Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Generic Host Process for Win32 Services и подозрение на вирусы (http://forum.oszone.net/showthread.php?t=165907)

pika 01-02-2010 21:10 1336302
Generic Host Process for Win32 Services и подозрение на вирусы
 
Вложений: 3
Сообщение Generic Host Process for Win32 Services выскакивает спустя минут 10 после подключения к интернету, независимо от броузера (Опера, Мазила ФайерФокс). Пробовал переустанавливать Net Framework v.2 -не помогло ( до переустановки удалял Net Framework с помощью штатного средства Виндоус XP "Установка и удаление программ", затем запускал специальную утилиту для удаления Net Framework). На Виндоусе установлен 2-ой Сервис Пак, а третий устанавливать опасаюсь, так как у меня на компе уйма программ для видеомонтажа и обработки картинок, и я слышал, что этот 3-ий Пак с какими-то программами не уживается. Антивирус и файрвол установлен Авира, он регулярно, по нескольку раз в день вылавливает одни и те же вирусы, в одних и тех же местах. Этой Авирой делал полную проверку системы, потом запускал в безопасном режиме сканер Доктор Веб -он после Авиры никаких вирусов не обнаружил. Но стоило только подключиться к Интернету, как Авира тут же стал отлавливать те же самые вирусы.
Прилагаю логи результатов проверки avz -скрипты 2 и 3, и лог сканирования hijackthis. Высылаю логи повторно - в соответствии с указаниями, полученными от iskander-k, который сообщил, что надо было прислать другие логи. Мне почему-то кажется, что я и в первый раз посылал те логи, которые требовались в соответствии с "Краткими правилами по запросу помощи в лечении", но тем не менее я все три нужных файла логов сделал повторно.

iskander-k 01-02-2010 21:19 1336309
Вы дали не те логи АВЗ. Внимательно смотрите правила.

iskander-k 02-02-2010 17:07 1337082
pika, В папке LOG ( из директории где запускаете АВЗ ) берёте эти файлы virusinfo_syscure.zip, virusinfo_syscheck.zip

pika 02-02-2010 20:00 1337206
iskander-k, простите, а что с этими файлами нужно сделать? (virusinfo_syscure.zip, virusinfo_syscheck.zip)

iskander-k 02-02-2010 20:13 1337223
Цитата:
Цитата pika
iskander-k, простите, а что с этими файлами нужно сделать? (virusinfo_syscure.zip, virusinfo_syscheck.zip) »
Присоедините к сообщению. И мы их проверим.

pika 02-02-2010 21:10 1337273
Я тут кое-что предпринял и вроде бы тьфу-тьфу улеглось...
Сделал следующее. Просканировал все антивирусами, удалил 2-ой Нет Фреймворк, поставил 3-ий. Установил Комодо Файрвол, в котором запретил подключение к ин-ту Дженерика и еще всякой всячины.
Два часа в ин-те провел -бяка до сих пор не выскакивала ни разу, а до этого появлялась через 10 минут после подключения к WWW.
Спасибо за понимание, терпение и т.п. Успехов.

iskander-k 02-02-2010 21:15 1337280
Процесс Generic Host Process for Win32 Services используют многие программы для работы и в том числе и для работы в интернете.

pika 02-02-2010 22:58 1337395
Вложений: 1
Ув. iskander-k, все-таки на душе после вирусов и установки 3-ей версии Нет Фреймворка, как-то все равно не спокойно, поэтому все же решил отправить вам нужные файлы, напомню тему и ее общее описание: "Generic Host Process for Win32 Services и подозрение на вирусы"

Сообщение Generic Host Process for Win32 Services выскакивает спустя минут 10 после подключения к интернету, независимо от броузера (Опера, Мазила ФайерФокс). Пробовал переустанавливать Net Framework v.2 -не помогло ( до переустановки удалял Net Framework с помощью штатного средства Виндоус XP "Установка и удаление программ", затем запускал специальную утилиту для удаления Net Framework). На Виндоусе установлен 2-ой Сервис Пак, а третий устанавливать опасаюсь, так как у меня на компе уйма программ для видеомонтажа и обработки картинок, и я слышал, что этот 3-ий Пак с какими-то программами не уживается. Антивирус и файрвол установлен Авира, он регулярно, по нескольку раз в день вылавливает одни и те же вирусы, в одних и тех же местах. Этой Авирой делал полную проверку системы, потом запускал в безопасном режиме сканер Доктор Веб -он после Авиры никаких вирусов не обнаружил. Но стоило только подключиться к Интернету, как Авира тут же стал отлавливать те же самые вирусы, а объявление о Дженерике вообще задолбала.
Далее, удалил специальной утилитой 2-ой Нет Фреймворк и установил 3-ий. Удалил несколько глючных программ. Установил Комодо файервол и установил в нем запрет на подключенье Дженерика к интернету, а также и еще каких-то непонятных программ, желавших подключиться к ин-ту. Просидел в интернете часа два, сообщение об ошибке Дженерика ни разу не вылетало.

