Компьютерный форум - Долгая загрузка системы, вылет системных процессов, использование сети, лаги на инет

Компьютерный форум (http://pchelpforum.ru/index.php)

- Безопасность (http://pchelpforum.ru/forumdisplay.php?f=26)

Долгая загрузка системы, вылет системных процессов, использование сети, лаги на инет

вообщем, залетел ко мне какой-то вирус, сначала была долгая загрузка системы и вылет системного процесса (он вырубал интернет). Потом процесс вылетать перестал, но взамен он просто обрушает интернет, жрет исходящий трафик на сеть (шары и тому подобные программы отключены). Быает даже вваливается в svchost и вместе с ним начинает грузить процессор по полной. Антивирус не видет, фаерволл пытается блокировать, но через некоторое время процессы снова лезут. Нашел их так в системе, естественно, после удаления файлы восстанавливаются.
Помогите, пожалуйста, я не знаю, что делать:confused:

OxiZ, Выполнить это http://pchelpforum.ru/f26/t6442/#post37758 и прислать архив virusinfo_syscure.zip
cкачайте утилитку http://webfile.ru/3953491 Распакуйте.Запустите.После автоматической экспресс-проверки нажать "Scan". После окончания проверки сохранить его лог (нажать на кнопку Save) и через файлообменник выложите сюда.

01pump, к сожалению, утилита зависает на ручном сканирование (виснет вся система). Лог от AVZ тут virusinfo_syscure.zip

Цитата:

Сообщение от OxiZ (Сообщение 113627)

01pump, к сожалению, утилита зависает на ручном сканирование (виснет вся система). Лог от AVZ тут virusinfo_syscure.zip

Пока лога avz достаточно!
Чуть позже отпишу результат анализа и план действий.

OxiZ,

Запустите снова avz: Файл-выполнить скрипт- в открывшееся окно внимательно!!! вставить текст:

Код:

 

begin

SetAVZGuardStatus(True);

SearchRootkit(true, true);

TerminateProcessByName('d:\windows\system32\waawo.exe');

TerminateProcessByName('d:\windows\system32\smism.exe');

TerminateProcessByName('d:\windows\dsfs.exe');

TerminateProcessByName('d:\windows\bdffg.exe');

DeleteService('TCPZ');

DeleteService('vsgv');

DeleteService('vs');

DeleteService('Nisorprpnd');

DeleteService('NationalSer1.5');

DeleteService('MasdSsdfy');

DeleteService('faf');

DeleteService('D845AE68');

DeleteService('cs1.5');

DeleteService('BackGround Switch');

DeleteService('Aspnet_stater');

DeleteService('dsafds');

DeleteService('cs1.4');

DeleteService('cs1.3');

DeleteService('brtdgxx');

DeleteFile('d:\windows\bdffg.exe');

DeleteFile('d:\windows\dsfs.exe');

DeleteFile('d:\windows\system32\smism.exe');

DeleteFile('d:\windows\system32\ltdrunsrv.dll');

DeleteFile('D:\WINDOWS\system32\waawo.exe');

DeleteFile('D:\WINDOWS\system32\Tem70.tmp.exe');

DeleteFile('D:\WINDOWS\system32\regedit32.exe');

DeleteFile('D:\WINDOWS\system32\qbzqy.exe');

DeleteFile('D:\WINDOWS\system32\EDA6C228.EXE');

DeleteFile('D:\WINDOWS\system32\EHAFN88MJI\D001.exe');

DeleteFile('D:\WINDOWS\system32\WHsdfda.exe');

DeleteFile('D:\WINDOWS\system32\WSTZ1SRGBK\I.exe');

DeleteFile('Nisorprpnd.sys');

DeleteFile('D:\WINDOWS\system32\EHAFN88MJI\F001.exe');

DeleteFile('D:\WINDOWS\system32\IXYQM0R4VT\G001.exe');

DeleteFile('D:\WINDOWS\system32\drivers\tcpz-x86d.sys');

DeleteFile('D:\WINDOWS\system32\nod32.dll');

DeleteFile('D:\WINDOWS\system32\djipn.dll');

DeleteFile('d:\windows\temp\597xxx.dll');

