svchost.exe создает вирусы???

Vike · 24.11.2009, 01:46

Доброй ночи вам всем!!!!
Вот уже третий день меня мучает проблема с вирусами (опять они проклятые ). Вся проблема в том, что при соединении с Интернет НОД находит подозрительные трояны, которые, якобы созданны файлом svchost.exe. Симптомы на лицо: при соединении с Интернетом переодически начинает тормозит вся система, не открываются веб-страницы....
Вот пару из таких файлов:

Цитата:

E:\\Documents and settings\ Local Service\Local settings\tempotary internet files\ content.it5\i6e07\a023[1].exe, или a023.exe или какие-то другие названия
e:\windows\system32\d93lhlfcwe\a023.exe

также, как я уже говорил, эти файлы созданны svcost.exe и предлагает его отправить на анализ. Отправлять я его не стал, но систему просканировал и НОДом и AVZ и другими лечащими програмками, нашло массу вирусов, поудаляло их, по ситуация не изменилась, опять те самые файлы создаются.

сейчас выложу логи...
hijack
AVZ

Iljeben · 24.11.2009, 02:56

Лог AVZ переделайте. Нужен архив virusinfo_syscure.zip из папки LOG.

Vike · 24.11.2009, 03:29

ой, извините, машинально, и не проверил
http://www.filehoster.ru/files/dx3516 - вот

Iljeben · 24.11.2009, 04:09

Выполните в AVZ следующий скрипт (AVZ-Файл-Выполнить скрипт копируем и вставляем нижеприведенный скрипт-Запустить):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('e:\windows\system32\wshost32.exe');
 TerminateProcessByName('e:\windows\atidfe.exe');
 TerminateProcessByName('e:\windows\ati2exxx.exe');
 TerminateProcessByName('e:\docume~1\9335~1\locals~1\temp\222.exe');
 SetServiceStart('TCPZ', 4);
 SetServiceStart('fen', 4);
 SetServiceStart('Ati2exxx', 4);
 StopService('fen');
 StopService('TCPZ');
 StopService('Ati2exxx');
 QuarantineFile('Pecllcayr.sys','');
 QuarantineFile('e:\windows\system32\pderunsrv.dll','');
 DeleteFile('e:\docume~1\9335~1\locals~1\temp\222.exe');
 DeleteFile('e:\windows\ati2exxx.exe');
 DeleteFile('e:\windows\atidfe.exe');
 BC_DeleteFile('e:\windows\system32\wshost32.exe');
 DeleteFile('E:\WINDOWS\system32\JVMOD32.DLL');
 DeleteFile('e:\windows\system32\pderunsrv.dll');
 DeleteFile('E:\WINDOWS\system32\wshost32.exe');
 DeleteFile('E:\WINDOWS\Ati2exxx.exe');
 DeleteFile('E:\WINDOWS\Atidfe.exe');
 DeleteFile('E:\WINDOWS\system32\drivers\tcpz-x86d.sys');
 DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\G001.exe');
 DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\J001.exe');
 DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\I.exe');
 DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\E001.exe');
 DeleteFile('Pecllcayr.sys');
 BC_DeleteFile('E:\WINDOWS\system32\drivers\tcpz-x86d.sys');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1859\ls888.exe');
 DeleteFile('E:\RECYCLER\S-1-5-21-2850529688-1684691884-531810523-5200\wmfcgr.exe');
 DeleteFile('E:\WINDOWS\system32\018.exe');
 DeleteFile('explorer.exe,E:\RECYCLER\S-1-5-21-2850529688-1684691884-531810523-5200\wmfcgr.exe');
 BC_DeleteFile('E:\WINDOWS\system32\SSVICHOSST.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-24SF-N85P');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
 DeleteService('TCPZ');
 DeleteService('fen');
 DeleteService('Ati2exxx');
BC_ImportAll;  
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW', 3, 2, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузиться. Выполните Стандартный скрипт N2 и выложите архив virusinfo_syscheck.zip.

Vike · 24.11.2009, 12:33

http://www.filehoster.ru/files/dx3943 держите....

Цитата:

DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\G001.ex e');
DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\J001.ex e');
DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\I.exe') ;
DeleteFile('E:\WINDOWS\system32\TRWNDRAXGL\E001.ex e');

вот эти файлы возможно опять появятся

01pump · 24.11.2009, 12:37

Vike, Вы radmin пользуетесь?

01pump · 24.11.2009, 12:44

Vike,
В обязательном порядке отключить восстановление системы: Пуск-Панель управления- Система-Вкладка "Восстановление системы"-поставить птичку "Отключить восстановление"- применить (процесс может длится минуту).
Только после этого!!! запускаем снова avz: Файл-выполнить скрипт- в открывшееся окно внимательно!!! вставляем текст:

Код:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('MasdSsdfy');
DeleteService('BackGround Switch');
DeleteFile('E:\WINDOWS\system32\regedit32.exe');
DeleteFile('E:\WINDOWS\system32\WHsdfda.exe');
DeleteFile('E:\WINDOWS\system32\SSVICHOSST.exe');
DeleteFile('E:\WINDOWS\Tasks\At1.job');
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip еще выполните лог в hijackthis и пришлите hijackthis.log (как это сделать читаем тут http://pchelpforum.ru/f26/t6442/#post37758 )

Vike · 24.11.2009, 13:08

Цитата:

Сообщение от 01pump

Vike, Вы radmin пользуетесь?

