Вирус маскируется под svchost

[Tpycuxa]

Здравствуйте! Помогите решить проблему: интернет пропадает через некоторое время после загрузки компьютера. Есть подозрение, что вирус маскируется под svchost.exe. Помогите пожалуйста!
Вот логи:

[Info_bot]

Уважаемый(ая) Tpycuxa, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Здравствуйте !!!

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

+ Сделайте лог Gmer

[Tpycuxa]

Сделала, вот лог:

[mrak74]

Сохраните приведённый ниже текст в файл cleanup.bat в ту же папку, где находится m5kn4jyg.exe случайное имя утилиты (gmer)

m5kn4jyg.exe -del service cjwybt
m5kn4jyg.exe -del service jwiwo
m5kn4jyg.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\jwiwo"
m5kn4jyg.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\cjwybt"
m5kn4jyg.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\jwiwo"
m5kn4jyg.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\cjwybt"
m5kn4jyg.exe -reboot

И запустите сохранённый пакетный файл cleanup.bat.
Внимание: Компьютер перезагрузится!
Сделайте новый лог gmer.

[Tpycuxa]

Ошибка:
Delete Key - параметр задан неверно.

- - - Добавлено - - -

Новый лог, проблема осталась:

[mrak74]

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + Сделайте лог полного сканирования MBAM

[Tpycuxa]

Логи:

- - - Добавлено - - -

MBAM нашёл 19 вирусов, пришлось их удалить, уж извините, ибо компьютер отказывался заходить на этот сайт и на сайты антивирусов.

[mrak74]

АВЗ -> Файл -> Мастер поиска и устранения проблем -> Системные проблемы -> Пуск -> Отметьте пункт указанный выше -> Исправить отмеченные проблемы.

>> Повреждено меню настройки отображения папок

Кроме Spyware Terminator другое антивирусное ПО в системе есть ? Что с проблемой ?

[regist]

+ Заархивируйте файл

C:\Documents and Settings\Admin\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.poisk.vid.ru.\settings.sol

в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

[Tpycuxa]

>>Повреждено меню настройки отображения папок
Там нет такого пункта почему-то...
#www.poisk.vid.ru. папка не открывается, ссылается на недоступное место.
В папке sys есть этот самый файл settings.sol. Мне его прислать?
Кроме Spyware Terminator есть утилита DrWeb CureIt.
Проблема так и осталась, сейчас сижу с нетбука. К интернету компьютер вообще не хочет подключаться. Раньше подключался, работал минут 5-10, потом подключение пропадало, самопроизвольно менялось оформление панели задач и окон (с голубой становилась белой). Приходилось перезагружаться. Сейчас вообще не подключается, но панель задач всеравно меняется через минут 15...

[regist]

Заархивируйте и пришлите тогда в карантин папку

C:\Documents and Settings\Admin\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\

[Tpycuxa]

Сама папка не архивируется, только файлы settings.sol я их и прислала.
Файл сохранён как 130131_143408_virus_510a80e0f1e9d.zip
Размер файла 5184
MD5 e344530adecd67265d9897975b9bc640

[regist]

какие проблемы остались ?

[Tpycuxa]

Всё те же... Мне эту папку C:\Documents and Settings\Admin\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\ надо было удалить с компьютера или как?

[mrak74]

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) +
Сделайте логи RSIT

[regist]

Всё те же... Мне эту папку C:\Documents and Settings\Admin\Application Data\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\ надо было удалить с компьютера или как?

не не надо, там всё легальное оказалось.

[Tpycuxa]

Логи:

[Никита Соловьев]

> Выполните скрипт в AVZ:

begin
 ClearQuarantine;
if not IsWOW64 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\EA.exe','by RSIT');
 QuarantineFile('C:\WINDOWS\yadrive32.exe','by RSIT');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\EA.exe');
 DeleteFile('C:\WINDOWS\yadrive32.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine.zip.

> Повторите отчет RSIT.
_________________
> как выполнить скрипт в AVZ

[mrak74]

+ Сделайте еще раз лог Gmer