sanek_freeman 03-02-2010 09:07 1337617
  1. Отключите интернет и локальную сеть если таковая имеется.
  2. Очистите временные файлы.
    Очистите временные файлы через Пуск - Программы - Стандартные - Служебные - Очистка диска или с помощью ATF Cleaner.
    • Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
    • Если вы используете Firefox, нажмите Firefox - Select All - Empty Selected.
    • Нажмите No, если вы хотите оставить ваши сохраненные пароли.
    • Если вы используете Opera, нажмите Opera - Select All - Empty Selected.
    • Нажмите No, если вы хотите оставить ваши сохраненные пароли.
  3. Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
    • Создание новой точки восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
    • Очистка всех предыдущих точек восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Очистка диска, выберите системный диск, на вкладке Дополнительно > Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.

* Подробнее можно прочитать в этой теме.

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\56.scr','');
 QuarantineFile('C:\WINDOWS\system32\26.scr','');
 QuarantineFile('C:\WINDOWS\system32\06.scr','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-5928609504-9443850535-738754740-9276\msdrive.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\TEMP\AVSCAN-20100128-081317-3815DCFA\ARK27E.tmp','');
 QuarantineFile('J:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\msdrv32.exe','');
 DeleteFile('C:\WINDOWS\system32\06.scr');
 DeleteFile('C:\WINDOWS\system32\26.scr');
 DeleteFile('C:\WINDOWS\system32\56.scr');
 DeleteFile('C:\RECYCLER\S-1-5-21-5928609504-9443850535-738754740-9276\msdrive.exe');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Avira\AntiVir  Desktop\TEMP\AVSCAN-20100128-081317-3815DCFA\ARK27E.tmp');
 DeleteFile('J:\autorun.inf');
 DeleteFile('C:\WINDOWS\msdrv32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'TaskMan');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После всех процедур выполните скрипт
Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com. Результаты ответа, сообщите здесь, в теме.

Похоже, что у вас Кидо. После выполнения скрипта обязательно сделайте лог Gmer:

• Cкачайте Gmer или с зеркала. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.

iskander-k 03-02-2010 09:12 1337620
+ к сказанному sanek_freeman, • Скачайте Malwarebytes Anti-Malware, установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

pika 11-02-2010 17:55 1344852
Вложений: 1
Добрый день. Тщательно выполнял полученные инструкции пока не дошла очередь до Gmer. Запустил программу, она секунд 15 проверяла шустро, потом стала притормаживать и вскоре скорость упала почти до нуля. К концу четвертых суток Gmer все еще проверяла реестр, с такими темпами на полную проверку компьютера могли бы уйти годы, но к исходу четвертых суток произошел сбой напряжения в сети, и таким образом результаты сканирования остались неизвестны. На следующий день рискнул снова запустить эту Gmer. На этот раз она роботала пошустрее, и за ночь реестр осилила, и тут мне захотелось щелкнуть на вкладке "отчет". Gmer впала в кому, при этом указатель мыши превратился в песочные часы. Прождал целый час, но из ступора Gmer так и не вышла. Пришлось перезагрузить комп принудительно. После этого решил сделать проверку на вирусы не так, как рекомендовано было в инструкции. Скачал Malwarebytes Anti-Malware и менее чем за 2 часа она обнаружила множество вредных обитателей компа, причем на системном жестком диске их было немного, а большая часть - на диске, где, в основном, храню данные. Все что Malwarebytes Anti-Malware нашла я тупо удалил, не вникая, может так поступать и не стоило, но ничего с собой поделать не смог, воющем, взял и удалил. Логи высылаю. Затем удалил временные файлы, создал новую точку восстановления системы, удалил все предыдущие точки, выполнил рекомендованные вами скрипты, полученный файл quarantine.zip отправил Касперскому на анализ. И наконец, решил запустить Gmer в третий раз. Удивительное дело, он начал проверять так быстро, что аж в глазах зарябило. Через три часа он продвинулся гораздо дальше, чем в двух предыдущих попытках, но потом комп по неизвестной мне причине сам собой перезагрузился, так что результаты сканирования остались неизвестны, а в четвертый раз запускать Gmer уже не хочется -уже столько времени на него потратил рабочего, хотя может быть запущу сегодня ночь, вдруг повезет и процесс дойдет до логического завершения.

sanek_freeman 12-02-2010 09:35 1345221
pika, лог Gmer очень нужен. Постарайтесь его все таки сделать.

