ESS 4.0 адрес заблокирован

WinXP SP3. Стоит Eset Smart Security 4. Уже третий день выскакивает красное окошко "адрес заблокирован" URL: ................ .co.cc/domian.php (там где многоточие все время разный набор букв) IP: 112.175.243.21(22,23,24) окончание IP меняется время от времени. Сначала я через файер нашел, что соединение пытается установить mscorvw.exe (.net framework 2). удалил весь нет фрамеворк, все версии, еще раз просканировал антивирусом и CureIT. никаких проблем не обнаружено кроме записей в host (но эти записи появились с моего ведома и окошко стало выпрыгивать не после появления записей). Окошко пропало и не появлялось больше. После переустановки .net framework окошко снова стало выскакивать с переодичностью примерно раз в 5 мин как и раньше, после установки соединения с интернет.
Не могу понять в чем дело. Логи AVZ и HijackThis прилагаю.

Уважаемый(ая) [B]ivaton[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Обновите базы AVZ.
Если базы не обновляются через меню Файл, скачайте архив баз [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Сделайте логи AVZ заново и приложите.

Сделайте лог MBAM:
[url]http://virusinfo.info/showthread.php?t=53070[/url]
и приложите.

все сделал.
после установки malware он тоже выдал "была предотвращена попытка доступа к вредоносному сайту 112.175.243.24(21,22,23) Тип:исходящее".
к стати лог malware автоматом не создал, лог я смог получить после нажатия кнопки "показать результаты" и потом "сохранить отчет".

Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
QuarantineFile('e:\system volume information\_restore{2c573c3d-baf2-4c76-89e2-fa57407d4a7f}\RP84\A0011340.exe','');
QuarantineFile('e:\installer game\mini_игры\головоломки\симпаплекс.exe','');
QuarantineFile('e:\installer game\mini_игры\Бизнес\пиратская монополия.exe','');
QuarantineFile('d:\system volume information\_restore{2c573c3d-baf2-4c76-89e2-fa57407d4a7f}\RP84\A0011210.exe','');
QuarantineFile('C:\WINDOWS\AutoKMS\AutoKMS.exe','');
QuarantineFile('c:\windows\system32\netsvcs.exe','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

архив отправил. прикладываю лог работы скрипта. есть ошибка, не в работе скрипта, а по поводу доступа к файлу.

Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\netsvcs.exe');
ClearQuarantine;
QuarantineFile('C:\WINDOWS\AutoKMS\AutoKMS.exe','');
DeleteFile('c:\windows\system32\netsvcs.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и приложите в теме.

архив карантин отправил. прилагаю новый лог

Что с проблемой?

Спасибо большое :dance2:, больше я пока не видел этого надоедливого окошка. А если не секрет, проблема была в miniKms??? Ну так на будущее, чтоб я знал. ведь его ставил себе я сам (уверяли никаких вирусов и тд. нет).

Не знаю. C:\WINDOWS\AutoKMS\AutoKMS.exe в карантин так и не попал. Видимо самого файла уже нет.
Проблема была в c:\windows\system32\netsvcs.exe - Trojan.Win32.Jorik.Lethic.bi.

Самого файла я тоже не нашел, после манипуляций с борцами с вирусами. после mscorsvw.exe и переустановки .net framevork nod начал ругаться (выеснял через файер) именно на netsvcs.exe . но я так и не понял кто через них пытался лезть в нет. Еще раз огромное СПАСИБО Вам лично и этому сайту. Очень оперативно сработали. :appl:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\netsvcs.exe - [B]Trojan.Win32.Jorik.Lethic.bi[/B] ( DrWEB: Trojan.MulDrop3.8026, BitDefender: Gen:Variant.Downloader.133, AVAST4: Win32:Downloader-JHY [Trj] )[/LIST][/LIST]