нет...
ждите...

01pump · 24.11.2009, 13:12

Vike,
Только не надо на этот обменник выкладывать.. Лучше на exfile.ru

Vike · 24.11.2009, 13:18

AVZ
Hijack

А что не так с тем обменнком??

01pump · 24.11.2009, 13:30

Цитата:

Сообщение от Vike

А что не так с тем обменнком??

Признаки фишинга

01pump · 24.11.2009, 13:32

Цитата:

Сообщение от Vike

AVZ
Hijack

Вот это еще выполнить

Код:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('r_server');
 DeleteFile('E:\WINDOWS\System32\r_server.exe');
ExecuteSysClean;
RebootWindows(true);
end.

Vike · 24.11.2009, 13:32

нет никакого там фишинга...

---------- Добавлено в 11:42 ---------- Предыдущее сообщение было написано в 11:32 ----------

сделал
AVZ
и
Hilack, если надо

01pump · 24.11.2009, 13:42

Цитата:

Сообщение от Vike

нет никакого там фтшинга...

есть там такое дело

01pump · 24.11.2009, 13:43

Цитата:

Сообщение от Vike

сделал AVZ и Hilack, если надо

Чисто в логах

24.11.2009, 12:44	#7 (ссылка)
01pump Специалист Регистрация: 01.01.2009 Сообщений: 13,209 Репутация: 415	Vike, В обязательном порядке отключить восстановление системы: Пуск-Панель управления- Система-Вкладка "Восстановление системы"-поставить птичку "Отключить восстановление"- применить (процесс может длится минуту). Только после этого!!! запускаем снова avz: Файл-выполнить скрипт- в открывшееся окно внимательно!!! вставляем текст: Код: begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteService('MasdSsdfy'); DeleteService('BackGround Switch'); DeleteFile('E:\WINDOWS\system32\regedit32.exe'); DeleteFile('E:\WINDOWS\system32\WHsdfda.exe'); DeleteFile('E:\WINDOWS\system32\SSVICHOSST.exe'); DeleteFile('E:\WINDOWS\Tasks\At1.job'); ExecuteSysClean; RebootWindows(true); end. После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip еще выполните лог в hijackthis и пришлите hijackthis.log (как это сделать читаем тут http://pchelpforum.ru/f26/t6442/#post37758 )

24.11.2009, 13:32	#13 (ссылка)
Vike Новичок Регистрация: 04.03.2009 Сообщений: 83 Репутация: 0	нет никакого там фишинга... ---------- Добавлено в 11:42 ---------- Предыдущее сообщение было написано в 11:32 ---------- сделал AVZ и Hilack, если надо Последний раз редактировалось Vike; 24.11.2009 в 13:42.

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
svchost.exe	fMp	Windows XP	5	17.07.2011 15:13
svchost.exe	NightDevil	Windows 7	18	09.01.2011 18:04
svchost.exe 50%-100% ЦП	desert1k	Безопасность	5	25.12.2010 23:59
Процесс svchost.exe	Romario666	Windows XP	6	06.12.2010 19:34
svchost.exe грузит ЦП 100%	Flesh	Неисправности, настройка	6	19.11.2010 20:33
svchost.exe	tee	Безопасность	7	08.07.2010 22:56
Система создает ярлыки для всех папок	vavaka	Windows XP	1	09.10.2009 07:35
svchost	Xexe	Безопасность	7	23.07.2009 22:40
svchost.exe	altunin	Windows XP	1	30.05.2009 13:41
svchost.exe(вирус)	Женька	Безопасность	3	05.04.2009 00:26
Alcohol не создает образ	alterr	Утилиты	2	26.12.2008 02:12

24.11.2009, 02:56	#2 (ссылка)
Iljeben Мастер Регистрация: 27.10.2008 Сообщений: 9,488 Записей в блоге: 4 Репутация: 702	Лог AVZ переделайте. Нужен архив virusinfo_syscure.zip из папки LOG.

24.11.2009, 03:29	#3 (ссылка)
Vike Новичок Регистрация: 04.03.2009 Сообщений: 83 Репутация: 0	ой, извините, машинально, и не проверил http://www.filehoster.ru/files/dx3516 - вот

24.11.2009, 12:37	#6 (ссылка)
01pump Специалист Регистрация: 01.01.2009 Сообщений: 13,209 Репутация: 415	Vike, Вы radmin пользуетесь?

24.11.2009, 13:12	#9 (ссылка)
01pump Специалист Регистрация: 01.01.2009 Сообщений: 13,209 Репутация: 415	Vike, Только не надо на этот обменник выкладывать.. Лучше на exfile.ru

24.11.2009, 13:18	#10 (ссылка)
Vike Новичок Регистрация: 04.03.2009 Сообщений: 83 Репутация: 0	AVZ Hijack А что не так с тем обменнком??

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)

Ads