Добър Вечер HJT.    От няколко дена системата сече, забива дори ми прекъсва интернета. Диск с Windows нямам. Постоянно се създават файлове от рода на:

amrys.exedcgcjnmk.exencerucdp.exeoieimivi.exetuke.exearxurqp.exe

Всички тези файлове се създават в папката System32.

Company Name на файловете (Neowise).

В Task Manager също има странен процес: fqcqbdp.exe   

 

Благодаря предварително 

 

DDS

DDS (Ver_2012-11-20.01) - NTFS_x86 Internet Explorer: 8.0.6001.18702  BrowserJavaVersion: 10.25.2Run by user 1 at 1:17:54 on 2013-08-10Microsoft Windows XP Professional  5.1.2600.3.1251.1.1033.18.2037.1414 [GMT 3:00].AV: ESET NOD32 Antivirus 4.0 *Enabled/Updated* {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}.============== Running Processes ================.C:WINDOWSExplorer.EXEC:WINDOWSsystem32spoolsv.exeC:Program FilesSUPERAntiSpywareSASCORE.EXEC:Program FilesESETESET NOD32 Antivirusekrn.exeC:Program FilesCommon FilesMicrosoft SharedVS7DEBUGMDM.EXEC:WINDOWSsystem32wuauclt.exeC:WINDOWSSystem32alg.exeC:WINDOWSsystem32wbemwmiprvse.exeC:Documents and SettingsNetworkServiceLocal SettingsApplication Datafqcqbdp.exeC:WINDOWSRTHDCPL.EXEC:Program FilesESETESET NOD32 Antivirusegui.exeC:WINDOWSsystem32ctfmon.exeC:Program FilesSkypePhoneSkype.exeC:Program FilesuTorrentuTorrent.exeC:WINDOWSsystem32wuauclt.exeC:WINDOWSSystem32svchost.exe -k netsvcsC:WINDOWSsystem32svchost.exe -k WudfServiceGroupC:WINDOWSsystem32svchost.exe -k NetworkServiceC:WINDOWSsystem32svchost.exe -k LocalServiceC:WINDOWSsystem32svchost.exe -k LocalService.============== Pseudo HJT Report ===============.uStart Page = about:blankmStart Page = about:blankmWinlogon: Shell = explorer.exe,BHO: Java(tm) Plug-In SSV Helper: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - c:program filesjavajre7binssv.dllBHO: Skype Browser Helper: {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - BHO: Java(tm) Plug-In 2 SSV Helper: {DBC80044-A445-435b-BC74-9C25C1C588A9} - c:program filesjavajre7binjp2ssv.dlluRun: [CTFMON.EXE] c:windowssystem32ctfmon.exeuRun: [Skype] "c:program filesskypephoneSkype.exe" /minimized /regrunuRun: [uTorrent] "c:program filesutorrentuTorrent.exe"mRun: [IgfxTray] c:windowssystem32igfxtray.exemRun: [HotKeysCmds] c:windowssystem32hkcmd.exemRun: [Persistence] c:windowssystem32igfxpers.exemRun: [RTHDCPL] RTHDCPL.EXEmRun: [egui] "c:program fileseseteset nod32 antivirusegui.exe" /hide /waitservicedRun: [CTFMON.EXE] c:windowssystem32CTFMON.EXEuExplorerRun: [Microsoft] c:documents and settingsuser 1application dataifthhrgtheebbher.exeuPolicies-Explorer: NoDriveTypeAutoRun = dword:255mPolicies-Explorer: NoDriveTypeAutoRun = dword:255mPolicies-Explorer: NoDriveTypeAutoRun = dword:145IE: E&xport to Microsoft Excel - c:progra~1micros~3office11EXCEL.EXE/3000IE: {92780B25-18CC-41C8-B9BE-3C9C571A8263} - {FF059E31-CC5A-4E2E-BF3B-96E929D65503}IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%Network Diagnosticxpnetdiag.exeIE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:program filesmessengermsmsgs.exeTCP: Interfaces{5209ADAD-71B7-4973-A9AB-128863D756C4} : NameServer = 11.2.90.1,11.1.1.1Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - c:program filescommon filesskypeSkype4COM.dllNotify: igfxcui - igfxdev.dllSSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:windowssystem32wpdshserviceobj.dllSEH: SABShellExecuteHook Class - {5AE067D3-9AFB-48E0-853A-EBB7F4A000DA} - c:program filessuperantispywareSASSEH.DLL.============= SERVICES / DRIVERS ===============.R0 MxEFUF;Matrox Extio Upper Function Filter;c:windowssystem32driversMxEFUF32.sys [2013-8-1 102728]R1 ehdrv;ehdrv;c:windowssystem32driversehdrv.sys [2009-5-12 107256]R1 epfwtdir;epfwtdir;c:windowssystem32driversepfwtdir.sys [2009-5-12 94360]R1 SASDIFSV;SASDIFSV;c:program filessuperantispywaresasdifsv.sys [2011-7-22 12880]R1 SASKUTIL;SASKUTIL;c:program filessuperantispywareSASKUTIL.SYS [2011-7-13 67664]R2 !SASCORE;SAS Core Service;c:program filessuperantispywareSASCore.exe [2013-5-23 119056]R2 ekrn;ESET Service;c:program fileseseteset nod32 antivirusekrn.exe [2009-5-12 731840]R3 analog;analog;c:windowssystem32driversanalog.sys [2013-8-1 11264]R3 iegdmini;iegdmini;c:windowssystem32driversiegdmini.sys [2013-8-1 1677440]R3 ip100Awin7;IC Plus IP100A 10/100 Fast Ethernet Adapter NT Driver;c:windowssystem32driversipfnd51.sys [2013-7-25 31232]R3 lvds;lvds;c:windowssystem32driverslvds.sys [2013-8-1 10496]R3 sdvo;sdvo;c:windowssystem32driverssdvo.sys [2013-8-1 38784]R3 tv;tv;c:windowssystem32driverstv.sys [2013-8-1 36864]S3 Ambfilt;Ambfilt;c:windowssystem32driversAmbfilt.sys [2013-7-21 1691480]S3 ip100xp;TP-LINK TF-3200 10/100 Fast Ethernet Adapter NT Driver;c:windowssystem32driversipfnd51.sys [2013-7-25 31232]S3 MBAMSwissArmy;MBAMSwissArmy;c:windowssystem32driversmbamswissarmy.sys [2013-8-10 40776]S3 NPF;WinPcap Packet Driver (NPF);c:windowssystem32driversnpf.sys [2013-8-1 50704]S3 teamviewervpn;TeamViewer VPN Adapter;c:windowssystem32driversteamviewervpn.sys [2013-7-22 25088]S3 uji4ndk0;AVZ-SG Kernel Driver;??c:windowssystem32driversuji4ndk0.sys --> c:windowssystem32driversuji4ndk0.sys [?]S3 uti4ndk0;AVZ Kernel Driver;c:windowssystem32driversuti4ndk0.sys [2013-8-9 7168]S4 Skype C2C Service;Skype C2C Service;c:documents and settingsall usersapplication dataskypetoolbarsskype c2c servicec2c_service.exe [2013-5-14 3289208]S4 SkypeUpdate;Skype Updater;c:program filesskypeupdaterUpdater.exe [2013-6-21 162408]S4 TeamViewer8;TeamViewer 8;c:program filesteamviewerversion8TeamViewer_Service.exe [2013-7-22 4153184].