svchost.exe подключается к интернету

[Ornams]

Здравствуйте.


Недавно подхватил целый букет вирусов.
Небольшая предыстория. Я вошел в программу VipIp (программа для серфинга) и посмотрев несколько, страниц у меня странно заглючил компьютер.
Сначала появилось сообщение и я едва его разглядел (оно появилось также внезапно, как и исчезло), но я все же успел разглядеть текст "Остановлена служба регистрации" кажется так...
И появился баннер, вымогающий деньги. Т.к. я с таким уже встречался 2 месяца назад, то без проблем его удалил с помощью загрузочного диска.
И уже когда я буквально дал "понюхать" своему антивирусу Nod32, он сразу мне сказал, что это вирус: Win32/LockScreen.AGD.
(Кстати именно я 2 месяца назад отправил образец этого вируса в компанию Eset и с новыми базами он начал его детектировать.)
Но в этот раз радом с этим виром был еще один нод32 обозначил его как "Модифицированный Win32/Kryptik.QOD троянская программа" и через несколько секунд предложил отправить его в компанию на изучение...


САМА ПРОБЛЕМА --->>>
Процесс svchost.exe начал подключаться к интернету, а точнее почти каждую секунду подключается к новому Ip. Фаервол хоть и блокирует некоторые соединения, но всё равно пропускает их.
Я обратился за помощью в Касперский 911, там мне никто не помог, а хелпер быстро покинул меня без разъяснения причин, так и не дождавшись ответа я закрыл со злости заявку.
Я догадываюсь, а точнее я знаю, что попал в ботсеть.

ПОЖАЛУйСТА ПОМОГИТЕ УДАЛИТЬ ВИРУС!

P.S. просканировать сканерами не удалось т.к. выдаются ошибки при установке AVPtool и CureIt.

Не могу добавить логи в сообщение выдает ошибку на сайте (воскл. знак), попробую загрузить логи на файлообменник если это вас устроит.

Добавлено через 5 минут

Залил на файлообменник.
hijackthis.log
virusinfo_syscheck.zip
virusinfo_syscure.zip

Каждый раз когда я захожу в браузер через него же идёт подключение по следующему ip 209.85.149.102 (через любой браузер)

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\1\AppData\Local\Temp\6qp0x.exe','');
 DeleteFile('C:\Users\1\AppData\Local\Temp\6qp0x.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=106150

4. Сделайте повторный лог virusinfo_syscheck.

[Ornams]

Выполнил
Проблема всё еще осталась svchost.exe подключается к айпишникам.
Мало того я подозреваю что всё что я делаю на компе отправляется сюда 209.85.149.102. Последнее предложение в первом посте.
virusinfo_syscheck это какой пункт в AVZ?

[Aleksandra]

virusinfo_syscheck это какой пункт в AVZ?

Второй...

[Ornams]

Какой раз забываю....
Удалось таки загрузить логи на сайт=)

[Aleksandra]

Плохого не увидела. После выполнения скрипта проблема не исчезла?

[Ornams]

НЕТ проблема осталась!!! Всё так же идут подключения=(((

Может это будет полезным:
В браузерах не работает звук, например в видео. А при просмотре видео, как показывает фаервол, идёт скачивание с сервера, например с ютуба и отправка на сервер который я указал ранее

[Aleksandra]

Такой лог сделайте http://virusinfo.info/showthread.php?t=78057

[Ornams]

Сделал

[Aleksandra]

Флэш плеер пробовали переустановить?

[Ornams]

Нет я только, устанавливаю новый по просьбе этой же программы. По вашей просьбе переустановил. Видео теперь со звуком.Проблема с вирусом осталась.

Добавлено через 9 минут

Возможно окажется полезным:


Видео теперь со звуком.

Google Chrome стал выдавать странное сообщение "Вы используете не поддерживаемый флаг командной строки --no-sandbox . стабильность и безопасность будут нарушены."

Добавлено через 4 часа 43 минуты

Ау неужели некому мне помочь???

Добавлено через 7 часов 39 минут

И всё таки может на меня обратят внимание???

[Aleksandra]

Сделайте лог полного сканирования МВАМ.

[Ornams]

Выполнил

[Aleksandra]

Плохого не видно.

Каждый раз когда я захожу в браузер через него же идёт подключение по следующему ip 209.85.149.102 (через любой браузер)

Это от google-analytics.com. Наверно, почту проверяете?

[Ornams]

Почту проверяю, но только не на gmail. Соединения с моего компьютера всё еще идут......
А как можно убрать этот google-analytics? А то мне не нравится что он лезет в любой браузер...

[Aleksandra]

А как можно убрать этот google-analytics? А то мне не нравится что он лезет в любой браузер...

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
O4 - HKCU\..\Run: [Google Update] "C:\Users\1\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O23 - Service: Служба Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Служба Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

Что-то из этого... Для начала деинсталлируйте все от гугля и проверьте.

[Ornams]

Сделал как вы сказали всё от гугла удалил и профиксил. Всё осталось на так же: браузер подключается к тому же серверу. Странно что до инцидента с
вирусами этих подключений не было а тут вдруг появились, значит это не гугл?

[Aleksandra]

Значит что-то осталось от него. Тулбар удалили?

[Ornams]

Я его не устанавливал.

[thyrex]

Сделайте лог ComboFix