Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] svchost.exe -k netsvcs от имени пользователя (http://forum.oszone.net/showthread.php?t=208647)

name_ 10-06-2011 01:08 1691803
svchost.exe -k netsvcs от имени пользователя
 
Вложений: 3
svchost.exe -k netsvcs от имени пользователя
Это Фоновая интеллектуальная служба передачи (BITS).

Не работают Сбербанк-клиент и Internet Explorer 8. Они запускаются, что видно в ProcessExplorer, сразу дочерним процессом вызывают drwtsn32.exe. А там ошибка 0xc0000409.

Обновления, DrWeb LiveUSB -- все сделано.

SolarSpark 10-06-2011 09:15 1691884
Пофиксить в HijackThis следующие строчки:
Код:
        O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
AskToolbar рекомендую деинсталлировать.

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению."

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. http://data.mbamupdates.com/tools/mbam-rules.exe Загрузить обновление MBAM

name_ 10-06-2011 11:08 1691964
Так. Спасибо. Сейчас буду делать.

name_ 10-06-2011 12:13 1692009
Combofix при распаковке выдал ошибку NirSoft Cmd и открыл мне Mozilla Firefox на этой странице. Весело, правда? :)
Вот я и выбираю, закрыть браузер и переименовать Combofix или пусть работает дальше. Выберу второе.

To be continued...

При предпросмотре этого сообщения браузер закрылся. Combofix работал.

Кажется у него мигал курсор в консоли. Мышь я не трогал. Потом время стало 11:58 и так и оставалось. Курсор в консоли исчез. Совсем.

Подождав, я все же тронул мышь, пытаясь открыть браузер, найти текстовый файл Combofix или закрыть Combofix.
Combofix завис. Пришлось все же перезагрузить с кнопки.

name_ 10-06-2011 12:22 1692015
Вложений: 1
Файл C:\ComboFix.txt я не наблюдаю.

Зато есть такая папка Combofix.

name_ 10-06-2011 12:28 1692021
Цитата:
Примечание: Во время сканирования, программа может изменить настройки даты и времени на компьютере. После завершения, эти параметры будут восстановлены, поэтому нет оснований для беспокойства.
Прочел.

name_ 10-06-2011 13:13 1692044
Создал нового пользователя с правами администратора и паролем. Сбербанк-клиент и Internet Explorer работают в новом пользователе.
Сбербанк-клиент работает и с помощью "Запустить от имени...".

Сбербанк-клиент и Internet Explorer работали и в безопасном режиме.

name_ 10-06-2011 13:39 1692062
Svchost Viewer
Видно, что svchost.exe PID:2152 -- единственный не имеет запущенной им службы.





SvchostAnalyzer
svchost.exe ID 2152 -- единственный, у которого в колонке Group нет ничего.





NirSoft CurrPorts
svchost.exe Process ID 2152, запущенный от имени пользователя, использует библиотеку C:\WINDOWS\System32\wininet.dll.

name_ 10-06-2011 15:45 1692147
Вложений: 2
Логи RSIT.

SolarSpark 10-06-2011 16:17 1692169
Проверьте сами на http://www.virustotal.com файл

Код:
C:\WINDOWS\system32\vcsdel.dll
ссылку на результат запостите здесь

Отключите:
Антивирус/Файерволл

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

Код:
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\WINDOWS\system32\REN37A.tmp','');
 QuarantineFile('C:\WINDOWS\system32\REN379.tmp','');
 QuarantineFile('C:\WINDOWS\system32\REN378.tmp','');
 DeleteFile('C:\WINDOWS\system32\REN37A.tmp');
 DeleteFile('C:\WINDOWS\system32\REN379.tmp');
 DeleteFile('C:\WINDOWS\system32\REN378.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.


Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. http://data.mbamupdates.com/tools/mbam-rules.exe Загрузить обновление MBAM

и лог RSIT повторите

name_ 10-06-2011 17:10 1692205
C:\WINDOWS\system32\vcsdel.dll чистая.



Проверку c помощью Combofix спокойно сегодня не удалось сделать.

Очистил с помощью ATF-Cleaner.exe все, включая cookies Internet Explorer и Mozilla Firefox.

Удалил Ant Toolbar, MailGuard и Google Toolbar.

svchost.exe -k netsvcs от имени пользователя не появляется, даже после нескольких перезагрузок.

Сбербанк-Клиент и Internet Explorer по-обычному запускаются нормально.

С трудом заходит в сетевые папки, принтер печатает только в очередь
(Источник: MRxSmb
Перенаправитель не смог определить тип подключения.)
(хотя, может, это погода и прочее, прочее, прочее...).

Хотя
Цитата:
Источник: Service Control Manager
Служба "Network Protocol Driver" завершена из-за ошибки Не удается найти указанный файл.
мне не нравится.

SolarSpark 10-06-2011 17:25 1692212
а мне не нравится, что вы не выполняете рекомендации))
скрипт в AVZ выполнить, логи запрашиваемые предоставить

надеюсь, админские и операторские ключи от клиентбанка не храните на ПК?
отслеживайте ежедневно движение денег по счету и строго выполняйте инструкции автоматизаторов банкклиента

Drongo 10-06-2011 17:46 1692222
Цитата:
Цитата name_
Не работают Сбербанк-клиент и Internet Explorer 8. Они запускаются, что видно в ProcessExplorer, сразу дочерним процессом вызывают drwtsn32.exe. А там ошибка 0xc0000409. »
Цитата:
Цитата name_
Сбербанк-Клиент и Internet Explorer по-обычному запускаются нормально. »
Как я вижу проблема решена.

Если же вы считаете что, что-то не так, изложите ещё раз и не суетясь и не спеша.
Цитата:
Цитата name_
С трудом заходит в сетевые папки, принтер печатает только в очередь
(Источник: MRxSmb
Перенаправитель не смог определить тип подключения.)
(хотя, может, это погода и прочее, прочее, прочее...). »
Я не думаю, что это проблема в вирусах.

name_ 14-06-2011 15:53 1694291
Вложений: 1
Скрипт выполнен.

Цитата:
quarantine.zip

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского
Malwarebytes' Anti-Malware просканировать удалось полчаса.

SolarSpark 15-06-2011 07:48 1694679
что с проблемой?

name_ 15-06-2011 11:49 1694780
Все нормально.

Мне понравилось Ваше участие и совет удалять all the toolbars.
Я так тоже считаю.

Рано ли, поздно ли, скрипт, еще что-то.

В общем однажды svchost исчез. Хотя, возможно, в том числе потому, что я до этого удалил Google Toolbar.

В любом случае все стало хорошо при Вашем участии, SolarSpark, Drongo.

<center><strong>СПАСИБО</strong></center>

И да, я видел фото. Красиво.

SolarSpark 15-06-2011 12:25 1694803
Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"


Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

Создайте новую контрольную точку восстановления и очистите предыдущие:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner
  1. скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
  2. если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
  3. нажмите No, если вы хотите оставить ваши сохраненные пароли
  4. если вы используете Opera, нажмите Opera - Select All - Empty Selected
  5. нажмите No, если вы хотите оставить ваши сохраненные пароли

name_ 19-06-2011 20:34 1697721
Все сделал.

Цитата:
quarantine.zip

Вредоносный код в файле не обнаружен.
Все отлично. Спасибо.


Время: 22:14.

Время: 22:14.
© OSzone.net 2001-