=============== Created Last 30 ================.2013-08-09 22:16:15 63380 ----a-w- c:windowssystem32tsaa.exe2013-08-09 22:16:15 205808 ----a-w- c:windowssystem32nmjjcuq.exe2013-08-09 22:13:20 63380 ----a-w- c:windowssystem32wywixyh.exe2013-08-09 22:13:20 205808 ----a-w- c:windowssystem32afngjp.exe2013-08-09 22:03:12 40776 ----a-w- c:windowssystem32driversmbamswissarmy.sys2013-08-09 21:54:42 63380 ----a-w- c:windowssystem32hffd.exe2013-08-09 21:54:42 205808 ----a-w- c:windowssystem32nngxbaac.exe2013-08-09 21:52:01 205808 ----a-w- c:windowssystem32aohzpaue.exe2013-08-09 20:58:58 7168 ----a-w- c:windowssystem32driversuti4ndk0.sys2013-08-08 03:31:01 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataWSHelper2013-08-07 18:06:54 22856 ----a-w- c:windowssystem32driversmbam.sys2013-08-07 18:06:54 -------- d-----w- c:program filesMalwarebytes' Anti-Malware2013-08-07 17:24:51 -------- d-sh--w- c:program filescommon filesSteam Client02013-08-06 10:55:52 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataNVIDIA Corporation2013-08-06 10:00:22 -------- d-----w- c:documents and settingsuser 1application dataSUPERAntiSpyware.com2013-08-06 10:00:16 -------- d-----w- c:program filesSUPERAntiSpyware2013-08-06 09:55:39 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataESET2013-08-06 09:55:34 -------- d-----w- c:documents and settingsall usersapplication dataSUPERAntiSpyware.com2013-08-05 22:28:03 -------- d-----w- c:program filesWonderFox Soft2013-08-05 22:15:28 -------- d-----w- c:documents and settingsall usersapplication dataxml_param2013-08-05 22:14:35 -------- d-----w- c:documents and settingsuser 1Videos2013-08-05 22:13:55 -------- d-----w- c:documents and settingsall usersapplication dataWondershare Player2013-08-05 22:13:44 -------- d-----w- c:program filescommon filesWondershare2013-08-05 22:13:15 -------- d-----w- c:documents and settingsall usersapplication dataWondershare Video Converter Pro2013-08-05 21:44:25 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataAdobe2013-08-05 21:42:12 71048 ----a-w- c:windowssystem32FlashPlayerCPLApp.cpl2013-08-05 21:42:12 692104 ----a-w- c:windowssystem32FlashPlayerApp.exe2013-08-05 19:33:01 -------- d-----w- c:program filesESET2013-08-03 14:10:19 -------- d-----w- c:documents and settingsuser 1Doctor Web2013-08-03 12:57:55 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataDeployment2013-08-03 12:50:05 -------- d-----w- c:documents and settingsall usersapplication dataMalwarebytes' Anti-Malware (portable)2013-08-03 12:44:55 -------- d-----w- c:windowspss2013-08-03 12:36:17 -------- d-----w- c:documents and settingsuser 1application dataMalwarebytes2013-08-03 12:35:18 -------- d-----w- c:documents and settingsall usersapplication dataMalwarebytes2013-08-03 11:55:30 -------- d-----w- c:windowsERUNT2013-08-03 11:53:04 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataHelp2013-08-02 23:29:10 -------- d-----w- c:windowssystem32appmgmt2013-08-02 11:54:40 -------- d-----w- c:program filesSigmatel2013-08-02 11:54:32 273296 ----a-w- c:windowssystem32driversSTAC97.sys2013-08-02 11:54:32 102912 ----a-w- c:windowssystem32staco.dll2013-08-02 02:00:53 -------- d-----w- c:windowsCS 1.6 COOL EDiTiON2013-08-01 12:56:57 -------- d-----w- c:program filesPANDORA.TV2013-08-01 12:56:03 50704 ----a-w- c:windowssystem32driversnpf.sys2013-08-01 12:56:03 281104 ----a-w- c:windowssystem32wpcap.dll2013-08-01 12:56:03 100880 ----a-w- c:windowssystem32Packet.dll2013-08-01 00:38:56 102728 ----a-w- c:windowssystem32driversMxEFUF32.sys2013-08-01 00:09:59 401792 ----a-w- c:windowssystem32iegd3dg3.dll2013-08-01 00:09:59 38784 ----a-w- c:windowssystem32driverssdvo.sys2013-08-01 00:09:59 36864 ----a-w- c:windowssystem32driverstv.sys2013-08-01 00:09:59 1677440 ----a-w- c:windowssystem32driversiegdmini.sys2013-08-01 00:09:59 11264 ----a-w- c:windowssystem32driversanalog.sys2013-08-01 00:09:58 403328 ----a-w- c:windowssystem32iegddis.dll2013-08-01 00:09:58 10496 ----a-w- c:windowssystem32driverslvds.sys2013-07-31 23:55:07 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataInnovative Solutions2013-07-31 23:54:59 -------- d-----w- c:program filesInnovative Solutions2013-07-31 13:50:29 -------- d-----w- c:documents and settingsuser 1application datavloader-bg2013-07-31 13:49:57 -------- d-----w- c:program filesvloader-bg2013-07-26 21:23:58 -------- d-----w- c:documents and settingsuser 1application dataBANDISOFT2013-07-26 21:21:52 -------- d-----w- c:program filesBandicam2013-07-26 21:21:48 -------- d-----w- c:program filesBandiMPEG12013-07-26 16:48:15 28552 ----a-w- c:windowssystem32spoolprtprocsw32x86mdippr.dll2013-07-26 16:48:15 28040 ----a-w- c:windowssystem32mdimon.dll2013-07-26 16:47:15 -------- d-----w- c:program filescommon filesL&H2013-07-26 16:46:57 -------- d-----w- c:program filesMicrosoft ActiveSync2013-07-26 16:45:40 -------- d-----w- c:windowsSHELLNEW2013-07-26 15:22:09 -------- d-----w- c:program filesMSECache2013-07-25 08:34:53 -------- d-----w- c:windowssystem32MRT2013-07-25 07:36:48 31232 ----a-w- c:windowssystem32driversipfnd51.sys2013-07-25 00:43:55 -------- d-----w- c:program filesVbox7 convertor2013-07-24 23:17:32 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataIdentities2013-07-23 22:53:52 -------- d-----w- c:program filesFraps2013-07-22 22:58:07 -------- d-----w- c:program filesFreeTime2013-07-22 21:51:11 -------- d-----w- c:documents and settingsuser 1local settingsapplication dataSun2013-07-22 21:50:34 867240 ----a-w- c:windowssystem32npDeployJava1.dll2013-07-22 21:50:34 789416 ----a-w- c:windowssystem32deployJava1.dll2013-07-22 21:50:34 144896 ----a-w- c:windowssystem32javacpl.cpl2013-07-22 21:50:30 94632 ----a-w- c:windowssystem32WindowsAccessBridge.dll2013-07-22 16:08:22 -------- d-----w- c:documents and settingsuser 1application dataTeamViewer2013-07-22 16:03:39 19448 ----a-w- c:windowssystem32spoolprtprocsw32x86TeamViewer_PrintProcessor.dll2013-07-22 16:03:08 25088 ----a-w- c:windowssystem32driversteamviewervpn.sys2013-07-22 16:03:04 -------- d-----w- c:program filesTeamViewer2013-07-22 15:46:20 275696 ----a-w- c:windowssystem32mucltui.dll2013-07-22 15:46:20 214256 ----a-w- c:windowssystem32muweb.dll2013-07-22 15:46:20 17136 ----a-w- c:windowssystem32mucltui.dll.mui2013-07-21 23:50:44 -------- d-----w- c:documents and settingsuser 1application dataNico Mak Computing2013-07-21 23:49:07 -------- d-----w- c:program filesThe KMPlayer2013-07-21 22:02:26 238872 ------w- c:windowssystem32MpSigStub.exe2013-07-21 21:58:09 -------- d-----w- c:windowsie8updates2013-07-21 21:27:05 17920 -c----w- c:windowssystem32dllcachemsyuv.dll2013-07-21 21:26:14 8704 -c----w- c:windowssystem32dllcachetsbyuv.dll2013-07-21 21:26:14 48128 -c----w- c:windowssystem32dllcacheiyuv_32.dll2013-07-21 21:25:37 456320 -c----w- c:windowssystem32dllcachemrxsmb.sys2013-07-21 21:23:27 12928 -c----w- c:windowssystem32dllcacheusb8023x.sys2013-07-21 21:21:25 293376 ------w- c:windowssystem32browserchoice.exe2013-07-21 21:20:39 55296 -c----w- c:windowssystem32dllcachemsfeedsbs.dll2013-07-21 21:20:38 247808 -c----w- c:windowssystem32dllcacheieproxy.dll2013-07-21 21:20:38 12800 -c----w- c:windowssystem32dllcachexpshims.dll2013-07-21 21:20:37 743424 -c----w- c:windowssystem32dllcacheiedvtool.dll2013-07-21 21:20:37 630272 -c----w- c:windowssystem32dllcachemsfeeds.dll2013-07-21 21:20:34 11112960 -c----w- c:windowssystem32dllcacheieframe.dll2013-07-21 21:20:33 522240 -c----w- c:windowssystem32dllcachejsdbgui.dll2013-07-21 21:20:33 2005504 -c----w- c:windowssystem32dllcacheiertutil.dll2013-07-21 21:18:34 2193536 -c----w- c:windowssystem32dllcachentoskrnl.exe2013-07-21 21:18:34 2149888 -c----w- c:windowssystem32dllcachentkrnlmp.exe2013-07-21 21:18:33 2070144 -c----w- c:windowssystem32dllcachentkrnlpa.exe2013-07-21 21:18:33 2028544 -c----w- c:windowssystem32dllcachentkrpamp.exe2013-07-21 21:18:25 3072 -c----w- c:windowssystem32dllcacheiacenc.dll2013-07-21 21:18:25 3072 ------w- c:windowssystem32iacenc.dll2013-07-21 18:25:01 -------- d-----w- c:windowssystem32SoftwareDistribution2013-07-21 17:56:59 -------- d-----r- c:program filesSkype.==================== Find3M  ====================.2013-08-07 21:53:05 52352 ----a-w- c:windowssystem32driversvolsnap.sys2013-08-07 21:52:41 68224 ----a-w- c:windowssystem32driverspci.sys2013-08-07 21:51:43 105472 ----a-w- c:windowssystem32driversmup.sys2013-08-07 21:45:03 187776 ----a-w- c:windowssystem32driversacpi.sys2013-07-21 14:47:38 784880 ----a-w- c:program filesChromeSetup.exe2013-06-07 21:56:06 920064 ----a-w- c:windowssystem32wininet.dll2013-06-07 21:56:06 43520 ----a-w- c:windowssystem32licmgr10.dll2013-06-07 21:56:05 1469440 ----a-w- c:windowssystem32inetcpl.cpl2013-06-07 20:55:44 385024 ----a-w- c:windowssystem32html.iec2013-06-04 07:23:02 562688 ----a-w- c:windowssystem32qedit.dll2013-06-04 01:40:45 1876736 ----a-w- c:windowssystem32win32k.sys.============= FINISH:  1:18:20.92 ===============

