Процесс dwengine.exe отъедает 50-95 % загрузки ЦП

[Андрей Новокрещенных]

Доброго всем времени суток!
Winows 7 Pro лицензия, DrWeb 6.0.2.10060, Comodo Firewall 5.0.163652.1142.
Процесс dwengine.exe стал загружать процессор на 50-95%. После чего это произошло - непонятно. При этом Windows Update показывает 68% загрузки обновлений и дальше не двигается.
Выполнил все действия по инструкции. Сначала проверил DrWeb (установлена 6-я версия, работала хорошо до описываемых событий), потом AVPTool в безопасном режиме (все логи сохранил, могу приложить). Между проверками различными средствами делались перерывы длиной в сутки - надо же иногда и поработать
Логи AVZ и HijackThis прилагаю.
Буду рад вашим советам...

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Андрей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\atmadm.exe','');
 QuarantineFile('C:\Users\Андрей\AppData\Roaming\Vuow\yrva.exe','');
 DeleteFile('C:\Users\Андрей\AppData\Roaming\Vuow\yrva.exe');
 DeleteFile('C:\Users\Андрей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\atmadm.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил

[Андрей Новокрещенных]

Здравствуйте.
Скрипт выполнил.
Забыл сказать, что вчера программы стали открываться только от имени администратора... Так вот, после выполнения скрипта ничего не изменилось, и dwengine.exe по-прежнему много кушает.
Карантин прикрепил; отпишитесь, пожалуйста, получен ли он...

[Андрей Новокрещенных]

В карантине только один файл (комп после скрипта затупил, пришлось перезагрузить) за вчера, за сегодня ничего нет. Его прикрепляю к теме...

[Андрей Новокрещенных]

Сегодня DrWeb ругнулся, что проверки не было неделю:
Вложение 280423

Но я 25-го проверял полной проверкой всю систему.
После этой ошибки выполнил быстрое сканирование. Вирусов не найдено.

Кстати, системе полегчало после скрипта. Это не может не радовать Спасибо!
Но хотелось бы удостовериться... Какой скрипт выполнить?

[Андрей Новокрещенных]

dwengine.exe при простое не грузит систему, а если комп нагружен, то также 50-90 % загрузки
и обновления теперь застряли на 72 %

[thyrex]

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Андрей Новокрещенных]

Сделал новые логи. MBAM лог не открыл в блокноте, нажал "Сохранить отчет" и сохранил лог.
Вложение 280681
Вложение 280680
Вложение 280679
Вложение 280682

[Андрей Новокрещенных]

Обновления подтолкнул (остановил загрузку и заново запустил) - скачались и установились (ничего критичного: поставился Live 2011 и новый драйвер для телефона).

[V_Bond]

выполните скрипт

begin
 DelBHO('{3f5a62e2-51f2-11d3-a075-cc7364cae42a}');
end.

[Андрей Новокрещенных]

выполните скрипт

begin
 DelBHO('{3f5a62e2-51f2-11d3-a075-cc7364cae42a}');
end.

Выполнил. Всё, теперь мне можно спать спокойно?
Остальные обнаруженные MBAM'ом подозрительные объекты не представляют угрозы?

Добавлено через 3 минуты

Проверил ручками - раздел в реестре остался и внем один ключ VerCache. Это нормально?

[V_Bond]

это удалите

C:\Users\Андрей\AppData\Local\Temp\A9F8.tmp (Spyware.Passwords.XGen) -> No action taken.
C:\Users\Андрей\AppData\Local\Temp\34A1.tmp (Spyware.Passwords.XGen) -> No action taken.

остальное ваши кряки

[Андрей Новокрещенных]

Спасибо большое, парни! Странно, почему DrWeb не нашёл вирусы...
Сейчас очистил C:\Users\Андрей\AppData\Local\Temp\ вообще, так DrWeb в сообщениях показывал, что файлы содержат вирусы и перемещены в карантин.

Добавлено через 3 минуты

А как насчет:

C:\Users\Андрей\AppData\Roaming\Desktopicon\eBayShortcuts.exe (Adware.ADON) -> No action taken.
C:\Users\Андрей\AppData\Roaming\Ebzeqo\usgo.exe (Spyware.Passwords.XGen) -> No action taken.

?
Удалил и эти...

[V_Bond]

все верно

[Андрей Новокрещенных]

А этот Spyware.Passwords.XGen пароли мои воровал что-ли?

Добавлено через 4 часа 31 минуту

Могу я эту ветку реестра удалить? Она не системная, не критичная?

[V_Bond]

какую ветку ?

[Андрей Новокрещенных]

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{3f5a62e2-51f2-11d3-a075-cc7364cae42a} (Trojan.BHO) -> No action taken.

[Bratez]

Можете удалить.

[Андрей Новокрещенных]

Всем большое спасибо! Тему, наверное, можно закрыть...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены