svchost.exe-ошибка приложения

[ig473]

Добрый день.
У меня была проблема, как в одной из тем ниже: выскакивала ошибка "svchost.exe-ошибка приложения" и дата переводилась на 2070 год.
В безопасном режиме, утилитой CureIt выполнил полную проверку всех дисков. Кроме инфицированных файлов,
утилита обнаружила три программы (CMDOW.EXE, RESTART.EXE, SHTDOWN.EXE), которые CyreIt назвала программами для взлома. Я их удалил.
Сейчас дата и время не "прыгают", но иногда выскакивает сообщение с ошибкой "svchost.exe-ошибка приложения" и система виснет, спасает только перезагрузка.
Проверьте, пожалуйста, логи. Может быть в системе осталась какая-то гадость и что это за "программы для взлома" CMDOW.EXE, RESTART.EXE, SHTDOWN.EXE?
Спасибо.
ПС Не знаю влияет как-то на результаты, но лос смог собрать только с выкл. интернетом.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\system.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6576814997-4356842026-065705759-8878\mwau.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-6576814997-4356842026-065705759-8878\mwau.exe');
 DeleteFile('C:\WINDOWS\system32\system.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);    
RebootWindows(true);
end.

Пришлите карантин по правилам, сделайте полную проверку AVPTool и повторите логи...

[ig473]

Карантин отправил (сохранен как 090307_173221_virus_49b285753b20b.zip)
Во время работы в сети ошибка по прежнему выскакивает.
Новые логи:

[Rene-gad]

-Пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe

Больше ничего подозрительного не видно.

[ig473]

Спасибо за помощь.
Радует, что нет подозрительного, вот только ошибка "svchost.exe-ошибка приложения" периодически выскакивает. И если раньше в окошке ошибки было написано "память не может быть read", то сейчас появляется "память не может быть written". Если в окошке с ошибкой нажать "Отмена" система работает нормально, а если "ОК" - то система виснет, помогает только перезагрузка. Может это проблемы с железом или все-таки, что-то осталось?

ПС Есть подозрение, что вирус попал с флешек. Автозапуск флешек с помощью скрипта в AVZ выключил. Безопасно ли теперь вставить флешку и почистить её?

[V_Bond]

svchost.exe-ошибка приложения" периодически выскакивает. И если раньше в окошке ошибки было написано "память не может быть read", то сейчас появляется "память не может быть written".

обновления после сп3 устанавливайте ...

[ig473]

Проблемы продолжаются. Такое ощущение, что вирус взял паузу на выходные.
Снова дата сбилась на 2070г. После проверки CureIt, AVPTool и Avast дата не слетает,
но выскакивает ошибка system.exe:
Инструкция по адресу "0x00405f14" обратилась к памяти по адресу "0x0000000c".
Память не может быть "read".
После этой ошибки в папке Temp появляются файлы с именем разные_цифры.sys, которые
антивирусы называют Win32:RootKit-gen, я их успешно удаляю, но вот добраться к ихней "маме" не получается.
Высылаю логи. Посмотрите.
Спасибо.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\system.exe');
 DeleteFile('c:\windows\system32\system.exe');
 DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[ig473]

Скрипт выполнил, логи прикрепил.
Начались новые проблемы. Перед тем, как откл. антивирус для выполнения скрипта, Avast обнаружил System32 вирус. После всех процедур теперь не могу зайти на сайты антивирусов, майкрософта и т.п.
Видать глубоко засела ...

[ig473]

Утилитой kidokiller нашел еще один вирус. Проверил CureIt, поставил обновления.
Посмотрите, пожалуйста, последние логи.
Правда сетевой экран Аваста отразил две атаки:
DCOM Exploit c 89.114.47.51:135
LSASS Exploit(SXP) c 89.160.52.149:445
Не знаю, на сколько это страшно (уже после каждого клика в интернете передергивает).
Спасибо.

[V_Bond]

ничего плохого ...

[ig473]

Спасибо.
А вот сообщения об атаках, которые продолжаются (адрес правда меняется) - это реальные угрозы? Если конечно по информации, которая у меня можно сказать, что-то конкретное.

DCOM Exploit c 89.114.47.51:135
LSASS Exploit(SXP) c 89.160.52.149:445

[V_Bond]

фаерволл установите ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 54
• В ходе лечения вредоносные программы в карантинах не обнаружены