ATTACH

.UNLESS SPECIFICALLY INSTRUCTED, DO NOT POST THIS LOG.IF REQUESTED, ZIP IT UP & ATTACH IT.DDS (Ver_2012-11-20.01).Microsoft Windows XP ProfessionalBoot Device: DeviceHarddiskVolume1Install Date: 7/21/2013 16:58:13System Uptime: 8/10/2013 01:15:48 (0 hours ago).Motherboard: Gigabyte Technology Co., Ltd. |  | G31M-S2CProcessor: Intel(R) Celeron(R) CPU        E1400  @ 2.00GHz | Socket 775 | 1999/200mhz.==== Disk Partitions =========================.C: is FIXED (NTFS) - 55 GiB total, 38.904 GiB free.D: is FIXED (NTFS) - 122 GiB total, 34.583 GiB free.E: is FIXED (NTFS) - 121 GiB total, 16.142 GiB free.F: is CDROM ().==== Disabled Device Manager Items =============.Class GUID: {4D36E972-E325-11CE-BFC1-08002BE10318}Description: Realtek PCIe FE Family ControllerDevice ID: PCIVEN_10EC&DEV_8136&SUBSYS_E0001458&REV_024&3A0400F3&0&00E1Manufacturer: Realtek Semiconductor Corp.Name: Realtek PCIe FE Family ControllerPNP Device ID: PCIVEN_10EC&DEV_8136&SUBSYS_E0001458&REV_024&3A0400F3&0&00E1Service: RTLE8023xp.Class GUID: {4D36E972-E325-11CE-BFC1-08002BE10318}Description: 1394 Net AdapterDevice ID: V1394NIC139421D4B9B8308D01Manufacturer: MicrosoftName: 1394 Net AdapterPNP Device ID: V1394NIC139421D4B9B8308D01Service: NIC1394.Class GUID: {4D36E972-E325-11CE-BFC1-08002BE10318}Description: TeamViewer VPN AdapterDevice ID: ROOTNET0000Manufacturer: TeamViewer GmbHName: TeamViewer VPN AdapterPNP Device ID: ROOTNET0000Service: teamviewervpn.==== System Restore Points ===================.No restore point in system..==== Installed Programs ======================.П°єµт ·° съІјµстёјѕст ·° сёстµј°т° Office 2007Adobe Flash Player 11 ActiveXAdobe Flash Player 11 PluginBandicamBandisoft MPEG-1 DecoderCS 1.6 COOL EDiTiONDriverMax 7ESET NOD32 AntivirusFlexType 2KFormatFactory 2.10Fraps (remove only)Google ChromeGoogle Update HelperHD Video Converter FactoryHigh Definition Audio Driver Package - KB835221Hotfix for Windows Media Format 11 SDK (KB929399)Hotfix for Windows Media Player 11 (KB939683)Hotfix for Windows XP (KB2779562)Hotfix for Windows XP (KB970653-v3)Hotfix for Windows XP (KB976002-v5)Intel(R) Graphics Media Accelerator DriverJava 7 Update 25Java Auto UpdaterMalwarebytes Anti-Malware, Іµрсёя 1.75.0.1300Microsoft .NET Framework 2.0 Service Pack 2Microsoft Application Error ReportingMicrosoft Kernel-Mode Driver Framework Feature Pack 1.9Microsoft Office File Validation Add-InMicrosoft Office Professional Edition 2003Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161Pandora ServiceREALTEK GbE & FE Ethernet PCI-E NIC DriverRealtek High Definition Audio DriverSecurity Update for Microsoft Windows (KB2564958)Security Update for Windows Internet Explorer 8 (KB2510531)Security Update for Windows Internet Explorer 8 (KB2846071)Security Update for Windows Media Player (KB2378111)Security Update for Windows Media Player (KB2834904)Security Update for Windows Media Player (KB954155)Security Update for Windows Media Player (KB975558)Security Update for Windows Media Player (KB978695)Security Update for Windows Media Player 11 (KB954154)Security Update for Windows XP (KB2115168)Security Update for Windows XP (KB2229593)Security Update for Windows XP (KB2296011)Security Update for Windows XP (KB2347290)Security Update for Windows XP (KB2360937)Security Update for Windows XP (KB2387149)Security Update for Windows XP (KB2393802)Security Update for Windows XP (KB2419632)Security Update for Windows XP (KB2423089)Security Update for Windows XP (KB2440591)Security Update for Windows XP (KB2443105)Security Update for Windows XP (KB2478960)Security Update for Windows XP (KB2478971)Security Update for Windows XP (KB2479943)Security Update for Windows XP (KB2481109)Security Update for Windows XP (KB2483185)Security Update for Windows XP (KB2485663)Security Update for Windows XP (KB2506212)Security Update for Windows XP (KB2507938)Security Update for Windows XP (KB2508429)Security Update for Windows XP (KB2509553)Security Update for Windows XP (KB2535512)Security Update for Windows XP (KB2536276-v2)Security Update for Windows XP (KB2544893-v2)Security Update for Windows XP (KB2566454)Security Update for Windows XP (KB2570947)Security Update for Windows XP (KB2584146)Security Update for Windows XP (KB2585542)Security Update for Windows XP (KB2592799)Security Update for Windows XP (KB2598479)Security Update for Windows XP (KB2603381)Security Update for Windows XP (KB2618451)Security Update for Windows XP (KB2619339)Security Update for Windows XP (KB2620712)Security Update for Windows XP (KB2624667)Security Update for Windows XP (KB2631813)Security Update for Windows XP (KB2653956)Security Update for Windows XP (KB2655992)Security Update for Windows XP (KB2659262)Security Update for Windows XP (KB2661637)Security Update for Windows XP (KB2676562)Security Update for Windows XP (KB2691442)Security Update for Windows XP (KB2698365)Security Update for Windows XP (KB2705219-v2)Security Update for Windows XP (KB2712808)Security Update for Windows XP (KB2719985)Security Update for Windows XP (KB2723135-v2)Security Update for Windows XP (KB2727528)Security Update for Windows XP (KB2753842-v2)Security Update for Windows XP (KB2757638)Security Update for Windows XP (KB2758857)Security Update for Windows XP (KB2770660)Security Update for Windows XP (KB2780091)Security Update for Windows XP (KB2802968)Security Update for Windows XP (KB2807986)Security Update for Windows XP (KB2813345)Security Update for Windows XP (KB2820197)Security Update for Windows XP (KB2820917)Security Update for Windows XP (KB2834886)Security Update for Windows XP (KB2839229)Security Update for Windows XP (KB2845187)Security Update for Windows XP (KB2850851)Security Update for Windows XP (KB923789)Security Update for Windows XP (KB938464)Security Update for Windows XP (KB941569)Security Update for Windows XP (KB969059)Security Update for Windows XP (KB972270)Security Update for Windows XP (KB973346)Security Update for Windows XP (KB973904)Security Update for Windows XP (KB974112)Security Update for Windows XP (KB974318)Security Update for Windows XP (KB974392)Security Update for Windows XP (KB974571)Security Update for Windows XP (KB975025)Security Update for Windows XP (KB975467)Security Update for Windows XP (KB975560)Security Update for Windows XP (KB975713)Security Update for Windows XP (KB977816)Security Update for Windows XP (KB977914)Security Update for Windows XP (KB978338)Security Update for Windows XP (KB978542)Security Update for Windows XP (KB978706)Security Update for Windows XP (KB979309)Security Update for Windows XP (KB979482)Security Update for Windows XP (KB979687)Security Update for Windows XP (KB981322)Security Update for Windows XP (KB981997)Security Update for Windows XP (KB982132)Security Update for Windows XP (KB982665)Skype Click to CallSkype™ 6.6SpeccySUPERAntiSpywareTeamViewer 8The KMPlayer (remove only)Update for Windows XP (KB2661254-v2)Update for Windows XP (KB2749655)Update for Windows XP (KB955759)Update for Windows XP (KB971029)Vbox7 convertor, Іµрсёя 1.0.RC2vloader-bgWebFldrs XPWinampWinamp Detector Plug-inWindows Internet Explorer 8WinRAR 4.20 (32-±ётѕІ° Іµрсёя)µTorrent.