Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 21.

Userini грузит процессор (заявка № 82349)

  1. #1
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34

    Thumbs up Userini грузит процессор

    Загрузка доходит до 100% при минимуме запущенных программ
    Последний раз редактировалось akalibr; 10.07.2010 в 15:05.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Отключите интернет.
    Выгрузите/отключите антивирус/файрволл.

    Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
    O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe
    O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe
    O4 - HKCU\..\Policies\Explorer\Run: [Dr.Watson] C:\WINDOWS\system32\sysnkey32.exe
    O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\Documents and Settings\Cher1\Application Data\ibnzs.exe','');
     QuarantineFile('C:\WINDOWS\system32\userini.exe','');
     QuarantineFile('C:\WINDOWS\system32\sysnkey32.exe','');
     QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
     QuarantineFile('C:\Documents and Settings\Cher1\Application Data\mrpky.exe','');
     QuarantineFile('C:\DOCUME~1\Cher1\LOCALS~1\Temp\lgwawfiyjo.sys','');
     DeleteFile('C:\DOCUME~1\Cher1\LOCALS~1\Temp\lgwawfiyjo.sys');
     DeleteFile('C:\Documents and Settings\Cher1\Application Data\mrpky.exe');
     DeleteFile('C:\WINDOWS\system32\csrcs.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
     DeleteFile('C:\WINDOWS\system32\userini.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
     DeleteFile('C:\WINDOWS\system32\sysnkey32.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
     DeleteFile('C:\Documents and Settings\Cher1\Application Data\ibnzs.exe');
    ExecuteWizard('TSW', 2, 2, true);
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    После перезагрузки выполните скрипт в AVZ:
    Код:
     begin
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
     end.
    Запустите/включите антивирус/файрволл.
    Подключите интернет.

    Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

    Повторите лог virusinfo_syscheck.zip и лог HijackThis и приложите в теме.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  4. #3
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    логи и карантин выслал.
    Вирус в системе сидит, это показал Интернет.
    Посмотрите, пожалуйста.
    Последний раз редактировалось akalibr; 10.07.2010 в 15:05.

  5. #4
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Отключите интернет.
    Выгрузите/отключите антивирус/файрволл.

    Пофиксите в HijackThis:
    Код:
    F3 - REG:win.ini: run=C:\WINDOWS\system32\virejww.exe
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\Cher1\LOCALS~1\Temp\bldjad.exe

    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     TerminateProcessByName('c:\windows\temp\wpv951278066679.exe');
     QuarantineFile('C:\WINDOWS\Temp\wpv951278066679.exe','');
     QuarantineFile('C:\WINDOWS\system32\virejww.exe','');
     QuarantineFile('C:\DOCUME~1\Cher1\LOCALS~1\Temp\bldjad.exe','');
     DeleteFile('C:\WINDOWS\Temp\wpv951278066679.exe');
     DeleteFile('C:\WINDOWS\system32\virejww.exe');
     DeleteFile('C:\DOCUME~1\Cher1\LOCALS~1\Temp\bldjad.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    После перезагрузки выполните скрипт в AVZ:
    Код:
     begin
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
     end.
    Запустите/включите антивирус/файрволл.
    Подключите интернет.

    Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

    У вас очень уязвимая система.
    Воздержитесь от посещения сомнительных сайтов и открытия вложений в письмах, даже от известных вам адресатов, если вы эти письма от них не ожидали.
    Скачайте и установите SP3 для Windows XP:
    http://www.microsoft.com/downloads/d...displaylang=ru
    А так же обновления, вышедшие после него:
    http://poleznosti.ru/soft/file_catal...20080528205228
    Так же обновите Internet Explorer до актуальной версии (даже если не используете):
    http://www.microsoft.com/rus/windows/internet-explorer/

    Повторите для контроля лог virusinfo_syscheck.zip и лог HijackThis и приложите в теме.
    Последний раз редактировалось Nikkollo; 02.07.2010 в 22:15.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,351
    Вес репутации
    3019
    И такой лог http://virusinfo.info/showpost.php?p=457118&postcount=1 тоже сделайте
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    загрузил карантин
    при подключении к Инету в папке windows/temp опять какой-то вирь вылез

    Добавлено через 13 минут

    поставлю обновления, потом буду дальше пробовать
    Последний раз редактировалось akalibr; 03.07.2010 в 00:12. Причина: Добавлено

  8. #7
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    после установки sp3 critical updates и IE8 сделал новые логи
    прошу поглядеть
    интернет при проведении сканирования не подключал, боюсь
    Последний раз редактировалось akalibr; 10.07.2010 в 15:05.

