SettingsModifier:Win32/PossibleHostsFileHijack [not-a-virus:RemoteAdmin.Win32.RMS.z, not-a-virus:RemoteAdmin.Win32.RMS.aa ]

[Legendar]

Здравствуйте, дело собственно в чём. При каждом запуске компьютера у меня Microsoft security esentials мой антивирус говорит что нашёл вирус в C:Windows/systems32/drivers/etc/hosts. Я его удаляю, но при следующей загрузке компьютера опять тоже самое.

[Info_bot]

Уважаемый(ая) Legendar, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\explolerte.exe');
 TerminateProcessByName('c:\windows\system32\svshoct.exe');
 QuarantineFile('c:\progra~1\zoomex\sprote~1.dll','');
 DelBHO('{776FF206-5D1C-3823-0E73-27F074386BA4}');
 QuarantineFile('C:\ProgramData\Zoomex\5106afffa3bae.dll','');
 DelBHO('{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}');
 DelBHO('{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a}');
 DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
 QuarantineFile('C:\Users\user\AppData\Local\SwvUpdater\Updater.exe','');
 DeleteService('qrfhacfv');
 DeleteService('jnidozzm');
 DeleteService('RManService');
 QuarantineFile('c:\windows\system32\svshoct.exe','');
 QuarantineFile('c:\windows\system32\explolerte.exe','');
 DeleteFile('c:\windows\system32\explolerte.exe');
 DeleteFile('c:\windows\system32\svshoct.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VPetsPlayer');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','124ddd2903470.exe');
 DeleteFile('C:\Users\user\AppData\Local\SwvUpdater\Updater.exe');
 DeleteFile('C:\Windows\Tasks\AmiUpdXp.job');
 DeleteFile('C:\ProgramData\Zoomex\5106afffa3bae.dll');
 DeleteFile('C:\Users\user\AppData\Local\Temp\124ddd2903470.exe');
 DeleteFile('c:\progra~1\zoomex\sprote~1.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте полный образ автозапуска uVS.

[Legendar]

И вот ещё полный образ автозапуска.

[Vvvyg]

Выполните скрипт в uVS

;uVS v3.77.9 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\MICROSOFT\WINDOWS\TEMPORARY INTERNET FILES\CONTENT.IE5\SL2GZP5D\SETUP[1].EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\SWVUPDATER\UPDATER.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\FUNMOODS\UPDATEPROC\UPDATETASK.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\FUNMOODS\UPDATEPROC\UPDATETASK.EXE
delref HTTP://WEBALTA.RU
delref %SystemDrive%\PROGRAM FILES\ROCKSTAR GAMES\ROCKSTAR GAMES SOCIAL CLUB\RGSCLAUNCHER.EXE
delref %SystemDrive%\PROGRAMDATA\ZOOMEX\5106AFFFA3BAE.DLL
delref %SystemDrive%\PROGRAM FILES\MAIL.RU\AGENT\MRA\DLL\NEWMRASEARCH.DLL
zoo %SystemRoot%\DOWNLOADED PROGRAM FILES\POPCAPLOADER.DLL
delall %SystemRoot%\DOWNLOADED PROGRAM FILES\POPCAPLOADER.DLL
delref %SystemDrive%\PROGRAM FILES\ASK.COM\GENERICASKTOOLBAR.DLL
delref HTTP://SEARCHAB.COM/?AFF=7&UID=0C4C0A4B-6969-11E2-A475-90E6BAC26C0C
exec C:\PROGRAM FILES\COMMON FILES\AKAMAI\UNINSTALL.EXE
exec C:\PROGRA~1\FUNMOODS\1.5.23.22\UNINSTALL.EXE
uidel C:\PROGRAM FILES\GET-STYLES 2.0\CH\UNINSTALL.EXE
exec MSIEXEC.EXE /quiet /I{12644DC5-2271-442B-816F-8CFFD3DDDF32}
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83217007FF}
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216024FF}
exec C:\PROGRAM FILES\TICNO\TABS\UNINSTALL.EXE
exec MSIEXEC.EXE /quiet /I{BFE6D377-F558-4E95-A062-673941B9BA5A}
deltmp
restart

На вопросы об удалении программ соглашайтесь.
Компьютер перезагрузится.

Упакуйте содержимое папки ZOO с помощью WinRar или 7-Zip в архив формата .zip с паролем virus и отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Предупреждение о PossibleHostsFileHijack связано с программой Lovivkontakte, опасности нет. Либо удаляте эту программу, либо не обращайте внимания.

Скачайте AdwCleaner (by Xplode) и сохраните его на 0рабочем столе. Запустите его (в Windows Vista/7 необходимо запускать по правой кнопке мыши от имени администратора), нажмите кнопку "Search" и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в файле C:\AdwCleaner[R1].txt. Прикрепите отчет к своему следующему сообщению.

[Legendar]

Всё удалил лови вконтакте, только не полностью (он не хочет) перезагружусь попробую всё.

[Vvvyg]

Внимание, следующее действие удалит установленные тулбары.

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7 необходимо запускать по правой кнопке мыши от имени администратора), нажмите кнопку "Delete" и дождитесь окончания удаления. Когда удаление будет завершено, отчет будет сохранен как C:\AdwCleaner[S1].txt. Прикрепите отчет к своему следующему сообщению.
Внимание! Для успешного удаления может потребоваться перезагрузка компьютера.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 19
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\explolerte.exe - not-a-virus:RemoteAdmin.Win32.RMS.z
  2. c:\\windows\\system32\\svshoct.exe - not-a-virus:RemoteAdmin.Win32.RMS.aa