проблемы с Errorsafe и загрузкой ЦП

[Yuriy]

Несколько дней назад появилась проблема с тем, что все стало работать очень медленно - загрузка ЦП достигает 90% при том, что никаких приложений не открыто. Иногда загрузка опускается до 50%
Также стали вылезать окна с ErrorSafe - с предложениями скачать и так далее. После всевозможных проверок и лечений разными антивирусами ErrorSafe вроде бы исчез. Но большая загрузка осталась.
Также возникла проблема с тем, что если переводить компьютер (ноутбук) в спящий режим, то он не отключается, как раньше, а остается работать (то есть вентилятор работает, индикатор работы горит). Но вместе с тем не всегда получается вывести комп из этого состояния, если не отсоединить батарею.
Файлы в соответствии с правилами прилагаю.

[Ego1st]

выполните скрипт AVZ - файл - выполнить скрипт, копьютер перезагрузиться

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('rundll32.exe C:\WINDOWS\yaxxxu.dll,setvm','');
 QuarantineFile('Divcz1.dll','');
 QuarantineFile('C:\WINDOWS\System32\fghjl10.dll','');
 QuarantineFile('C:\WINDOWS\System32\win_4w.dll','');
 QuarantineFile('C:\WINDOWS\System32\rpcc.dll','');
 QuarantineFile('C:\WINDOWS\system32\v_sign.dll','');
 QuarantineFile('C:\WINDOWS\system32\v_gost.dll','');
 QuarantineFile('C:\WINDOWS\System32\tmp5.tmp.dll','');
 QuarantineFile('C:\WINDOWS\system32\Divcz1.dll','');
 QuarantineFile('C:\WINDOWS\d3ui32.dll','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
 DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
 DeleteFile('C:\WINDOWS\d3ui32.dll');
 DeleteFile('C:\WINDOWS\system32\Divcz1.dll');
 DeleteFile('C:\WINDOWS\System32\tmp5.tmp.dll');
 DeleteFile('C:\WINDOWS\System32\rpcc.dll');
 DeleteFile('C:\WINDOWS\System32\win_4w.dll');
 DeleteFile('Divcz1.dll');
 DeleteFile('rundll32.exe C:\WINDOWS\yaxxxu.dll,setvm');
ExecuteSysClean;
RebootWindows(true);
end.

после перезагрузке файлы из папки AVZ - Quarantine - сегодняшнее число залейте по правилам приложения 2

потом пофиксите в HijackThis для начало это

O2 - BHO: AutoComplete - {3878A544-E465-4aad-AF9D-B2A680C2F7EC} - C:\WINDOWS\System32\fghjl10.dll
O2 - BHO: (no name) - {68D5CF1D-EC5C-4bdd-A9EF-F0E517565D50} - C:\WINDOWS\System32\tmp5.tmp.dll
O2 - BHO: (no name) - {a916bd97-81da-4e97-bcd1-367104c778d8} - C:\WINDOWS\system32\Divcz1.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "C:\WINDOWS\yaxxxu.dll",setvm
O4 - HKCU\..\Run: [WinMedia] C:\DOCUME~1\D18E~1\LOCALS~1\Temp\548680280.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.rao-ees.ru
O16 - DPF: Oracle Discoverer 4i - http://sf2.mcc.elektra.ru:7777/discwb4/applet/dis4uie.cab
O16 - DPF: Oracle Discoverer 4i Initializer - http://sf2.mcc.elektra.ru:7777/discwb4/applet/start/dis4sie.cab
O16 - DPF: {62789780-B744-11D0-986B-00609731A21D} (Autodesk MapGuide ActiveX Control) - http://roads.granit.ru/ActiveX/mgaxctrl.cab

и повторите логи АВЗ

[Yuriy]

файлы из карантина залил.
также прилагаю новые логи из АВЗ
загрузка ЦП пока также ненормальная! больше 70%.

[Yuriy]

и еще проблема возникла - теперь система пишет, что нет активных устройств-микшеров. соответственно, не проигрываются музыкальные файлы, хотя какие-то системные звуки воспроизводятся!
ну и ЭррорСейв опять вылез.
а загрузку системы пока вроде бы удалось снизить, принудительно закрыв один из svchost в процессах.
при новой загрузке - пока он не появился.

[Ego1st]

Мда зоопарк у вас серьёзный..
выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\cp.dll','');
 QuarantineFile('C:\WINDOWS\System32\libcpm_conf_u.dll','');
 DeleteFile('C:\WINDOWS\yaxxxu.dll');
 DeleteFile('C:\DOCUME~1\D18E~1\LOCALS~1\Temp\548680280.exe');
 DeleteFile('C:\WINDOWS\System32\NavLogon.dll');
 DeleteFile('C:\WINDOWS\System32\fghjl10.dll');
ExecuteSysClean;
RebootWindows(true);
end.

сегодняшний карантин ещё разок отправьте..
если что перестанет работать переустановите, но я если честно пол вашей системы в карантин отправил бы..

[Geser]

При таком количестве зверья не плохо просканировать систему куритом ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe только отметить нужно все диски перед сканированием

[Yuriy]

два последних поста повергают в уныние "серьезный зоопарк", "зверье"!
к сожалению, не понимаю, о чем именно речь! то есть что именно вызывает столько вопросов?
скрипт выполнил. карантин сегодняшний залил.
программу курит запустил. прилагаю файл отчета, который сформировался по результатам проверки.
кстати, вчера перед всеми действиями также запускал курит, там вирусов было больше, чем сейчас выявило.
svchost опять запускается время от времени.
а ЭррорСейва давно не появлялось!

