Комп тормозит. Gmer находит руткит.

[Горшков Александр]

Здравствуйте, уважаемые.
Комп тормозит. NOD не может загрузиться. Не переключается на английский алфавит. Gmer находит руткит.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-4745824143-9920138142-381254136-4053\mwau.exe','');
 QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\Rar$EX00.344\Christmas.exe','');
 QuarantineFile('c:\windows\system32\wmsrvc.exe','');
 DeleteFile('c:\windows\system32\wmsrvc.exe');
 DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\Rar$EX00.344\Christmas.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-4745824143-9920138142-381254136-4053\mwau.exe');
 ClearHostsFile;
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Горшков Александр]

Поведение компьютера не изменилось. Направляю карантин и повторные логи.

[DefesT]

Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\wmsrvc.exe');
 DeleteFile('c:\windows\system32\wmsrvc.exe');
 DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\Rar$EX00.344\Christmas.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-3372081707-8450678643-754833422-0307\mwau.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ChristmasTree');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(13);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится! Сделайте новые логи по правилам (virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log)

[Горшков Александр]

Ага, теперь Gmer видит руткит с другим именем. Направляю повторные логи.

[V_Bond]

лог Gmer приложите

[Горшков Александр]

Прилагаю.

[V_Bond]

сохраните содеожимое в блокноте как 1.bat в папле со gmer запустите ... повторите лог

ihksk994.exe -del Service xxkhpypdh 
ihksk994.exe -del file "C:\WINDOWS\system32\pmzomrz.dll"
ihksk994.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xxkhpypdh"
ihksk994.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xxkhpypdh"
ihksk994.exe -reboot

[Горшков Александр]

Скрипты выполнил. Проверил Dr.Web, затем AVPTool, куча всякой заразы повылазила, все зловреды удалил, поставил SP3. Осталась одна проблема, компьютер периодически сам перезагружается. Прилагаю логи, если в логах чисто, буду искать проблему в железе.

[AndreyKa]

Чисто.
Панель управления - Система - Дополнительно - вкладка Загрузка и Восстановление - снять галочку Выполнить автоматическую перезагрузку.
Выберите его. Если будет синий экран, запишите с него первые пару строк.

[Горшков Александр]

Всё отлично! Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\recycler\s-1-5-21-3372081707-8450678643-754833422-0307\mwau.exe - P2P-Worm.Win32.Palevo.vlj ( DrWEB: BackDoor.IRC.Bot.223, BitDefender: Backdoor.IRCBot.ACXS, NOD32: Win32/Peerfrag.DR worm, AVAST4: Win32:Crypt-FYU [Drp] )
  2. c:\recycler\s-1-5-21-4745824143-9920138142-381254136-4053\mwau.exe - P2P-Worm.Win32.Palevo.tgz ( DrWEB: Win32.HLLW.Lime.18, AVAST4: Win32:Crypt-FYU [Drp] )
  3. c:\windows\system32\wmsrvc.exe - P2P-Worm.Win32.Palevo.vlj ( DrWEB: BackDoor.IRC.Bot.223, BitDefender: Backdoor.IRCBot.ACXS, NOD32: Win32/AutoRun.IRCBot.DZ worm, AVAST4: Win32:Crypt-FYU [Drp] )