svchost.exe ошибка приложения + cfdrive32.exe +

[FasT_X]

Во первых, мин 10 после включения интернета, вылетает ошибка svchost.exe ошибка приложения
Инструкция по адресу "0x6fe216e2" обратилась к памяти по адресу "0x019c005x". Память не может быть "written".

"OK" - завершение приложения
"Отмена" - отладка приложения

Если нажать либо ОК либо отмена компом невозможно управлять, жуткие лаги...
Во вторых, какие то процессы cfdrive32.exe msvmiode.exe
Во третьих, аваст находит вирусы, удаляет, но появляются снова :
C:\Windows\system32\doc.exe

C:\Documents and Settings\FasT-X\Local Settings\Temporary Internet Files\Content.IE5\UHU3QAFO\sbf[1].exe

C:\Temp\509.exe
C:\Temp\627.exe
C:\Temp\715.exe

C:\Windows\system32\18.scr
C:\Windows\system32\27.scr
C:\Windows\system32\50.scr
C:\Windows\system32\87.scr
C:\Windows\system32\gff6.exe

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 QuarantineFile('C:\Documents and Settings\FasT-X\Application Data\ltzqai.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\system32\35.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\35.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\Documents and Settings\FasT-X\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 ExecuteRepair(11);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи

- Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[FasT_X]

Сделал

[olejah]

Сделайте лог МВАМ

[FasT_X]

Сделал

[olejah]

Удалите в МВАМ -

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Worm.Palevo) -> No action taken.

Зараженные файлы:
C:\RECYCLER\S-1-5-21-3166824611-2316525742-678221069-2170\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-3616439051-5654966600-784848855-4865\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-9654515249-0492336571-891284407-3149\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS\cfdrive32.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.

- После удаления и перезагрузки повторите лог.

[FasT_X]

Повторил

[olejah]

Что с проблемой?

[FasT_X]

Что с проблемой?

Пока что "svchost.exe ошибка приложения" вроде бы нету, но не уверен ещё, может через время выскочит, а процессы cfdrive32.exe msvmiode.exe всё ещё есть

[olejah]

Зараза такая. Сделайте лог ComboFix

[FasT_X]

Есть

[olejah]

Справился ComboFix? Вроде поудалял всё плохое.

[FasT_X]

Справился ComboFix? Вроде поудалял всё плохое.

Поначалу по пропадало всё, сейчас смотрю, опять есть cfdrive32.exe msvmiode.exe ещё появилось Zsorm.exe и аваст уже словил что-то новое:
C:\e1u2c2f3u7b4.exe
Win32:VB-PFB [Drp]
Dropper

[olejah]

Да, компания знакомая, сейчас подумаем.

Добавлено через 10 минут

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
C:\e1u2c2f3u7b4.exe
c:\documents and settings\FasT-X\Application Data\ltzqai.exe
c:\windows\cfdrive32.exe
c:\windows\logfile32.txt
c:\windows\system32\00.exe
c:\windows\system32\03.scr
c:\windows\system32\27.scr
c:\windows\system32\52.exe
c:\windows\system32\53.scr
c:\windows\system32\72.exe
c:\windows\system32\83.exe
c:\windows\system32\msssc.dll
c:\windows\system32\msvmiode.exe
c:\windows\system32\Zsorm.exe

Driver::


Folder::


Registry::
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]"Microsoft Driver Setup"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]"MSODESNV7"


FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[FasT_X]

Сделал, пока что старых процессов не наблюдаю, но увидел новый: wscntfy.exe и выпригнула ошибка "ошибка svchost.exe ошибка приложения"
аваст нашел C:\WINDOWS\system32\gff6.exe Win32:Malware-gen Вирус/Червь

[olejah]

wscntfy.exe - запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы.

[FasT_X]

Всё, справился, спасибо за всё, очень благодарен

[thyrex]

Удалите ComboFix

Установите все новые обновления для системы
Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Acrobat Reader 9.3 или удалите старый

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\fast-x\\application data\\ltzqai.exe - Trojan.Win32.Pincav.afyu ( DrWEB: Trojan.PWS.SpySweep.35, BitDefender: Trojan.Generic.4876208, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )
  2. c:\\windows\\cfdrive32.exe - Backdoor.Win32.IRCBot.qkl ( DrWEB: Trojan.AVKill.2387, BitDefender: Backdoor.IRCBot.ADAH, NOD32: IRC/SdBot trojan, AVAST4: Win32:Inject-AII [Trj] )
  3. c:\\windows\\system32\\msvmiode.exe - Trojan.Win32.Jorik.Tedroo.c ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.4718232, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Inject-AII [Trj] )
  4. c:\\windows\\system32\\35.exe - P2P-Worm.Win32.Palevo.avgf ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Agent.AQOV, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )