Постоянный обрыв интернет-соединения/ зависание системы намертво. Подозрение на вирус

[hea]

Здравствуйте, уважаемые специалисты!

У меня такая проблема: во-первых, постоянно прерывается интернет-соединение, при этом в Process Explorer появляется процесс rasautou.exe. Также постоянно присутствует svchost.exe - 8 штук (Windows XP). Один из них при зависании грузит систему на 50 ЦП (см. далее)

Во-вторых, очень часто сначала виснет браузер, а потом вся система полностью. Абсолютно никакой реакции - курсор не движется, при попытке нажатия клавиш или кнопок мышки из системника раздается звук, и помогает только reset.

Надеюсь на ваше участие, заранее спасибо.

virusinfo_syscure

hijackthis

[monte-kristo]

Здравствуйте!

Перед началом лечения необходимо отключить имеющиеся на Вашем компьютере антивирус и фаервол.
Отключить соединение с интернетом.

Запустите AVZ, откройте меню "Файл - Выполнить скрипт"
-- Скопируйте ниже написанный скрип и нажмите кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\160.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\333.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\484.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\499.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\522.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\614.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\642.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\709.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\732.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\783.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\824.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\857.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\903.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\911.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\964.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\966.exe');
 DeleteFile('c:\docume~1\f942~1\locals~1\temp\993.exe');
 DeleteFile('c:\documents and settings\александра\local settings\temp\_uninst_.bat');
 DeleteFile('C:\WINDOWS\system32\bndmss.exe');
 DeleteFile('C:\Documents and Settings\Александра\Local Settings\Temp\_uninst_setup_9.0.0.722_04.08.2010_09-27.exe.bat');
 DeleteFileMask('C:\DOCUME~1\F942~1\LOCALS~1\Temp\', '*.*', true);
 DeleteFileMask('C:\Documents and Settings\Александра\Local Settings\Temp\', '*.*', true); 
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd','StartupPrograms');
 RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd','StartupPrograms');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится. Логи повторите!
Iljeben, что ж ты делаешь??? Твой скрипт неверен! И может ты догадываешься почему?

[Iljeben]

Сообщение от monte-kristo

Iljeben, что ж ты делаешь??? Твой скрипт неверен! И может ты догадываешься почему?

Пипец! monte-kristo, сколько раз тебе говорить, что скрипт составленный таким образом работает? Естественно, кроме случаев описанных тобой в личке. Ты сперва результаты работы скриптов поизучай, а потом рассуждай.

[Iljeben]

Сообщение от monte-kristo

После выполнения скрипта компьютер перезагрузится. Логи повторите!

hea, скачайте актуальную версию AVZ (4.35 у Вас 4.34) обновите базы. Потом повторяйте логи.

[hea]

Огромное спасибо вам!

monte-kristo, пока вроде работает)

Iljeben, сделала)

Мм ребята, можно пожалуйста вас еще напрячь и изъяснить, в чем состояла суть проблемы и как избежать ее в дальнейшем? У меня, например, нет файервола, знаю, я молодец)) Я реально без мозга себя оставила с этой дрянью. Просто не хочется, чтобы в дальнейшем такая гадость случалась

зы. Восстановление системы включать?

[Iljeben]

Сообщение от hea

Iljeben, сделала)

Где логи? Выполните в AVZ Стандартный скрипт N2 и пришлите архив virusinfo_syscheck.zip.

[hea]

Iljeben, virusinfo_syscheck

---------- Добавлено в 00:53 ---------- Предыдущее сообщение было написано в 00:36 ----------

да, погорячилась я. опять все зависло и инет вылетает, правда, не так часто((

[Iljeben]

hea, выполните в AVZ следующий скрипт (AVZ-Файл-Выполнить скрипт...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('PavTPK.sys');
 DeleteService('PavSRK.sys');
 DeleteFile('C:\WINDOWS\system32\PavSRK.sys');
 DeleteFile('C:\WINDOWS\system32\PavTPK.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта комп перезагрузиться. Выполните в AVZ Стандартный скрипт 3 и пришлите архив virusinfo_syscure.zip. Плюс новый лог hijackthis.