==== Event Viewer Messages From Past Week ========.8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Workstation service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Wireless Zero Configuration service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Windows Time service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Windows Firewall/Internet Connection Sharing (ICS) service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Windows Audio service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Telephony service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The System Event Notification service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Shell Hardware Detection service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Server service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Security Center service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Secondary Logon service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Remote Access Connection Manager service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Network Location Awareness (NLA) service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Network Connections service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Logical Disk Manager service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The HID Input Service service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Fast User Switching Compatibility service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Error Reporting Service service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Distributed Link Tracking Client service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The DHCP Client service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Cryptographic Services service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The COM+ Event System service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7034]  - The Automatic Updates service terminated unexpectedly.  It has done this 1 time(s).8/9/2013 09:24:57, error: Service Control Manager [7031]  - The Windows Management Instrumentation service terminated unexpectedly.  It has done this 1 time(s).  The following corrective action will be taken in 60000 milliseconds: Restart the service.8/9/2013 09:24:57, error: Service Control Manager [7031]  - The Themes service terminated unexpectedly.  It has done this 1 time(s).  The following corrective action will be taken in 60000 milliseconds: Restart the service.8/9/2013 09:24:57, error: Service Control Manager [7031]  - The Task Scheduler service terminated unexpectedly.  It has done this 1 time(s).  The following corrective action will be taken in 6000 milliseconds: Restart the service.8/9/2013 09:24:57, error: Service Control Manager [7031]  - The Help and Support service terminated unexpectedly.  It has done this 1 time(s).  The following corrective action will be taken in 100 milliseconds: Restart the service.8/8/2013 06:30:37, error: NetBT [4307]  - Initialization failed because the transport refused to open initial Addresses.8/8/2013 00:14:31, error: Ntfs [55]  - The file system structure on the disk is corrupt and unusable. Please run the chkdsk utility on the volume D:.8/8/2013 00:14:31, error: Ftdisk [45]  - The system could not sucessfully load the crash dump driver.8/7/2013 23:51:58, error: Ftdisk [49]  - Configuring the Page file for crash dump failed. Make sure there is a page file on the boot partition and that is large enough to contain all physical memory.8/7/2013 23:19:47, error: Service Control Manager [7032]  - The Service Control Manager tried to take a corrective action (Restart the service) after the unexpected termination of the Windows Management Instrumentation service, but this action failed with the following error:  An instance of the service is already running.8/7/2013 22:47:43, error: SRService [104]  - The System Restore initialization process failed.8/7/2013 22:47:43, error: Service Control Manager [7023]  - The System Restore Service service terminated with the following error:  The directory is not empty.8/7/2013 22:47:18, error: Service Control Manager [7031]  - The SAS Core Service service terminated unexpectedly.  It has done this 1 time(s).  The following corrective action will be taken in 1000 milliseconds: Restart the service.8/7/2013 22:16:17, error: Service Control Manager [7023]  - The Windows Firewall/Internet Connection Sharing (ICS) service terminated with the following error:  Access is denied.8/7/2013 21:34:00, error: sr [1]  - The System Restore filter encountered the unexpected error '0xC0000001' while processing the file '' on the volume 'HarddiskVolume1'.  It has stopped monitoring the volume.8/7/2013 21:03:00, error: DCOM [10005]  - DCOM got error "%1058" attempting to start the service gupdate with arguments "/comsvc" in order to run the server: {4EB61BAC-A3B6-4760-9581-655041EF4D69}8/7/2013 15:20:33, error: Service Control Manager [7034]  - The Machine Debug Manager service terminated unexpectedly.  It has done this 1 time(s).8/7/2013 03:00:58, error: Windows Update Agent [20]  - Installation Failure: Windows failed to install the following update with error 0x8007f0f4: Security Update for Windows XP (KB2686509).8/6/2013 00:48:07, error: SideBySide [59]  - Resolve Partial Assembly failed for Microsoft.VC80.MFCLOC. Reference error message: The referenced assembly is not installed on your system. .8/6/2013 00:48:07, error: SideBySide [59]  - Generate Activation Context failed for C:Program FilesFreeTimeFormatFactoryMFC80U.DLL. Reference error message: The operation completed successfully. .8/6/2013 00:48:07, error: SideBySide [32]  - Dependent Assembly Microsoft.VC80.MFCLOC could not be found and Last Error was The referenced assembly is not installed on your system.8/3/2013 15:24:31, error: Service Control Manager [7000]  - The 5689 service failed to start due to the following error:  The system cannot find the file specified.8/3/2013 15:06:19, error: atapi [9]  - The device, DeviceIdeIdePort1, did not respond within the timeout period..==== End Of File ===========================

