Ошибка приложения svchost.exe, версия 5.1.2600.5512 модуль unknown

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

Ошибка приложения svchost.exe, версия 5.1.2600.5512 модуль unknown

Ошибка приложения svchost.exe, версия 5.1.2600.5512, модуль unknown, версия 0.0.0.0, адрес 0x6f8917c. Отключаетcя интернет соединение, проблему диагностировать не смог. После установки Game XP проблема не которое время не наблюдается, что странно, конечно. Также еще установил Security-preSP4-8.11.16. Проблема предположительно возникла, после запуска route bat файла списка ip адресов провайдера. Хотелось бы, если возможно диагностировать проблему. Так же не смог найти последнюю версию Kaspersky Virus Removal Tool, ссылки на страницу закачки не открывались, в гугле посмотрел 4 страницы не стал больше смотреть, и скачал Kaspersky Virus Removal Tool 7.0.0.242, поэтому прикрепил логи от Касперского и AVZ.

Angelofdeath, удалите Radmin, winpcap, Multi Password Recovery через установку/удаление программ
Avast также удалите полностью , т.к. могут быть конфликты с Avira
81.25.32.34,81.25.32.9 - ваши DNS сервера?
Скачайте ComboFix здесь или здесь и сохраните на рабочий стол.
Можете установить Recovery Console по инструкции - how-to-use-combofix, и http://support.microsoft.com/kb/310994 - скачайте установочный файл для своей ОС (напр. Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать также этот файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix, подтвердите лицензионное соглашение и установите Microsoft Recovery Console.
1. Внимание! Обязательно закройте все браузеры, закройте и отключите все антивирусное и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится запакуйте C:\ComboFix.txt и прикрепите к сообщению

Скачайте RSIT, сохраните на рабочий стол и запустите, когда закончится процесс сканирования, запакуйте файлы log.txt и info.txt и прикрепите архив.

Цитата:

Цитата Pili

81.25.32.34,81.25.32.9 - ваши DNS сервера? »

Да поскольку сервер не выдавал их автоматически прописал в свойствах локального подключения.

Не смог найти приложение winpcap.

Цитата:

Цитата Pili

Можете установить Recovery Console по инструкции - how-to-use-combofix, и http://support.microsoft.com/kb/310994 - скачайте установочный файл для своей ОС (напр. Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать также этот файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix, подтвердите лицензионное соглашение и установите Microsoft Recovery Console. »

Не смог установить через Combofix при перетаскивании просто опять сканирует систему, при установке по инструкции Recovery Console по инструкции - how-to-use-combofix, нет файла winnt в имеющихся у меня дистрибутивах, по инструкции описанной на сайте микросфт, не воможно поскольку у меня нет флопи дисковода.

Цитата:

Цитата Angelofdeath

Не смог найти приложение winpcap. »

Combofix вы видимо несколько раз запускали, при первом запуске NPF (NetGroup Packet Filter Driver) д.б. удалиться
c:\program files\Passcape - вроде д.б. от Passcape Outlook Password Recovery - удалите, если возможно, предварительно деинсталлируйте, CursorXP также можно деинсталлировать (м.б. проблемы, с совместимотью на windows XP3), Multi Password Recovery и Radmin удалили?
e:\program\KillCopy\kcresume.exe - проверьте на virustotal.com, результат сообщите.
Очистите временные файлы с помощью ATF Cleaner или через Пуск-Программы-Стандартные-Служебные-Очистка диска, удалите все *.tmp из папки c:\windows\
Сохраните реестр:
Скачайте ERUNT, установите и запустите, выберите папку для сохранения, в backup options должны бить отмечены галочками строчки "System registry" и "Current user registry", "Other open user registries" нажмите "Ok" и подтвердите создание папки.
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

File::

e:\program\Multi Password Recovery\mpr_freader.sys

Driver::

mpr_freader

Folder::

c:\program files\Passcape

e:\program\Multi Password Recovery

Registry::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8c8509f6-2997-11dd-950d-00161796901a}]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a8e17e9c-299d-11dd-9512-00161796901a}]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe. Когда сохранится новый отчет ComboFix, выложите C:\ComboFix.txt в сообщение, сделайте новые логи virusinfo_syscheck.zip и Hijackthis.

