает до нормального уровня и можно работать. Полез в раздел «Администрирование-Просмотр событий-Система», там есть ошибки с DCOM и COM+, можно конечно копать в эту сторону, что из-за этих ошибок комп тормозит. Но смущает что процесс soundman.exe из начальных 4-6 МБ в итоге этих зависаний разрастается до 50-60 МБ. Как то многовато для обычного реалтековского менеджера звука. Хотя располагается файл где положено- C:\Windows\SOUNDMAN.EXE.
Посмотрите плиз что в логах.
Спасибо.

Александр

[Info_bot]

Уважаемый(ая) avk06, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Bratez]

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk

Выполните скрипт в AVZ:

procedure WhatService(AServiceName : string);
var
dllname, servicekey : string;
begin
AddToLog('=== '+AServiceName+' ===');
servicekey := 'SYSTEM\CurrentControlSet\Services\'+AServiceName;
RegKeyResetSecurity( 'HKLM', servicekey);
RegKeyResetSecurity( 'HKLM', servicekey+'\Parameters');
AddToLog('Description: '+RegKeyStrParamRead( 'HKLM', servicekey, 'Description'));
AddToLog('DisplayName: '+RegKeyStrParamRead( 'HKLM', servicekey, 'DisplayName'));
AddToLog('ImagePath: '+RegKeyStrParamRead( 'HKLM', servicekey, 'ImagePath'));
dllname := RegKeyStrParamRead( 'HKLM', servicekey+'\Parameters', 'ServiceDll');
AddToLog('ServiceDll: '+dllname);
QuarantineFile(dllname,'');
end;
begin
SetAVZGuardStatus(True);
WhatService('srv1EEC');
 QuarantineFile('C:\DOCUME~1\Zaic\LOCALS~1\Temp\Op6.exe','');
 QuarantineFile('mfwyyuqm.dll','');
 QuarantineFile('C:\Program Files\Common Files\msado320.tlb','');
 QuarantineFile('C:\WINDOWS\system32\drivers\svflooje.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\svflooje.exe');
 DeleteFile('C:\Program Files\Common Files\msado320.tlb');
 DeleteFile('mfwyyuqm.dll');
 DeleteFile('C:\DOCUME~1\Zaic\LOCALS~1\Temp\Op6.exe');
DeleteFile('C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\lanmanserver\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\srvsvc.dll');
SaveLog(GetAVZDirectory+'srv1EEC.log');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=107336).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Приложите также файл srv1EEC.log из папки с AVZ.

[avk06]

Рекомендации выполнил.
Но папка avz4\Quarantine пуста, поэтому могу разве что прислать архив virusinfo_cure.zip, который остался от первого сканирования системы.

[thyrex]

Сделайте лог gmer

Сделайте лог полного сканирования МВАМ

[avk06]

Благодаря выполненному скрипту и помощи знающих товарищей(по поводу ошибок DCOM и COM+ ) проблема с зависанием компа решена. Комп функционирует нормально, поэтому, полагаю, необходимости в сканировании с помощью gmer и MBAM нет. Вот только в разделе «Администрирование-Просмотр событий-Система» выдает ошибку, связанную с невозможностью вызова процедуры srv1EEC. Эта процедура осталась от выполненного скрипта. Как бы подчистить её хвосты? На работу компа это вроде не влияет, но все же.....
Еще раз спасибо за оказанную помощь!!!

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\32craorwin.dat','');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\32craorwin.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvcReg('srv1EEC');
BC_Activate;
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\SENS\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\system32\sens.dll');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новый лог virusinfo_syscheck (только п.2 раздела Диагностика).

[avk06]

Скрипт выполнил.
Но карантин вновь приложить не могу. Непонятно что происходит. Я запускаю avz на компе, который лечится, с флешки. После выполения скрипта зашел в папку Quarantine, там была подпапка с двумя файлами, расширения dat и ini. Безопасно извлек флешку, пришел воткнул её в свой комп чтобы отписаться и .....папка Quarantine уже пуста. Это баг программы или у меня какой косяк?

[миднайт]

В AVZ выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('winss.exe','');
 QuarantineFile('\\?\globalroot\Device\HarddiskVolume1\WINDOWS\Temp\srv1EEC.tmp','');
 QuarantineFile('C:\WINDOWS\Temp\srv1EEC.tmp','');
 QuarantineFile('C:\WINDOWS\jusched.exe','');
 DeleteFile('C:\WINDOWS\jusched.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Java developer Script Browse');
 DeleteFile('\\?\globalroot\Device\HarddiskVolume1\WINDOWS\Temp\srv1EEC.tmp');
 DeleteFile('C:\WINDOWS\Temp\srv1EEC.tmp');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\srv1EEC\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
Логи повторите.

[avk06]

Скрипты выполнил. Карантин прилагаю, но он пустой.
Логи повторяю.

[avk06]

При попытке загрузки карантина quarantine.zip выдало ошибку "Ошибка загрузки. Данный файл уже был загружен".

[миднайт]

В HiJackThis пофиксите:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://domredi.com/1/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru

Что с проблемами?

[avk06]

Проблем никаких не наблюдается. Спасибо.