[hea]

hijackthis

virusinfo_syscure

[Iljeben]

hea, пофиксите в hijackthis:

R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: giulibP - {7EE302EE-420D-4195-A6D9-41B985F2655E} - (no file)

Вот такой лог выполните:

1. Скачайте установочный файл mbam-setup.exe
Здесь: http://www.besttechie.net/mbam/mbam-setup.exe
Или ссылка здесь: http://www.malwarebytes.org/mbam-download.php
2. Установите ее по стандартному пути с настройками по умолчанию.
3. Обновите базы программы!!!
4. Запустите полное сканирование. Ничего не удаляйте (много ложных срабатываний)!!!
5. По окончании сканирования будет сгенерирован лог.
6. Залейте его без переименования на файлообменник и ссыку выложите на форум.

[monte-kristo]

Iljeben,

DeleteFile('rdpclipC:\WINDOWS\system32\bndmss.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\487.exeC:\DOCUME~1 \F942~1\LOCALS~1\Temp\361.exeC:\DOCUME~1\F942~1\LO CALS~1\Temp\129.exeC:\DOCUME~1\F942~1\LOCALS~1\Tem p\666.exeC:\DOCUME~1\F942~1\LOCALS~1\Temp\499.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\677.exeC:\DOCUME~1 \F942~1\LOCALS~1\Temp\798.exeC:\DOCUME~1\F942~1\LO CALS~1\Temp\902.exeC:\DOCUME~1\F942~1\LOCALS~1\Tem p\121.exeC:\DOCUME~1\F942~1\LOCALS~1\Temp\793.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\779.exeC:\DOCUME~1 \F942~1\LOCALS~1\Temp\775.exeC:\DOCUME~1\F942~1\LO CALS~1\Temp\481.exeC:\DOCUME~1\F942~1\LOCALS~1\Tem p\312.exeC:\DOCUME~1\F942~1\LOCALS~1\Temp\448.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\333.exeC:\DOCUME~1 \F942~1\LOCALS~1\Temp\903.exeC:\DOCUME~1\F942~1\LO CALS~1\Temp\857.exeC:\DOCUME~1\F942~1\LOCALS~1\Tem p\783.exeC:\DOCUME~1\F942~1\LOCALS~1\Temp\911.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\642.exeC:\DOCUME~1 \F942~1\LOCALS~1\Temp\522.exeC:\DOCUME~1\F942~1\LO CALS~1\Temp\709.exeC:\DOCUME~1\F942~1\LOCALS~1\Tem p\966.exeC:\DOCUME~1\F942~1\LOCALS~1\Temp\160.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\964.exeC:\DOCUME~1 \F942~1\LOCALS~1\Temp\993.exeC:\DOCUME~1\F942~1\LO CALS~1\Temp\732.exeC:\DOCUME~1\F942~1\LOCALS~1\Tem p\484.exeC:\DOCUME~1\F942~1\LOCALS~1\Temp\824.exeC :\DOCUME~1\F942~1\LOCALS~1\Temp\614.exe');

что же по твоему удалится? Проверяй на своем ПК! Все вредоносные объекты под один! Ничего не удалится!!! Все останется! Приведенный случай в ЛС аналогичен!

[Iljeben]

monte-kristo, если висить на одной строке (в логе) как в нашем случае, то удалиться. А если насобирать файлы со всего лога, то нет (как в твоем примере по ЛС).
Если сам столкнешься с таким случаем, можешь проверить. Работает!!!

[hea]

я либо совсем отупела, либо папки Application data и всего ее содержимого нет. хотя адрес места логов поиск показывает. в общем я не могу открыть папку с логами и залить на файлообменник соответственно тоже. что делать?

[hea]

mbam-log-2010-09-12 (03-12-58)

в общем сохранила я лог в другую папку

[monte-kristo]

hea, лог чист! Что с проблемой?