[решено] Virus ?

[exo]

Win XP pro в домене.
Пользователь лазил в инете, вдруг начали закрываться все окна, комп ушёл в перезгрузку.
Включился. Вели логин и пароль для входа в систему. После того как все параметры применются, минут 3-5 ждём пока догрузится всё до рабочего стола. В сейф моде - всё ок грузится.
Проверил Нодом = 0, Каспером - 3 вируса: два удалил, а третий windows\system32\baseboaqo32.dll не удаляется и не лечится.
Загрузился в сейф моде - переместил этот DLL в другое место после этого Винда постоянно ребутится. Вернул на место этот DLL. Винда загрузилась.
Дальше. Открывая диспетчер задач: процессор загружен процессом SVCHOST.EXE 100%.
Удалил это процесс, загрузка процессора упала до стандртных 2-3%.
В сейф моде тоже процесс есть процессор на 100%.
Проверил с помощью AVZ. = 0.
Пожалуйста, помогите решить проблему.

[yurfed]

exo, Логи выложи по правилам форума http://forum.oszone.net/thread-98169.html
Да и тема не там оказалась.

[Petya V4sechkin]

а третий windows\system32\baseboaqo32.dll не удаляется и не лечится.
Офигеть, это что, эпидемия такая?
Буквально вчера было (http://forum.oszone.net/showpost.php?p=788115)

[exo]

Офигеть, это что, эпидемия такая?
Буквально вчера было »
Это помогло!!! теперь процесор не загружен.
Скажите, теперь могу я удалить baseboaqo32.dll ?
Petya V4sechkin, :clapping:

[Pili]

Petya V4sechkin, эпидемия, а по ссылке CurrentControlSet там все надо просматривать и менять
exo, не надо удалять, выложите логи, проверку антивирусами можете пропустить и начните сразу с п. 3.1 правил (http://forum.oszone.net/thread-98169.html) или п.2 кратких правил (если уже проверялись с помощью AVZ, можете выложить лог virusinfo_syscure.zip из папки AVZ\Log)

[PavelA_VI]

Описание малваре:
http://www.bluetack.co.uk/forums/index.php?showtopic=18091

@exo Версия AVZ для лечения этого добра д.б. 4.30

Предупреждение тем, кто будет лечить: удалять через DeleteFile нельзя!

[exo]

Предупреждение тем, кто будет лечить: удалять через DeleteFile нельзя »
да я диск монтирую к линуху, и там сношу файло... shred name_file

[rubin-vinfo]

Файл удалять просто так нельзя...
Нужно реестр править

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\Windows

оригинальный ключ

%SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=1

[Pili]

rubin-vinfo, недокопировал :)
в конце д.б. MaxRequestThreads=16
но это уже было по ссылке пост 3 от Petya V4sechkin
exo, где логи?

[rubin-vinfo]

Бывает, ошибся...

[exo]

exo, где логи? »
сорри. Буквально вчера было »
помогло сразу. теперь пользуюсь очень часто. бывает иногда на разных компах.