Помогите, что это за вирус?

Доброй ночи, пару часов назад у меня мозилла открыла сама сайт system-keeper.ru Там на весь экран было сообщение, что на компьютере возможен вирус. Я подумал это какой-то фишинг сайт и закрыл приложение через диспетчер задач. После чего стал искать изменённые файлы на компьютере. Нашёл такого рода странички: xp_proxy.php Открыл блокнотом там были ссылки типо:
[url]http://connect[/url]. facebook. net/rsrc.php/v1/yQ/r/[B]f3KaqM7xIBg.swf[/B]
Система Win7, x64
Сканировал AVZ4 нашёл 5 процессов [B]?.exe[/B] завершить их невозможно, в диспетчере задач таких процессов не видно!

Уважаемый(ая) [B]trojandie[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Меня настораживает одно, что я пока не замечаю никаких проблем. Trend Micro ничего не нашёл, а вот AVZ4 ругается на маскировку процессов.

На маскировки внимания не обращайте. Это нормальное поведение для AVZ на системах, подобных Вашей

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Как удалять с помо[B]щю[/B] MBAM указанные в теме элементы?

У Вас опечатка)

[size="1"][color="#666686"][B][I]Добавлено через 28 минут[/I][/B][/color][/size]

Сделал полное сканирование ничего не нашло.

[quote="trojandie;880224"]У Вас опечатка)[/quote]
Спасибо, исправил.

[quote="trojandie;880224"]Сделал полное сканирование ничего не нашло.[/quote]
Лог прикрепите, посмотрим.

При попытке открыть explorer.exe в папке Windows и на панеле задач выдаёт ошибку "этому файлу не сопоставлена программа для выполнения этого действия". Что это может быть?
(но через Win+E запускается)

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

CLDigitalHome вот такая вот папка не удаляется в Temp.

Почему-то сейчас в диспетчере задач увидел 5 процессов explorer.exe

Ничего необычного логи не показали

Ну явно вирус! Гляньте, что это может быть. Сделал скрин: [ATTACH=CONFIG]358152[/ATTACH]

На скрине просто вкладка в браузере, закройте ее, потом закройте сам браузер.
Пофиксите в HijackThis:
[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS1\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS2\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
[/code]
Перезагрузите компьютер, сделайте новый лог HijackThis, проверьте что изменилось.

O17 - HKLM\System\CCS\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS1\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS2\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243

Это вроде сервер Мегафон интернета, если я не ошибаюсь, а вот, что за сайт уже 2ой раз выскочил system-keeper.ru Это же явно не Майкросовтовский...

В Интеренет выходите через роутер? Если это так, проверяйте его настройки

Да, через роутер, а что может быть там не так?

Настройки DNS сервера проверьте. Скорее всего там прописались чужеродные

Как?
У меня постоянно с 1:40 - 2:10 примерно МСК начал рваться интернет (длится такое дней 5-6). Высокие потери/пинг растёт до 10 секунд! Тех.поддержка говорит разное каждый день, некоторые инженеры говорят у вас вирус, потому, что с их стороны всё нормально, другие же видят потери с их стороны и перезапускают оборудование.

Интернет выделенный, в сети 2 компьютера кабель интернета всовывается в свитчер, оттуда на 2 компа выходят 2 кабеля. Оба компьютера в это время имеют схожую проблему. Либо пинг и потери, либо вовсе рвётся сетка. Попробовал всунуть кабель интернета напрямую выдало вот такой вот странный IP, что меня насторажило "ipv4: 169.254.114.67" Это явно не мой провайдер чей-то прокси. В интернете поискал инфу на него нашёл пару ссылок.

Сегодня на первом компьютере отключился интернет в 1:27 судя по логу... Я вообще спал. Запущены были только IRC клиент, которым пользуюсь много лет и Steam клиент. Не просто отключился, а снова "сеть недоступна" кабель в мамке тоже не горит, на втором компьютере аналогичная проблема. Такое впечатление, что вирус что-то копирует или использует мой интернет в это время. Что это может быть? И как проверить DNS сервера? Я DNS не настраивал, просто всунул кабель в свитч и всё работало пару лет без проблем и таких обрывов сети:) Всякие KidoKiller запускал сканировал комп уже всем, чем только можно) я уже боюсь ища вирус поймать другой))))))

[quote="trojandie;882401"]Попробовал всунуть кабель интернета напрямую выдало вот такой вот странный IP, что меня насторажило "ipv4: 169.254.114.67"[/quote]Ну вот и измените настройки роутера, чтобы там не было этих DNS

Дело, в том, что в настройках роутера их нет! Я не понимаю, что происходит. Каждый день с 1:45 - 2:05 примерно рвётся сетка, причём на обоих компьютерах пропадает интернет, сегодня было так даже в 4 ночи где-то, раз 10 рвался интернет и сеть, писало разные ошибки. Пока я не перезасунул кабель сети в роутер, в тоже время чуть позже такое повторилось. Интернет запускался, потом 15-20 секунд и отключается всё! У меня подозрение на вирус или какую-то атаку. Даже есть подозрения, что это делает один человек. Роутер D-link dir 300. Тех. поддержка помочь не может, антивирусы ничего не находят (AVZ, KidoKiller, Trend Micro)

[size="1"][color="#666686"][B][I]Добавлено через 48 минут[/I][/B][/color][/size]

Насторажили логи роутера:

Jan 1 07:11:12 Remote management is disabled.
Jan 1 07:11:12 Block WAN PING is disabled.

Jan 1 00:01:26 DMZ disabled.


Jan 1 00:01:01 PPPoE: Sending PADI for session1.
Jan 1 00:00:51 PPPoE: Sending PADI for session1.
Jan 1 00:00:46 PPPoE: Sending PADI for session1.
Jan 1 00:00:34 VPN (L2TP) Pass-Through enabled.
Jan 1 00:00:34 VPN (IPSec) Pass-Through enabled.
Jan 1 00:00:34 VPN (PPTP) Pass-Through enabled.
Jan 1 00:00:34 Domain blocking disabled.
Jan 1 00:00:34 URL blocking disabled.
Jan 1 00:00:34 MAC filter disabled.

Я плохо понимаю, но это нормально?
Первые 2 строки повторяются помногу раз.

Вот, что красным выдаёт AVZ:
Ошибка загрузки драйвера - проверка прервана [C000036B]
>>>> Обнаружена маскировка процесса 6076 ?
>>>> Обнаружена маскировка процесса 4808 ?
>>>> Обнаружена маскировка процесса 5376 ?
>>>> Обнаружена маскировка процесса 5332 ?

Прямое чтение C:\Documents and Settings\Все пользователи\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_WLIDSVC\BUTTON.JS

Прямое чтение C:\Documents and Settings\Все пользователи\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_WLIDSVC\BUTTON.JS

Прямое чтение C:\Documents and Settings\All Users\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_WLIDSVC\BUTTON.JS

Прямое чтение C:\Documents and Settings\Все пользователи\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_WLIDSVC\LOCALIZATION.JS

[quote="trojandie;882401"]что меня насторажило "ipv4: 169.254.114.67"[/quote]
Этот ip выдается если dhcp не выдал ip. Если у Вас pppoe, то так и должно быть...

В логах ничего зловредного не видно. Попробуйте ночку "посидеть напрямик", без роутера.

К, спасибо.