  9. #8
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Удалить:
    Код:
    C:\Documents and Settings\Cher1\Local Settings\Temporary Internet Files\Content.IE5\TUCDU565\update[1].exe (Trojan.Dropper) -> No action taken.
    C:\Documents and Settings\Cher1\Local Settings\Temporary Internet Files\Content.IE5\S5HPFTIX\apatu[1].exe (Trojan.VB) -> No action taken.
    C:\Documents and Settings\Cher1\Local Settings\Temporary Internet Files\Content.IE5\S5HPFTIX\1[2].exe (Trojan.Dropper) -> No action taken.
    C:\Documents and Settings\Cher1\Local Settings\Temporary Internet Files\Content.IE5\S5HPFTIX\1[3].exe (Trojan.Dropper) -> No action taken.
    C:\Documents and Settings\Cher1\Local Settings\Temporary Internet Files\Content.IE5\59CZDPVO\h2[1].exe (Malware.Packer.Gen) -> No action taken.
    Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\apa.exe','');
    QuarantineFile('C:\WINDOWS\system32\drivers\str.sys','');
     DeleteFile('c:\windows\system32\userini.exe');
     DeleteFile('C:\WINDOWS\system32\userini.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Прислать карантин.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  10. #9
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,351
    Вес репутации
    3019
    В дополнение к совету Павла также удалить в МВАМ
    Код:
    Зараженные процессы в памяти:
    C:\WINDOWS\system32\userini.exe (Trojan.Dropper) -> No action taken.
    C:\WINDOWS\system32\userini.exe (Trojan.Dropper) -> No action taken.
    
    Зараженные ключи в реестре:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
    
    Зараженные параметры в реестре:
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\userini (Trojan.Dropper) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\userini (Trojan.Dropper) -> No action taken.
    
    Зараженные файлы:
    C:\WINDOWS\system32\apa.exe (Trojan.VB) -> No action taken.
    C:\WINDOWS\system32\wbem\grpconv.exe (Trojan.Dropper) -> No action taken.
    C:\Documents and Settings\Cher1\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\Documents and Settings\LocalService\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\Documents and Settings\NetworkService\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
    Проверьте наличие файла C:\WINDOWS\system32\grpconv.exe
    Если будет отсутствовать, восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  11. #10
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    карантин выслал, поглядите

  12. #11
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    все проделал высылаю логи на всякий случай
    Последний раз редактировалось akalibr; 10.07.2010 в 15:05.

  13. #12
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Лог МБАМ тоже пришлите.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  14. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    429
    Еще уязвимости поищем...
    Выполните скрипт в AVZ отсюда:
    http://df.ru/~kad/ScanVuln.txt
    Файл avz_log.txt из папки AVZ\LOG приложите в теме.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  15. #14
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    PavelA, прикладываю отчет

    Nikkollo, скрипт нашел одну уязвимость - уязвимость flashplayer, и выдал ссылку, я перешел по ней, скачал и установил flashplayer. После второго прокручивания скрипта ошибок найдено не было.
    Последний раз редактировалось akalibr; 10.07.2010 в 15:05.

  16. #15
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2499
    Код:
    C:\WINDOWS\system32\apa.exe (Trojan.VB) -> No action taken.
    C:\WINDOWS\system32\wbem\grpconv.exe (Trojan.Dropper) -> No action taken.
    Эту парочку через карантин AVZ пришлите на проверку.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  17. #16
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    выполнил скрипт
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\apa.exe','');
    QuarantineFile('C:\WINDOWS\system32\wbem\grpconv.e xe','');
    DeleteFile('C:\WINDOWS\system32\apa.exe');
    DeleteFile('C:\WINDOWS\system32\wbem\grpconv.exe') ;
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    и выслал карантин, логи в процессе

  18. #17
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,351
    Вес репутации
    3019
    Удалить в МВАМ
    Код:
    Зараженные файлы:
    C:\WINDOWS\system32\apa.exe (Trojan.VB) -> No action taken.
    C:\WINDOWS\system32\wbem\grpconv.exe (Trojan.Dropper) -> No action taken.
    C:\Documents and Settings\Cher1\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\Documents and Settings\LocalService\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\Documents and Settings\NetworkService\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
    Проверьте наличие файла C:\WINDOWS\system32\grpconv.exe
    Если будет отсутствовать, восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  19. #18
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    логи
    Последний раз редактировалось akalibr; 27.07.2010 в 17:23.

  20. #19
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,351
    Вес репутации
    3019
    akalibr, Вы можете, наконец, выполнить то, что Вам говорят!?

    Прочтите сообщение №17
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  21. #20
    Junior Member Репутация
    Регистрация
    10.02.2009
    Сообщений
    173
    Вес репутации
    34
    По поводу поста 17. Я так все и выполнил, как вы мне говорили: удалил при помощи МБАМ описанные в посте строчки, после перезагрузки повторил проверку, МБАМ ничего не нашла.Файлик C:\WINDOWS\system32\grpconv.exe заменил
    полез в Интернет, вроде ничего не подмотал еще через IE.
    В папке c:\Windows\Temp\ ничего лишнего не появляется.
    Спасибо всем за внимание

  • Уважаемый(ая) akalibr, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. cmd.exe грузит процессор
      От 3D_ex3dex в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 03.07.2012, 12:37
    2. Что-то грузит процессор
      От DandyEvil в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 14.05.2012, 13:10
    3. Ответов: 10
      Последнее сообщение: 10.06.2010, 19:15
    4. Userini.exe, svchost.exe загружают процессор
      От andrew_f1 в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 17.05.2010, 00:26
    5. Что-то грузит процессор
      От AlexLSL в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 24.03.2010, 23:05

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01316 seconds with 16 queries