[решено] Помогите, пожалуйста, избавиться от cmd.exe!

[Баяна]

Ситуация такая: после переустановки системы (Windows 7) первым делом я установила антивирус NOD32. Комп стал тормозить, диспетчер задач показал, что некий cmd.exe (Обработчик команд Windows) грузит процессор на 100%, помогает только отключение процесса.
Проверила на вирусы с помощью NOD32 (он их нашел и удалил), затем CureIt (ничего больше не нашел), и AVZ (только подозрительные файлы).
cmd.exe как запускался, так и запускается.
Как от него можно избавиться?

Сведения о системе и логи (по вашей инструкции):

[alex_sev]

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

[Баяна]

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. »

Спасибо, эта штука обнаружила и вроде как удалила 3 вируса!
Но, после перезагрузки cmd.exe на месте ...
Что дальше?

Лог:

[iskander-k]

Как от него можно избавиться? »
В первую очередь не пользоваться активаторами !!!

...добавляет hale.exe, которая в свою очередь запускает cmd.exe под которой запускаются еще...

А пользоваться легальными версиями ОС. Тогда не получите комплект с "партизанами"-зловредами.



сделайте логи

•Скачайте ComboFix (http://subs.geekstogo.com/ComboFix.exe) или здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe.

и лог

Загрузите GMER по одной из указанных ссылок
Gmer со случайным именем (рекомендуется) (http://www.gmer.net/download.php), Gmer в zip-архиве (перед применением распаковать в отдельную папку) (http://www.gmer.net/gmer.zip)
Запустите программу (пользователям Vista и Windows7 запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
Sections
IAT/EAT
Show all
Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

[Баяна]

В первую очередь не пользоваться активаторами !!!
Цитата:
...добавляет hale.exe, которая в свою очередь запускает cmd.exe под которой запускаются еще...
А пользоваться легальными версиями ОС. Тогда не получите комплект с "партизанами"-зловредами. »

Какими активаторами?
Сын ставил семерку, сказал лицензионная...
Похоже, что вирусы были в архиве данных, который закачали после установки системы, а имеющиеся антивирусы их не нашли.

Кто "добавляет "hale.exe" не поняла - ? что за цитата?

логи:

[iskander-k]

Кто "добавляет "hale.exe" не поняла - ? что за цитата? »
У вас в логе
O4 - HKLM\..\Run: [Chew7Hale] "C:\Windows\System32\hale.exe" /nolog
Какими активаторами?
Сын ставил семерку, сказал лицензионная... »
:)
это от активатора...
смотрю логи..


выполните

• Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html).

KillAll::

File::
c:\windows\system32\hale.exe
Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Chew7Hale"=-
FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчёт ComboFix, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

и новый лог hijackthis тоже сделайте.

Что с проблемой ?

[Баяна]

После второго прогона ComboFix cmd.exe исчез! Здорово!
логи:

[Баяна]

это от активатора...
смотрю логи.. »

Хм, действительно, уже после первого прогона ComboFix при загрузке системы стало появляться сообщение, что "Ключ продукта ... не подходит для активации". Пока что закрываю его и дальше все загружается.

А что дальше будет? И что с этим сделать можно?

[alex_sev]

Дальше будет то что через 30 дней ваша Windows перестанет работать по причине ее нелицензионности.

Зовите сына опять, но нам на cmd.exe не жалуйтесь.

Либо покупайте лицензионную копию Windows

[iskander-k]

А что дальше будет? И что с этим сделать можно? »
есть несколько способов - два из них легитимные.
Одно купить лицензионное ПО.
Второй способ - продлевать триальный период.

Другие способы как и ваш незаконны.


Сейчас вам нужно удалить утилиту комбофикс.


• Для деинсталяции ComboFix с компьютера необходимо выполнить:
Нажать Пуск затем Выполнить в окне наберите команду Combofix /u (обязательно нужен пробел между х и /), нажмите кнопку "ОК"



Или скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe), зеркало OTCleanIt (http://virusnet.info/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up.

[Баяна]

• Для деинсталяции ComboFix с компьютера необходимо выполнить:
Нажать Пуск затем Выполнить в окне наберите команду Combofix /u (обязательно нужен пробел между х и /), нажмите кнопку "ОК" »

Сделала, запустилось сканирование с выведением отчета (то же, что и в прошлые разы), иконка ComboFix осталась на рабочем столе.
что-то непохоже, что утилита удалилась.

А после OTCleanIt иконка исчезла. Это все, что надо было сделать?

И еще. В отчете есть такая строка и при сканировании ComboFix ее выдавал:
"c:\windows\System32\slui.exe . . . is infected!!"
Это что, в системе вирус остался?

[iskander-k]

"c:\windows\System32\slui.exe . . . is infected!!"
Это что, в системе вирус остался? »
Файл изменен активатором.