ESS 4.0 адрес заблокирован

[ivaton]

WinXP SP3. Стоит Eset Smart Security 4. Уже третий день выскакивает красное окошко "адрес заблокирован" URL: ................ .co.cc/domian.php (там где многоточие все время разный набор букв) IP: 112.175.243.21(22,23,24) окончание IP меняется время от времени. Сначала я через файер нашел, что соединение пытается установить mscorvw.exe (.net framework 2). удалил весь нет фрамеворк, все версии, еще раз просканировал антивирусом и CureIT. никаких проблем не обнаружено кроме записей в host (но эти записи появились с моего ведома и окошко стало выпрыгивать не после появления записей). Окошко пропало и не появлялось больше. После переустановки .net framework окошко снова стало выскакивать с переодичностью примерно раз в 5 мин как и раньше, после установки соединения с интернет.
Не могу понять в чем дело. Логи AVZ и HijackThis прилагаю.

[Info_bot]

Уважаемый(ая) ivaton, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Обновите базы AVZ.
Если базы не обновляются через меню Файл, скачайте архив баз http://z-oleg.com/secur/avz_up/avzbase.zip
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Сделайте логи AVZ заново и приложите.

Сделайте лог MBAM:
http://virusinfo.info/showthread.php?t=53070
и приложите.

[ivaton]

все сделал.
после установки malware он тоже выдал "была предотвращена попытка доступа к вредоносному сайту 112.175.243.24(21,22,23) Тип:исходящее".
к стати лог malware автоматом не создал, лог я смог получить после нажатия кнопки "показать результаты" и потом "сохранить отчет".

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
QuarantineFile('e:\system volume information\_restore{2c573c3d-baf2-4c76-89e2-fa57407d4a7f}\RP84\A0011340.exe','');
QuarantineFile('e:\installer game\mini_игры\головоломки\симпаплекс.exe','');
QuarantineFile('e:\installer game\mini_игры\Бизнес\пиратская монополия.exe','');
QuarantineFile('d:\system volume information\_restore{2c573c3d-baf2-4c76-89e2-fa57407d4a7f}\RP84\A0011210.exe','');
 QuarantineFile('C:\WINDOWS\AutoKMS\AutoKMS.exe','');
 QuarantineFile('c:\windows\system32\netsvcs.exe','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

[ivaton]

архив отправил. прикладываю лог работы скрипта. есть ошибка, не в работе скрипта, а по поводу доступа к файлу.

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\netsvcs.exe');
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\AutoKMS\AutoKMS.exe','');
 DeleteFile('c:\windows\system32\netsvcs.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и приложите в теме.

[ivaton]

архив карантин отправил. прилагаю новый лог

[Nikkollo]

Что с проблемой?

[ivaton]

Спасибо большое , больше я пока не видел этого надоедливого окошка. А если не секрет, проблема была в miniKms??? Ну так на будущее, чтоб я знал. ведь его ставил себе я сам (уверяли никаких вирусов и тд. нет).

[Nikkollo]

Не знаю. C:\WINDOWS\AutoKMS\AutoKMS.exe в карантин так и не попал. Видимо самого файла уже нет.
Проблема была в c:\windows\system32\netsvcs.exe - Trojan.Win32.Jorik.Lethic.bi.

[ivaton]

Самого файла я тоже не нашел, после манипуляций с борцами с вирусами. после mscorsvw.exe и переустановки .net framevork nod начал ругаться (выеснял через файер) именно на netsvcs.exe . но я так и не понял кто через них пытался лезть в нет. Еще раз огромное СПАСИБО Вам лично и этому сайту. Очень оперативно сработали.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\netsvcs.exe - Trojan.Win32.Jorik.Lethic.bi ( DrWEB: Trojan.MulDrop3.8026, BitDefender: Gen:Variant.Downloader.133, AVAST4: Win32:Downloader-JHY [Trj] )