 

Прилагам лог от Malwarebytes

 

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org

 

Версия на базата от данни: v2013.08.09.07

 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

user 1 :: PC-6BDC7AD1890B [администратор]

 

8/10/2013 01:21:41

mbam-log-2013-08-10 (01-21-41).txt

 

Тип сканиране: Бързо сканиране

Включени опции за сканиране: Памет | Автоматично зареждане | Системен регистър | Файлова система | Евристики/Допълнителни | Евристики/Shuriken | PUP | PUM

Изключени опции за сканиране: P2P

Сканирани обекти: 196870

Изминало време: 3 минута(и), 14 секунда(и)

 

Открити процеси в паметта: 1

C:Documents and SettingsNetworkServiceLocal SettingsApplication Datafqcqbdp.exe (Trojan.Crypted.FS) -> 1448 -> Ще бъде изтрит при рестартиране.

 

Открити модули в паметта: 0

(Не бяха открити зловредни обекти)

 

Открити ключове в системния регистър: 0

(Не бяха открити зловредни обекти)

 

Открити стойности в системния регистър: 1

HKCUSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorerRun|Microsoft (Trojan.Crypted.FS) -> Данни: C:Documents and Settingsuser 1Application Dataifthhrgtheebbher.exe -> Поставен под карантина и изтрит успешно.

