CSRSS.exe в трее грузит ЦП 90-100%

[атакованный]

Не пойму, что происходит. Вчера подхватил вирус троян даунлоадер, с помощью др. веба убил его (вроде). Теперь при запуске системы др веб обнаруживает:
C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\1.dllb - инфицирован Trojan.DownLoader.15909
C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\2.dllb - инфицирован Trojan.DownLoader.15909
C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\5.dllb - инфицирован Trojan.DownLoader.15909
C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\6.dllb - инфицирован Trojan.Packed.112
C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\7.dllb - инфицирован Trojan.Packed.112
и т.д.
Я их всех делит делаю.
Так же при запуске системы процес CSRSS.exe в трее грузит ЦП 90-100%. Закрыть его не получается.
Вот логи.

[Alex Plutoff]

-присутствие зловреда на ПК не вызывает сомнений, по сему, выполнить в AVZ скрипт

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\Documents and Settings\TsibON_MiMi\Local Settings\Temp\avz_4068_raw.tmp','');
 QuarantineFile('C:\Documents and Settings\TsibON_MiMi\Local Settings\Temp\avz_3896_raw.tmp','');
 QuarantineFile('C:\WINDOWS\system32\fontext.dll','');
 QuarantineFile('deskpan.dll','');
 QuarantineFile('C:\WINDOWS\system32\printui.dll','');
 QuarantineFile('C:\WINDOWS\system32\themeui.dll','');
 QuarantineFile('C:\WINDOWS\system32\mmsys.cpl','');
 QuarantineFile('logon.scr','');
 QuarantineFile('appmgmts.dll','');
 QuarantineFile('D:\PROGRA~1\ACTIVE~1\wcescomm.exe','');
 QuarantineFile('C:\WINDOWS\system32\stobject.dll','');
 QuarantineFile('C:\WINDOWS\system32\shell32.dll','');
 QuarantineFile('C:\WINDOWS\system32\rpcc.exe','');
 QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
 QuarantineFile('C:\WINDOWS\system32\kxmixer.exe','');
 QuarantineFile('C:\WINDOWS\system32\kernels32.exe','');
 QuarantineFile('C:\WINDOWS\system32\browseui.dll','');
 QuarantineFile('C:\WINDOWS\system32\a3dxx.dll','');
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 QuarantineFile('C:\Program Files\Sable\WINNT\startnt.bat','');
 QuarantineFile('C:\Program Files\Ipwindows\ipwins.exe','');
 QuarantineFile('C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\5.exe','');
 QuarantineFile('C:\WINDOWS\system32\SHLWAPI.dll','');
 QuarantineFile('C:\WINDOWS\system32\SHELL32.dll','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll','');
 QuarantineFile('c:\windows\retadpu27.exe','');
 QuarantineFile('c:\windows\system32\vexg4am1et2.exe','');
 QuarantineFile('c:\windows\system32\kernels32.exe','');
 QuarantineFile('IEXPLORE.EXE','');

RebootWindows(true);
end.

...после перезагрузки содержимое карантина пришлите согласно правил для анализа

[Rene-gad]

@атакованный
Ну у гадючник Вы у себя развели SCNR
1. Очистите Темп-Папки: http://www.clearprog.de/site.php?id=10
2. Пофиксите в HJT

O4 - HKLM\..\Run: [System] C:\WINDOWS\system32\kernels32.exe
O4 - HKLM\..\Run: [WMDM PMSP Service] C:\WINDOWS\system32\cssrss.exe
O4 - HKLM\..\Run: [WindowsHive] C:\WINDOWS\system32\rpcc.exe
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\retadpu27.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A
O4 - HKCU\..\Run: [Key] C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\5.exe
O4 - HKCU\..\Run: [IpWins] C:\Program Files\Ipwindows\ipwins.exe
O20 - Winlogon Notify: A3dxq - C:\WINDOWS\system32\a3dxx.dll
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll (file missing)

3. Выполните скрипт на карантин (далее по сообщению коллеги Alex Plutoff)

[атакованный]

Результат загрузки

Файл сохранён как070502_224935_virus_4638dd3f45bae.zipРазмер файла16852612MD5b1a4de8a61e7388edcb772d06a531896Файл закачан, спасибо!

[Rene-gad]

Файл закачан

16,1 Mb, не для Dial-Up пользователей
К сожалению это были не все файлы. Выполните скрипт на карантин

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\rpcc.exe','');
 QuarantineFile('C:\WINDOWS\system32\a3dxx.dll','');
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 QuarantineFile('C:\Program Files\Ipwindows\ipwins.exe','');
 QuarantineFile('C:\DOCUME~1\TSIBON~1\LOCALS~1\Temp\5.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll','');
 QuarantineFile('c:\windows\retadpu27.exe','');
 QuarantineFile('c:\windows\system32\vexg4am1et2.exe','');
  QuarantineFile('IEXPLORE.EXE','');
RebootWindows(true);
end.

и повторите загрузку.
В C:\WINDOWS\system32\kernels32.exe обнаружен Win32/Nuwar.Gen.Wurm (NOD32), в C:\WINDOWS\system32\cssrss.exe - Trojan-Downloader.Win32.Agent.bnz (КАВ)

[атакованный]

Результат загрузки
Файл сохранён как 070503_000338_virus_4638ee9a49910.zip
Размер файла 9905
MD5 1b26e4f21b86e0dd85dd42eaba735b8c

Файл закачан, спасибо!

[Rene-gad]

@атакованный
Сорри, моя ошибка - На этот раз попал kernel32, про который мы уже знаем .
Может быть мы пытаемся закачать то, чего уже нет . Если не затруднит - повторите пожалуйста логи, как здесь http://virusinfo.info/showpost.php?p=107127&postcount=1. Я посмотрю их завтра, если никто не напишет скрипт на удаление раньше.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\cssrss.exe - Trojan-Downloader.Win32.Agent.bnz (DrWEB: Trojan.DownLoader.21879)
  2. c:\\windows\\system32\\kernels32.exe - Trojan-Downloader.Win32.Tibs.kr (DrWEB: Trojan.Packed.111)