DelBHO('{C5AA3460-D54C-4131-8E3C-5F3EC9446BD5}');

DelBHO('{FFFFE708-B832-42F1-BAFF-247753B5E452}');

DelBHO('{71E59D37-D7FC-4ED6-BC1D-D13BE02FE6C5}');

DelBHO('{45DBF6B0-936F-4F11-9E67-3791EEF882F7}');

DelCLSID('{C5AA3460-D54C-4131-8E3C-5F3EC9446BD5}');

DelCLSID('{FFFFE708-B832-42F1-BAFF-247753B5E452}');

DelCLSID('{71E59D37-D7FC-4ED6-BC1D-D13BE02FE6C5}');

DelCLSID('{45DBF6B0-936F-4F11-9E67-3791EEF882F7}');

ExecuteSysClean;

ExecuteRepair(6);

ExecuteRepair(9);

RebootWindows(true);

end.

Затем нажимаем "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!!!

После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip еще выполните лог в hijackthis и пришлите hijackthis.log (как это сделать читаем тут http://pchelpforum.ru/f26/t6442/#post37758 )

OxiZ,
Запустить hijackthis кнопкой "Do a system scan only" Откроется таблица, в которой отметьте следующие строчки:

Цитата:

R3 - URLSearchHook: (no name) - - (no file)
O20 - AppInit_DLLs: ,D:\WINDOWS\TEMP\5420xxx.dll

и нажмите FIX checked

Затем запустите снова avz: Файл-выполнить скрипт-

Код:

 

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

DeleteFile('D:\WINDOWS\TEMP\5420xxx.dll');

ExecuteSysClean;

RebootWindows(true);

end.

После перезагрузки на этом сайте www.virustotal.com проверить этот файл D:\WINDOWS\system32\mswsock32.dll , если будет сообщение что такой файл проверялся то все равно выполнит повторную проверку.
Результат сообщить.

01pump Результат: 2/41 (4.88%)

---------- Добавлено в 01:55 ---------- Предыдущее сообщение было написано в 01:52 ----------

Jiangmin 11.0.800 2009.11.11 Backdoor/Delf.qaz

Prevx 3.0 2009.11.11 Medium Risk Malware

OxiZ,
выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip еще выполните лог в hijackthis и пришлите hijackthis.log

01pump, вот этот файл D:\WINDOWS\TEMP\5420xxx.dll был таким (при сканировании) 5277xxx.dll. В скрипт я внес название нового файла, при повторном сканировании никаких файлов не находил

Цитата:

Сообщение от OxiZ (Сообщение 113901)

Зачем мудрить? Делайте то что пишу вам. Жду новые логи.

01pump, virusinfo_syscheck.zip

---------- Добавлено в 02:05 ---------- Предыдущее сообщение было написано в 02:02 ----------

01pump, hijackthis подобного файла не искал, была такая же строка, только файл с другим названием:(

Цитата:

Сообщение от OxiZ (Сообщение 113904)

01pump, virusinfo_syscheck.zip

выполнить скрипт

Код:

 

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

DeleteService('Aspnet_stater');

DeleteService('D845AE68');

DeleteFile('d:\windows\system32\tem44.tmp.exe');

DeleteFile('D:\WINDOWS\system32\EDA6C228.EXE');

ExecuteSysClean;

RebootWindows(true);

end.

После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip

Я в упор не вижу антивируса!!!! Ставьте любой. Иначе мы тут будем сидеть до посинения.
Файервол не в счет.

01pump, извиняюсь за долгое отсутствие. Про антивирус действительно забыл...
архив вот

Цитата:

Сообщение от OxiZ (Сообщение 114757)

01pump, извиняюсь за долгое отсутствие. Про антивирус действительно забыл...
архив вот

Выполнить это

Код:

 

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 DeleteFileMask('D:\WINDOWS\TEMP', '*.*', true);              

ExecuteSysClean;

RebootWindows(true);

end.

После перезагрузки выполнить лог в hijackthis и стандартный скрипт №2 (virusinfo_syscheck.zip)

И просьба к вам: не химичить с логами! Выполнять только то что написано!!! И не использовать ни какие программы на период логов! (в том числе Winamp)