закрытие процессов, cssrss.exe

[RWC]

Здравствуйте, прошу помочь. Выскочило окно с ошибкой cssrss.exe
После перезагрузки, начали закрываться все процессы, все программы с автозагрузки запускались и сразу же закрывались,даже сканер Dr.Web, сделал восстановление системы, вроде теперь все нормально, но вирус, скорее всего еще остался, прошу помочь.
Заранее спасибо.

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\XPVCOM.sys','');
 QuarantineFile('C:\Program Files\CursorXP\CursorXP.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\csdlocalmon.dll','');
 QuarantineFile('C:\WINDOWS\system32\nso12k.sys','');
 QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
 DeleteFile('C:\WINDOWS\system32\cssrss.exe');
 DeleteFile('C:\WINDOWS\system32\nso12k.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

[RWC]

 
QuarantineFile('C:\Program Files\CursorXP\CursorXP.exe'

в этой программе я уверен, меняет стандартный курсор.


Все сделал.Карантин прислал.Логи ниже.

[V_Bond]

в логах ничего плохого ...

[RWC]

понятно, спасибо.

[PavelA]

cssrss.exe_ - Trojan-Downloader.Win32.Agent.ajjj

свежие:
nso12k.sys - Trojan-Downloader.Win32.Agent.dbt,
ntos.exe_ - Trojan-Spy.Win32.Zbot.fiq

Все удалено, но пароли надо менять.

[RWC]

cssrss.exe_ - Trojan-Downloader.Win32.Agent.ajjj

свежие:
nso12k.sys - Trojan-Downloader.Win32.Agent.dbt,
ntos.exe_ - Trojan-Spy.Win32.Zbot.fiq

Все удалено, но пароли надо менять.

По-моему удалено не все...

Постоянно чета отправляется(исходящий трафик) хотя никакие программы не запушены.
Еще заметил вот какую проблему.
В диспетчере задач, во вкладке процессы, почему-то пропали надписи в столбце "Имя пользователя", притом у всех процессов ваще, все пусто.
только один процесс с Именем "бездействие системы"-SYSTEM и все... думаю тут что то не ладно.
Еще после загрузки винды, вечно выскакивает напоминание о неиспользованных ярлыках на раб. столе, притом что всегда одни и те же ярлыки показаны, даже ярлык мой компьютер предлагается удалить, хотя это самый частый наверно ярлык который я использую с рабочего стола.

повторить логи?

[Гриша]

Повторите...

[RWC]

повторил логи, avz ругался вроде только на RootKit

 
wuauclt.exe
msauc.exe
csrss.exe

вот эти процессы думаю под подозрением.

wuauclt.exe-этот процесс виден в диспечере задачь только при свеже запушенной винде, потом он исчезает из диспечера задач.

msauc.exe- у этого процесса частенько ошибка ( при активности в сети), и он закрываеться автоматически


csrss.exe-насчет этого я незнаю. вы упоминали похожий процесс.

[V_Bond]

wuauclt.exe - отвечает за обновление системы , пока не будете реглярно обновляться , то каждый
новый день новые тараканы....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('msansspc.dll','');
 QuarantineFile('C:\WINDOWS\system32\twext.exe','');
 QuarantineFile('C:\WINDOWS\msauc.exe','');
 DeleteFile('C:\WINDOWS\msauc.exe');
 DeleteFile('C:\WINDOWS\system32\twext.exe');
 DeleteFile('msansspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[RWC]

В диспетчере задач, во вкладке процессы, почему-то пропали надписи в столбце "Имя пользователя", притом у всех процессов ваще, все пусто.

ура, теперь пишет какой процесс от какого имени запушен.


avz писал !!! Внимание !!! Восстановлено 7 функций KiST в ходе работы антируткита

Карантин прислал.Логи ниже.

Исходяший трафик всеравно гонится =( (исходяший монитор у часов на панели моргает, с интервал гдето 1-2 сек)

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\ZADZBKAI.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\snrnqwst.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\snrnqwst.sys');
 DeleteFile('C:\WINDOWS\ZADZBKAI.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[RWC]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\ZADZBKAI.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\snrnqwst.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\snrnqwst.sys');
 DeleteFile('C:\WINDOWS\ZADZBKAI.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

Выполнил, вроде щяс все тихо, исходяший трафик не утекает.
Большое Спасибо.

карантин прислал.логи ниже.

[V_Bond]

пока чисто

[RWC]

пока чисто

ага, спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 25
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\msauc.exe - Trojan.Win32.Agent.agwp (DrWEB: Trojan.PWS.ICQSniff.25)
  2. c:\\windows\\system32\\cssrss.exe - Trojan-Downloader.Win32.Agent.ajjj (DrWEB: BackDoor.Nunaks)
  3. c:\\windows\\system32\\drivers\\snrnqwst.sys - Trojan.Win32.Delf.fhh (DrWEB: Trojan.Sentinel.based)
  4. c:\\windows\\system32\\nso12k.sys - Trojan-Downloader.Win32.Agent.dbt (DrWEB: Trojan.NtRootKit.779)
  5. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.fiq (DrWEB: Trojan.PWS.Panda.17)
  6. c:\\windows\\system32\\twext.exe - Trojan-Spy.Win32.Zbot.fjz (DrWEB: Trojan.PWS.Panda.2