thyrex 12-02-2010 12:43 1345364
Цитата:
Цитата sanek_freeman
pika, лог Gmer очень нужен. Постарайтесь его все таки сделать. »
Если не будет получаться в нормальном режиме, пробуйте в безопасном

pika 13-02-2010 06:04 1345966
Вложений: 1
Здравствуйте. Ну, вроде бы сделал лог Гмера. Сканирование продолжалось сутки, потом появилось сообщение о том, что есть руткиты. Я щелкнул на этом сообщении на кнопке ок, оно закрылось. Уже зная, что это программа несколько тормознутая, я подождал минут пять -на случай, если вдруг еще появится какое-нибудь сообщение или вдруг этим сообщением сканирование не закончилось, но ничего не произошло, тогда я нажал кнопку "сохранить". Чтобы сохранить лог Гмеру понадобилось минут 7-10, после этого я закрыл Гмер и решил взглянуть на лог, при щелчке на файле лога компьютер впал в ступор. Попытался открыть диспетчер задач, чтоб понять какая программа так напряглась, но диспетчер после запуска только успел показать, что процессор загружен на 100% и тоже впал в анабиоз. Я почему-то подумал, что Гмер на самом деле не смотря на то, что я ее закрыл, все еще каким-то образом продолжает работать (вдруг она ни слова мне не говоря вступила в борьбу с руткитами?), поэтому принудительно перезагружать комп не стал, а сам лег спать. К утру комп все еще пребывал в ступоре, поэтому я решил, что хватить ему прикидываться идиотом и перезагрузил его. Лог прикрепляю, надеюсь это то, что вам нужно, и что он стоил того, чтоб потратить на его изготовление столько времени.

thyrex 13-02-2010 11:09 1346046
Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe (gmer)
Код:
gmer.exe -del service citjj
gmer.exe -del service lzkwhsp
gmer.exe -del service nnhvrp
gmer.exe -del service rthbkuml
gmer.exe -del service uprzljtfr
gmer.exe -del file "C:\WINDOWS\system32\uqdnrkps.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\citjj"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\lzkwhsp"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\nnhvrp"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rthbkuml"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\uprzljtfr"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\citjj"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\lzkwhsp"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\nnhvrp"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rthbkuml"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\uprzljtfr"
gmer.exe -reboot
И запустите cleanup.bat.
Компьютер перезагрузится!

Сделать новый лог gmer.

pika 14-02-2010 11:03 1346728
Вложений: 1
cleanup.bat, как вы рекомендовали запустил, он поработал, при этом появлялись строчки, извещающие о том, что какие-то файлы не найдены. Затем запустил Гмер, которая в соответствии с доброй традицией, часа через три после начала сканирования впала в глубокий ступор. После принудительной перезагрузки компьютера и повторного запуска Гмер долгое время все шло хорошо, но ближе к вечеру комп самопроизвольно перезагрузился. Честно говоря, я уже от этих неожиданностей малость охренел. В третий раз запустил Гмер в безопасном режиме. Гмер полетела как угорелая. Только в этот раз я уже сам оплошал -забыл отметить для проверки все имеющиеся диски, поэтому проснувшись сегодня утром увидел, что Гмер добросовестно проверила диск С, а другие диски остались непроверенными. К четвертому запуску Гмер я пока психологически не готов. А может итак сойдет, т.е. достаточно будет одного диска С? ведь на других дисках вроде бы все нормально. Высылаю лог. Неужели скоро все закончится? Я уже начал подумывать, не лучше ли было заново переустановить систему?

sanek_freeman 14-02-2010 18:34 1347001
pika, по логу Gmer - чисто. Как обстоят дела с проблемой?

pika 15-02-2010 06:37 1347352
Сообщение "Generic Host Process for Win32 Services ..." уже не выскакивает. Это внушает мне чувство глубокого морального удовлетворения. И благодарности вам за терпение и советы. Значит, проблема решена? Не надо ли чего-нибудь предпринять, чтобы впредь не случалось чего-то подобного? Да, и последний вопрос. Когда обрабатывал комп с помощью Malwarebytes' Anti-Malware и затем удалил все зараженные файлы, - это не отразится на состоянии системы, не понадобятся ли ей когда-нибудь те удаленные файлы, ведь они для чего-то же были нужны?

sanek_freeman 15-02-2010 10:51 1347444
Цитата:
Цитата pika
Значит, проблема решена? »
Ну раз проблем нет, значит решена :)
Цитата:
Цитата pika
Не надо ли чего-нибудь предпринять, чтобы впредь не случалось чего-то подобного? »
Надо. Необходимо закрыть уязвимости, установив обновления:
MS08-067
MS08-068
MS09-001
Цитата:
Цитата pika
Когда обрабатывал комп с помощью Malwarebytes' Anti-Malware и затем удалил все зараженные файлы, - это не отразится на состоянии системы, не понадобятся ли ей когда-нибудь те удаленные файлы, ведь они для чего-то же были нужны? »
Нет, МВАМ удалил у вас только вирусы ;)

pika 15-02-2010 15:16 1347623
Ура!! Спасибочки! Свободен, наконец! Свободен, наконец! Спасибо, Всемогущий Господи, что я свободен, наконец!


Время: 10:49.

Время: 10:49.
© OSzone.net 2001-