Система тормозит

[ivan]

Столкнулся с такой проблемой. Неделю, две назад проверялся на вирусы с помощью касперского - нашел кое-какое добро и плюс вирус Trojan.Downloader.6177 в winlogon.exe. Файл этот я заменил на чистый.
Со вчерашнего дня система начала тормозить, особенно при работе в с папками и файлами. Проверка на вирусы NOD32 ничего не дала, однако virustotal.com засек в винлогоне опять туже заразу. Кроме того, вчера диспетчер процессов в AVZ засек замаскированный процесс. Сегодня утром в безопасном режиме с откл. сетью проверил ПК AVZ и NODом - ничего. В общем высылаю логи.

[Geser]

Логи сделаны в обычном режиме или в безопасном?

[ivan]

Режим обычный, при чем винлогон не вылечен.

[Geser]

C:\WINDOWS\system32\RAinit.dll
C:\WINDOWS\System32\rtcres.dll
C:\WINDOWS\System32\spool\PRTPROCS\W32X86\RAproc.d ll
System32\drivers\A4SII300.SYS
System32\Drivers\kpem.SYS
System32\DRIVERS\ramirr.sys
C:\WINDOWS\Installer\{199B7F78-69B7-47C5-8D4B-A3ED1391FB6B}\NewShortcut1_8C7A59A89ABE459A9A9308C 281A4A264.exe

Перечисленные файлы нужно прислать на проверку. А система может тормозить потому что остались хвосты от Нортона

[ivan]

Файлы пришлю. а что касается нортона, то ПК стоит на работе, в сети, ну соответственно всем поставили симантек. А ввиду его очевидной бесполезности, я просто его отрубил до лучших времен и поставил нод. Торможение началось еще при нортоне.

[Geser]

Жаль что не сохранились логи когда АВЗ обнаружил замаскированный процесс.

[AndreyKa]

Желательно выложить протокол сканирования AVZ.
---
5. Выполните сканирование системы при помощи AVZ, для этого нажмите на кнопку Пуск сразу после запуска программы.
---
Подозрение вызывает строка в логе Hijackthis
O20 - Winlogon Notify: crypt32chain- - C:\WINDOWS\

http://www.processlibrary.com/direct.../crypt32chain/

Сможете содержимое ключа HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
экспортировать в файл и выложить?

[ivan]

ОК. Протокол будет как только АВЗ завершит сканирование. Что касается вчерашнего лога с замаскированным процессом - сам сейчас кусаю локти, просто не было времени вчера вплотную этим заниматься. crypt32chain - его прибивать или пока подождать результаты обследования файлов??

[ivan]

Забыл вставить ветвь реестра.

[MOCT]

Remotely Anywhere сами ставили?

[ivan]

Вот результат сканирования. Нет, но пк достался в наследство, поэтому может предыдущий хозяин, либо админы.

[MOCT]

Вот результат сканирования. Нет, но пк достался в наследство, поэтому может предыдущий хозяин, либо админы.

ну так выясните! RA позволяет удаленно управлять компьютером.

[ivan]

Уже выяснил - админы тут непричем...

[MOCT]

Уже выяснил - админы тут непричем...

ну так сносите его, раз сами не пользуетесь.

пофиксите в HijackThis строки:
O21 - SSODL: SysTray.Excn - {1722ECFF-4356-4f5b-B534-E67294FE75E9} - (no file)
O23 - Service: Service - Unknown owner - C:\WINDOWS\System32\Service.exe (file missing)

да еще у Вас Симантек и Нод на одной машине живут. Симантек лучше выкинуть.

после перезагружайтесь и проверяйте свои ощущения :-)

лог AVZ можно повторить, только выгрузите из памяти всякие там ворды, эксели, куипы (собственно как и сказано в ПРАВИЛАХ), а то в глазах рябит

[AndreyKa]

Строку
O20 - Winlogon Notify: crypt32chain- - C:\WINDOWS\
в Hijackthis можно пофиксить - это мусор оставшийся после зачистки.

[ivan]

RA - там где он должен быть согласно отключенному процессу в msconfig не обнаружен, видать снесли его и осталась от него одна дллка. С симантеком сложнее - стоит пароль на удаление, узнать его не получится. Я все его процессы отключил, но почему то висит в списке авз длл нортоновская, ее можно как нибудь отключить? После перезагрузки - та же песня, тормоза жуткие, минут на 2-3 - все просто замирает. При запуске проводника или панели управления, все также замирает на какое то время. При чем это началось до установки НОДа. Так что 2 антивируса вместе не при чем. Вот лог без мусора, и после фикса хайджеком.

[ivan]

Вот лог, забыл прилепить

[MOCT]

RA - там где он должен быть согласно отключенному процессу в msconfig не обнаружен, видать снесли его и осталась от него одна дллка.

там была не одна DLL от RA, а три файла (среди присланных):
C:\WINDOWS\system32\RAinit.dll
C:\WINDOWS\System32\spool\PRTPROCS\W32X86\RAproc.d ll
C:\WINDOWS\System32\DRIVERS\ramirr.sys

еще у Вас есть руткитоподобное C:\WINDOWS\System32\Drivers\kpem.SYS
возможно его выгрузка поможет.

и еще пришлите файл mksicon.dll (искать нужно из AVZ)

[ivan]

mksicon.dll находится в списке авз среди расширений проводника, однако при добавлении его в карантин он там не появляется. Поиск этого файла через авз или через штатный поиск ничего не дает. kpem.sys я проверял на вирустотале - результат опять нулевой ничего в нем не обнаружено. Сейчас попробую его переименовать и проверить что будет.

[Geser]

mksicon.dll находится в списке авз среди расширений проводника, однако при добавлении его в карантин он там не появляется.

А если поискать в защищённом режиме?