 

Открити информационни обекти в системния регистър: 0

(Не бяха открити зловредни обекти)

 

Открити папки: 0

(Не бяха открити зловредни обекти)

 

Открити файлове: 12

C:Documents and SettingsNetworkServiceLocal SettingsApplication Datafqcqbdp.exe (Trojan.Crypted.FS) -> Ще бъде изтрит при рестартиране.

C:Documents and Settingsuser 1Application Dataifthhrgtheebbher.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32hffd.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32nmjjcuq.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32nngxbaac.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32afngjp.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32aohzpaue.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32tsaa.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:WINDOWSsystem32wywixyh.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:Documents and SettingsNetworkServiceLocal SettingsApplication Datairstsiixd.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:Documents and SettingsNetworkServiceLocal SettingsApplication Datakvtxcm.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

C:Documents and SettingsNetworkServiceLocal SettingsApplication Datawpmwf.exe (Trojan.Crypted.FS) -> Поставен под карантина и изтрит успешно.

 

(край)

Здравейте,

 

Сигурни ли сте, че след като Malwarebytes' Anti-Malware премахне заразите те отново се връщат?

 

• [*]Моля изтеглете

Farbar Recovery Scan Tool и го запазете на десктопа. [*]Стартирайте файла FRST.exe. [*]Програмата ще се стартира. Натиснете YES за да се съгласите с лицензионното споразумение. [*]Сложете всички отметки. [*]Натиснете бутона SCAN. [*]Ще се създадат два лог файл с името - FRST.txt и Addition.txt на десктопа. [*]Прикачете лог файловете в следващия си коментар.

Здравейте B-boy[styLe]. 

Да. Сканирам с Malwarebytes трия файловете иска рестарт, съгласявам се. Пуска се отново, сканирам пак и същите файлове са там. Понеже системата не се пуска в Normal Mode, в момента съм в Safe Mode With Networking.

 

 

FRST - FRST.txt

Addition - Addition.txt

Ето и от Malwarebytes - mbam-log-2013-08-10 (12-53-01).txt

Редактирано 10 август 201313 г. от Todor91 (преглед на промените)

Мда...доста зле е положението - доста файлове изглеждат без цифров подпис + един пачнат драйвър + премахнат ключ за стартирането на explorer.exe

 

Стартирайте отново FRST.exe и въведете в полето за търсене volsnap.sys и натиснете бутона Search File(s).

 

 

Публикувайте search.txt лог файла, който ще се създаде.

 

И не използвайте сами инструменти като AVZ...ще премахна драйвъра му после за да не създава проблеми.

Заповядайте.

Search.txt

Лошо...нямате чисто копие на файла...

Ще ви пратя линк с файла по Л.С. (линка ще е активен само 24 часа, защото не e незаконен обмена на системни файлове по-този начин).

Запазете файла в папката C: => така че да се получи C:volsnap.sys

 

Сега изтеглете прикачения файл => fixlist.txt и го запазете в папката от която стартирахте FRST.exe.

Стартирайте FRST.exe и натиснете бутона Fix веднъж!

След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата и пишете дали системата вече стартира в Normal Mode.

Рестарт не ми поиска, и не съм и рестартирал. Ето лога: Fixlog.txt

Има една лека грешка в синтаксиса на последните два реда от скрипта и да опитаме пак:

 

Сега изтеглете прикачения файл => fixlist.txt и го запазете в папката от която стартирахте FRST.exe.

Стартирайте FRST.exe и натиснете бутона Fix веднъж!

След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата и пишете дали системата вече стартира в Normal Mode.

 

 

Стига до зареждането на Windows и се рестартира сам. И сега, пак съм в Safe Mode with Networking.

Ето лога:  Fixlog.txt

Редактирано 10 август 201313 г. от Todor91 (преглед на промените)

Направете нова проверка с FRST и прикачете лог файла.

Заповядайте.  

FRST.txt

Addition.txt

Тъй като има някои грешки с драйвърите на Eset и SUPERAntispyware при зареждането на Windows:

 

Error: (08/10/2013 00:48:30 PM) (Source: Service Control Manager) (User: )
Description: The following boot-start or system-start driver(s) failed to load:
ehdrv
Fips
intelppm
SASDIFSV
SASKUTIL

 

 

Временно деинсталирайте Eset и SUPERAntispyware от Control Panel-a;

 

След това почистете остатъците от първата с това - Download ESET Uninstaller, а от втората с това - SUPERAntiSpyware Uninstaller Assistant (32-Bit)

 

Сега изтеглете прикачения файл => fixlist.txt и го запазете в папката от която стартирахте FRST.exe.

Стартирайте FRST.exe и натиснете бутона Fix веднъж!

След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата и пишете дали системата вече стартира в Normal Mode.

Не мога да деинсталирам ESET под Safe Mode with Networkig. Изтрих SuperAnti Spyware и почистих с инструмента. Да продължавам ли със FRST.exe?

Защо да не можете...стартирахте ли тулчето...то е именно за safe mode:

 

http://kb.eset.com/esetkb/index?page=content&id=SOLN2289&locale=en_US

Не уточних. От контролния панел не мога да я деинсталирам. Стартирах тулл-а за премахване на Есет, той свърши работа.

Ето лога от FRST:

Fixlog.txt

Сега можете ли вече да стартирате в нормален режим?

 

Налага ми се да излезна за 2-3 часа и после ще продължим.

Все още не може да се стартира в Normal Mode.

Лоша работа..а кога престана да зарежда в Normal Mode. Почиствали ли сте собственоръчно с нещо?

