SVCHOST.EXE грузит систему!

[ea-com]

Появился процесс SVCHOST.EXE (запущен из под пользователя!). Загружает систему именно он на 95-98%. "Убийство" процесса временно помогает. Прогнал AvPTool - нашёлся вирь, был удалён; через пару дней снова появился аналогичный процесс с теми же симптомами. Прошу помочь разобраться.

[AndreyKa]

Не видно ничего подозрительного.

Обновления безопасности на Windows устанавливайте. Лучше начать с Service Pack 3 (может потребоваться активация).
Установите Adobe Acrobat Reader 9.1 или удалите старый.
Обновите Java.

[ea-com]

после вышеперечисленных манипуляция проблема не исчезла. Вот что выдаёт PExplorer по этому процессу:

Process: SVCHOST.EXE Pid: 192

Type Name
Desktop \Default
Directory \KnownDlls
Directory \Windows
Directory \BaseNamedObjects
Event \BaseNamedObjects\crypt32LogoffEvent
File C:\Documents and Settings\tolstoluzkaya.MOSCOW-BANK
File C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83
File \Device\KsecDD
File \Device\Ip
File \Device\Tcp
File \Device\Ip
File \Device\Tcp
File \Device\Afd
Key HKLM
Key HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
Key HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32
Key HKLM\SYSTEM\ControlSet001\Services\Tcpip\Linkage
Key HKLM\SYSTEM\ControlSet001\Services\Tcpip\Parameter s
Key HKLM\SYSTEM\ControlSet001\Services\NetBT\Parameter s\Interfaces
Key HKLM\SYSTEM\ControlSet001\Services\NetBT\Parameter s
Key HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parame ters\Protocol_Catalog9
Key HKLM\SYSTEM\ControlSet001\Services\WinSock2\Parame ters\NameSpace_Catalog5
Key HKCU
Key HKU
KeyedEvent \KernelObjects\CritSecOutOfMemoryEvent
Mutant \BaseNamedObjects\SHIMLIB_LOG_MUTEX
Mutant \BaseNamedObjects\mutex_io
Semaphore \BaseNamedObjects\shell.{A48F1A32-A340-11D1-BC6B-00A0C90312E1}
Semaphore \BaseNamedObjects\shell.{210A4BA0-3AEA-1069-A2D9-08002B30309D}
Thread SVCHOST.EXE(192): 220
Thread SVCHOST.EXE(192): 220
Thread SVCHOST.EXE(192): 240
Thread SVCHOST.EXE(192): 240
Thread SVCHOST.EXE(192): 244
Thread SVCHOST.EXE(192): 244
Thread SVCHOST.EXE(192): 240
WindowStation \Windows\WindowStations\WinSta0
WindowStation \Windows\WindowStations\WinSta0

Есть ли что либо подозрительное?

[AndreyKa]

Прогнал AvPTool - нашёлся вирь, был удалён;

В каком файле? Как AVPTool его детектировал?
Скачайте файл http://narod.ru/disk/9487011000/avz-poly.exe.html (это более свежая версия AVZ, но в ней не обновляются базы). Сохраните его в отдельную папку и выполните 2-й стандартный скрипт.
Файл с результатами (virusinfo_syscheck.zip) приложите к теме.

[ea-com]

Нашлись следующие вредоносы:
удалено: троянская программа Trojan-Clicker.JS.Agent.fk
Файл: C:\Documents and Settings\chekalova\Local Settings\Temporary Internet Files\Content.IE5\W1KDQ3GX\erle[4]

удалено: троянская программа Trojan.Win32.Agent2.kvp
Файл: C:\Documents and Settings\chekalova.MOSCOW-BANK\Главное меню\Программы\Автозагрузка\rncsys32.exe

Лог AVZ после сканирования AVTools приложен к теме.

[AndreyKa]

лог не наблюдаю.

[ea-com]

воспользовался верхней ссылкой. вот лог.

[AndreyKa]

AVZ был запущен пользователем без прав Администратора.

[ea-com]

ПОд АдМИном (доменным)

[AndreyKa]

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
ExecuteRepair(1); 
SetAVZPMStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

[ea-com]

Лог после отключения автозапуска...
вопрос: необходимо ли выгружать (откл. защиту) антивирус (стоит Nod 4) перед запуском AZV?

[AndreyKa]

В логе ничего подозрительного.

[ea-com]

Будьте добры, проверьте вот этот лог (проверка из под доменного пользователя с правами локального администратора, у кого первоначально и обнаружилась проблема)

[AndreyKa]

Зайдите на http://windowsupdate.microsoft.com/ и обновите Windows Update.
Есть шанс, что поможет.

[ea-com]

Собственно, проблема пропала после ручного удаления из автозапуска rncsys32.exe.
Пока активности svchost.exe из-под юзера не наблюдается. Спасибо за уделённое внимание.