System постоянно 100%

[МегаМАКС]

доброго времени суток!

компьютер тупит - процесс system потребляет все доступные ресурсы, особенно при попытке зайти в сетевые папки, открыть MSOutlook

ранее, примерно неделю назад, был прибит руткит, создававший в памяти процесс с именем типа Ysi36.sys.

также были обнаружены и прибиты dBenderC.dll simbad.sys и sparrow.sys.

кроме того, пандовский антируткит ругнулся на ntuser.dat и пофиксил его.

логи прилагаю

заранее спасибо за помощь.

[Bratez]

Отключите восстановление системы!
Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\soemu.sys','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=20932).

[МегаМАКС]

карантин отправил, но этот файл я вчера проверял, вроде чистый

[Гриша]

Подождем ответа аналитиков.

[Bratez]

Да, чистый. Больше ничего плохого не видать.

А этих за что - simbad.sys и sparrow.sys?

Добавлено через 3 минуты

Еще вот это озадачивает:

пандовский антируткит ругнулся на ntuser.dat и пофиксил его

Это же пользовательский куст реестра, как это он его "пофиксил"?
Полный путь этого ntuser.dat не помните?

[МегаМАКС]

Да, чистый. Больше ничего плохого не видать.

А этих за что - simbad.sys и sparrow.sys?

Добавлено через 3 минуты

Еще вот это озадачивает:

Это же пользовательский куст реестра, как это он его "пофиксил"?
Полный путь этого ntuser.dat не помните?

simbad.sys и sparrow.sys удалил из списка служб, на всякий случай... они все равно не запущены были... http://www.google.com/search?ie=UTF-...u&q=simbad.sys

насчет ntuser.dat. Пандоруткитолов написал, что данный файл является руткитом и его необходимо валить, я поставил галку, отправил комп на перезагрузку, больше ничего не нашлось...

путь был типа C:\Documents and Settings\Пользователь\ntuser.dat

во, еще логи Комбофикса нашел, во вложении:

[Bratez]

компьютер тупит - процесс system потребляет все доступные ресурсы

Есть вероятность, что ситуация связана с багом установленного у вас DrWeb ES. По непроверенным данным это исправлено в последнем обновлении. Попробуйте обновиться прямо сейчас.
(Numb - спасибо за инф.)

Добавлено через 2 минуты

C:\Documents and Settings\Пользователь\ntuser.dat - это именно пользовательский куст. Видимо, система не позволила его прибить, т.к. иначе ваш профиль бы не загрузился.

[МегаМАКС]

из 10 компов только у одного такая беда

DrWEB лицензионный, обновляется регулярно, попробую накатить обновления, по результатам отпишусь.

Добавлено через 34 минуты

полностью обновил DrWEB, тестирую. вроде загрузка упала до естественных значений, погоняю полдня и отпишусь.

оффтоп. вообще, я читал про схожие проблемы из-за DrWeb. но думал, что их пофиксили давно...

хотя есть предположение, что данная станция по какой-то причине не обновилась вместе с остальными.

ЗЫ Спасибо за помощь!

Добавлено через 5 часов 28 минут

компьютер проработал до вечера без нареканий, проблему можно считать решенной, еще раз спасибо за помощь!

ЗЫ я уж было начал сомневаться в своих силах, думал, что что-то проглядел

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\soemu.sys - Rootkit.Win32.Agent.fyr