Непонятно, зачем вы фиксили когда-то эти строчки (из лога info.txt)

Цитата:

=====HijackThis Backups=====

O8 - Extra context menu item: Закачать при помощи Download Master - E:\Program\Download Master\dmie.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{B92FB2B8-3ADA-41C9-B43E-109CBE1C1439}: NameServer = 81.25.32.34,81.25.32.9
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O23 - Service: Смарт-карты (SCardSvr) - Корпорация Майкрософт - C:\windows\System32\SCardSvr.exe
O23 - Service: Служба COM записи компакт-дисков IMAPI (ImapiService) - Корпорация Майкрософт - C:\WINDOWS\system32\imapi.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O23 - Service: Журналы и оповещения производительности (SysmonLog) - Корпорация Майкрософт - C:\windows\system32\smlogsvc.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (Installation Support) - C:\Program Files\Yahoo!\Common\Yinsthelper.dll
O23 - Service: Журнал событий (Eventlog) - Корпорация Майкрософт - C:\windows\system32\services.exe
O23 - Service: PunkBuster (PnkBstrA) - Unknown owner - E:\Games\Need for Speed Undercover\PB\PnkBstrA.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe
O23 - Service: Теневое копирование тома (VSS) - Корпорация Майкрософт - C:\windows\System32\vssvc.exe
O9 - Extra button: Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - E:\Program\Download Master\dmaster.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B61F53A-9030-4793-ABBA-47E57E13212C}: NameServer = 81.25.32.34,81.25.32.9
O23 - Service: NetMeeting Remote Desktop Sharing (mnmsrvc) - Корпорация Майкрософт - C:\WINDOWS\system32\mnmsrvc.exe
O8 - Extra context menu item: Закачать ВСЕ при помощи Download Master - E:\Program\Download Master\dmieall.htm
O9 - Extra 'Tools' menuitem: &Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - E:\Program\Download Master\dmaster.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Ссылки
O23 - Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) - Корпорация Майкрософт - C:\WINDOWS\system32\sessmgr.exe
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O2 - BHO: IE 4.x-6.x BHO for Download Master - {9961627E-4059-41B4-8E0E-A7D6B3854ADF} - E:\Program\DOWNLO~1\dmiehlp.dll
O23 - Service: Адаптер производительности WMI (WmiApSrv) - Корпорация Майкрософт - C:\WINDOWS\system32\wbem\wmiapsrv.exe
O23 - Service: Plug and Play (PlugPlay) - Корпорация Майкрософт - C:\windows\system32\services.exe
O23 - Service: Radmin Server V3 (RServer3) - Famatech International Corp. - C:\WINDOWS\system32\rserver30\rserver3.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\windows\system32\NvCpl.dll,NvStartup
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://passport.webmoney.ru/

Строчки легитимные, а после фикса могли возникнуть большие проблемы, обычно после такого можно или переустанавливать систему, или вернуться на точку восстановления до первого Fix Checked или попытаться восстановить необходимые строчки, запустив HijackThis, далее View the list of backups > выбрать нужные строчки и нажать Restore.

Цитата:

Цитата Pili

Multi Password Recovery и Radmin удалили? »

да удалено.

Цитата:

Цитата Pili

e:\program\KillCopy\kcresume.exe - проверьте на virustotal.com, результат сообщите. »

http://www.virustotal.com/ru/analisi...f0fd50d0cce92a

Цитата:

Цитата Pili

предварительно деинсталлируйте, CursorXP »

, а это необходимо? Ошибок не заметил.

Цитата:

Цитата Angelofdeath

а это необходимо? Ошибок не заметил. »

Но название темы совсем другое, можете оставить, если уверены, что ошибка не связана с CursorXP
Проверьте ещё на virustotal.com

Цитата:

c:\windows\inf\dxe2k5.exe
c:\windows\meta4.exe
c:\windows\MOTA113.exe
c:\windows\iun6002.exe

Если окажутся чистыми, то в логах чисто.

Цитата:

Цитата Pili

c:\windows\inf\dxe2k5.exe »

- чисто

Цитата:

Цитата Pili

c:\windows\meta4.exe »

- 4/37

http://www.virustotal.com/ru/analisi...2b397604f2ecfa

Цитата:

Цитата Pili

c:\windows\MOTA113.exe »

5/37

http://www.virustotal.com/ru/analisi...164b498a12841b

Цитата:

Цитата Pili

c:\windows\iun6002.exe »

1/37

http://www.virustotal.com/ru/analisi...51016a0f22b453

Хотелось бы узнать на сколько результаты проверки, верны?

Что ж значит придется удалить CursorXP, хотя вроде как не должна влиять на систему.

Angelofdeath, везде детект эвристический, запросто возможен фолс (ложное срабатывание), отправьте подозрительные файлы в архиве с паролем virus на newvirus@kaspersky.com, в теле письма укажите пароль "virus", когда придет ответ, сообщите.

Пришел ответ. Вредоносный код в файлах не обнаружен.

Angelofdeath, значит чисто, по логам больше придраться не к чему.
Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u
Скачайте OTCleanIt, запустите, нажмите Clean up
Для предотвращения заражения, рекомендую не работать за компьютером с правами администратора, отключить неиспользуемые службы, отключить автозапуск со съемных носителей, не использовать Internet Explorer или отключить в нем ActiveX, пользоваться браузером Opera или Firefox c плагином NoScript и AdBlock Plus
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista" и следовать рекомендациям, описанным в этой книге.
Полезная информация (на англ. яз):
Malware_Prevention:_Prevent_Re-infection
Malware Removal and Prevention Overview