[Ego1st]

востановление системы отключите..
и ещё разок логи АВЗ, посмотрим осталось что-нибудь или нет..
хм того что надо не скопировалось..
З.ы. аа пардон, я эти файлы и карантинел, ну вообще должно быть чисто после последнего скрипта..

[Muffler]

Файлы которые попали в карантин - безопасные.
Судя по копирайтам, это части от "Trusted CryptoPlugin Manager for Windows 2000".

Yuriy, зделайте новые логи, по правилам.

[Yuriy]

новые логи прилагаю.
сейчас вроде бы все ок.
хотя при перезагрузке система иногда зависает, но это все равно намного лучше, чем когда были все эти проблемы.
теперь восстановление системы уже можно включить?
и посоветуйте, пожалуйста, что можно установить, чтобы больше таких проблем не повторялось!

[ALEX(XX)]

теперь восстановление системы уже можно включить? и посоветуйте, пожалуйста, что можно установить, чтобы больше таких проблем не повторялось!

Лично я, в восстановлении системы не вижу смысла, только места жрёт, но это моё ИМХО. Установить советую NOD32 или KAV 6 (KIS 6), или DrWeb на выбор, у этих продуктов есть пробные версии, поставьте, попробуйте, оставьте то, что понравилось. И включите встроенный виндовый фаер и автоматическое обновление системы и поставьте все апдйеты, советую поставить ИЕ 7 перед обнолвением системы.

[Shu_b]

Нужно ещё пофиксить ( http://virusinfo.info/showthread.php?t=4491 )

O2 - BHO: AutoComplete - {3878A544-E465-4aad-AF9D-B2A680C2F7EC} - C:\WINDOWS\System32\fghjl10.dll (file missing)
O20 - Winlogon Notify: Divcz1 - C:\WINDOWS\
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
O20 - Winlogon Notify: ntlogon - C:\WINDOWS\
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O20 - Winlogon Notify: rpcc - C:\WINDOWS\

[Muffler]

новые логи прилагаю.
сейчас вроде бы все ок.
хотя при перезагрузке система иногда зависает, но это все равно намного лучше, чем когда были все эти проблемы.
теперь восстановление системы уже можно включить?
и посоветуйте, пожалуйста, что можно установить, чтобы больше таких проблем не повторялось!

AVZ -> Файл -> Выполнить скрипт:

begin
SetAVZGuardStatus(True);
ClearQuarantine;
SearchRootkit(true, true);
 QuarantineFile('C:\WINDOWS\System32\cp.dll','');
 QuarantineFile('C:\WINDOWS\System32\reader\keyfile.dll','');
 QuarantineFile('C:\WINDOWS\system32\tws_3des_u.dll','');
 QuarantineFile('C:\WINDOWS\system32\tws_aes.dll','');
 QuarantineFile('C:\WINDOWS\system32\tws_plg1_u.dll','');
 QuarantineFile('C:\WINDOWS\system32\v_gost.dll','');
 QuarantineFile('C:\WINDOWS\system32\v_sign.dll','');
 QuarantineFile('D211MC.sys','');
 QuarantineFile('C:\WINDOWS\System32\DRIVERS\twsvpn.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\v_gost.sys','');
 QuarantineFile('C:\WINDOWS\System32\fghjl10.dll','');   
 QuarantineFile('c:\windows\system32\msvcrtd.exe','');
 QuarantineFile('C:\WINDOWS\web\related.htm','');
CreateQurantineArchive(GetAVZDirectory+'virusinfo_7680_quarantine.zip');
RebootWindows(true);
end.

После перезагрузки, в папке AVZ найти файл virusinfo_7680_quarantine.zip, и проислать его нам по правилам.

Плюс,

in.rosprint.ru, raooilhouse.elektra.ru, raoees.elektra.ru, rao.elektra.ru, mcc.elekt ra.ru, elektra.ru, equant.com, orange-ftgroup.ru

Вам знакомы эти адреса???

[Yuriy]

Плюс,

in.rosprint.ru, raooilhouse.elektra.ru, raoees.elektra.ru, rao.elektra.ru, mcc.elekt ra.ru, elektra.ru, equant.com, orange-ftgroup.ru

Вам знакомы эти адреса???

Да с этими адресами нет проблем. Они мне все знакомы.
Все остальные действия смогу вечером сделать, когда буду дома.

[Yuriy]

строки пофиксил.
скрипт выполнил, результаты карантина закачал.
до того как это сделать - опять чудил svchost - грузил процессор.
сейчас пока все ок.

[Muffler]

строки пофиксил.
скрипт выполнил, результаты карантина закачал.
до того как это сделать - опять чудил svchost - грузил процессор.
сейчас пока все ок.

Я посмотрел файлы.
Один из них точно троян(по КАВ Trojan-Downloader.Win32.ConHook.an). Плюс остальные отправил в лабораторию Dr.Web, ждём их ответа и тогда будем лечится...

[Yuriy]

Dr. Web молчит?
может еще раз чем-то проверить комп?

[Muffler]

Dr. Web молчит?
может еще раз чем-то проверить комп?

Да, ответ я так и не получил.
Спасибо Олегу Зайцеву, за анализ файлов.

AVZ -> Файл -> Выполнить скрипт:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 DeleteFile('C:\WINDOWS\System32\tmp5.tmp.dll');
 DeleteFile('C:\WINDOWS\System32\fghjl10.dll');
 DeleteFile('C:\WINDOWS\System32\rpcc.dll');
 DeleteFile('C:\WINDOWS\system32\Divcz1.dll');
 DeleteFile('c:\windows\system32\msvcrtd.exe');
 DeleteFile('C:\WINDOWS\d3ui32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

После выполнения скрипта, система перезагрутся.

После этого, зделайте новые логи по правилам.

[Yuriy]

выкладываю новые логи!

[Geser]

Выглядит чисто. проблемы есть?