И какво се случва при опит за зареждане в Normal Mode...някаква грешка, съобщение?

 

1. Изтеглете ComboFix от BleepingComputer и го запазете (бутон Save -> Save as) ComboFix на вашия десктоп:

След приключване на изтеглянето на ComboFix, иконката на програмата би трябвало да изглежда така:



2. Затворете всички работещи приложения, отворени прозорци и програми работещи във фонов режим. Спрете временно защитата в реално време на антивирусната програма и на другите програми за сигурност, ако има такива.



3. Стартирайте с двоен клик Combofix.exe. Изберете YES, за да се съгласите с условията за използване на програмата. Важно: По време на работата на ComboFix не бива да се движи мишката и да се натискат клавиши от клавиатурата. Просто търпеливо оставете ComboFix да си свърши работата, без да използвате компютъра за други цели.



4. ComboFix ще провери дали Windows Recovery Console e инсталиранa.


*Ако Windows Recovery Console не е инсталирана, ще е необходимо да използвате YES за инсталация на Windows Recovery Console
*Ако Windows Recovery Console е инсталирана, ComboFix ще продължи работата си.



Забележка: Необходимо е да сте свързани към Интернет за да може Windows Recovery Console да се изтегли.


След инсталация на Windows Recovery Console потвърдете с YES, за да продължите напред. Снимка:



5. ComboFix ще спре временно Интернет връзката, но след като приключи работата на програмата тази връзка ще бъде възстановена автоматично. ComboFix ще сканира за проблеми и за заразени файлове, като това може да отнеме известно време. Моля да бъдете търпеливи. Ако има проблем с Интернет връзката след приключване на работата на Combofix, моля да прочетете това: Manually restoring the Internet connection section.


6. След като работата на ComboFix приключи, компютъра ще се рестартира автоматично. След рестарта заредете отново в Safe Mode нарочно за да може Combofix да приключи своята работа. След това ще се появи текстов документ (log) в Notepad:

 

7. Копирайте лог файла в следващия си коментар.

Редактирано 10 август 201313 г. от Todor91 (преглед на промените)

Лошо...пачнат е файла на ядрото на Windows...

 

Първо създайте нова точка за възстановяване на системата.

 

След това изтеглете тези файлове и ги запазете на десктопа:

 

http://download.bleepingcomputer.com/win-services/xp/IntelIde.reg
http://download.bleepingcomputer.com/win-services/xp/WS2IFSL.reg
http://download.bleepingcomputer.com/win-services/xp/Fips.reg

 

Стартирайте ги един по един и изберете YES на диалоговия прозорец.

 

Отворете Notepad.exe и се уверете, че пред Format => няма отметка пред Word Wrap (ако има я махнете).

 

 

След това отново отворете notepad и с copy/paste поставете следната информация:

 

SecCenter::
{E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
MIA::
c:windowssystem32ntkrnlpa.exe
c:windowssystem32driverspci.sys
c:windowssystem32driversacpi.sys
Registry::
[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBootMinimalhitmanpro37]
[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBootMinimalhitmanpro37.sys]

 

Запазете файла с име CFScript и го провлачете и пуснете в Combofix (както на картинката отдолу):


 

Рестартирайте отново в Safe Mode и публикувайте лог файл в следващия си пост.

 

Ако всичко мине успешно сега пробвайте вече да заредите в Normal Mode и пишете за резултата.

После ще се опитам да заменя файла на ядрото, но има шанс системата да не буутне изобщо. То и без това така не можете да работите, така че ще е добре да се сдобиете с инсталационен диск. С него можем да пробваме също две-три неща преди преинсталацията.

 

 

СТЪПКА 1

 

 

Моля изтеглете Farbar Service Scanner и я стартирайте.

 

• [*]Сложете

всички отметки и натиснете бутона "Scan". [*]Ще се създаде лог файл с името (FSS.txt) в папката откъдето стартирате инструмента. [*]Прикачете лог файла в следващия си пост.

 

 

 

СТЪПКА 2

 

 

• [*]Отворете

следния сайт и изтеглете RKill.exe и ги запазете на вашия десктоп. [*]Стартирате програмата с двоен клик върху файла и изчакайте търпеливо. [*]След приключване на проверката ще се генерира лог файл с извършените процедури. [*]Прикачете лог файла в следващия си пост.

 

 

СТЪПКА 3

 

 

• [*]Изтеглете

MiniToolBox.exe и го запазете на десктопа. [*]Сложете всички отметки и натиснете Go. [*]Прикачете лог файла Result.txt в следващия си пост.

 

 

СТЪПКА 4

 

 

Изтеглете Autoruns и:

• [*]Стартирайте програмата; [*]Изберете

Options => Filter Options => сложете отметки пред Verify Code Signature и Hide Microsoft Entries; [*]От менюто File -> Refresh; [*]От менюто File -> Save...; [*]Запазете файла някъде с желано от вас име (във формат arn), архивирайте го с програма по желание и го прикачете към темата за да ви кажа, кои отметки да премахнете.

Здравейте.   Утре ще взема диск и ще го преинсталирам, то се е видяло, че повече няма да стартира в Normal Mode. Все пак Благодаря за бързите отговори и се извинявам, че Ви изгубих времето. 

 

Поздрави и лека вечер 

Ще е интересно да пробвам няколко неща след като вземете диска. Преинсталацията е най-лесното нещо, но важното е да се види какви поражения прави за да знаем как да противодействаме следващия път. Определено този троянец изглежда доста нов ако съдя по номенклатурата от MBAM.

 

Поздрави!