Вирус win32/Corkow F. в оперативной памяти explorer.exe [not-a-virus:NetTool.Win32.Sniffer.dz ]

Помогите удалить вирус из оперативной памяти. Вирус win32/Corkow F. обнаруживается ESET NOD 32 (версия 4), но пишет - Оперативная память = explorer.exe(520) - модифицированный Win32/Corkow.F троянская программа - очистка невозможна.
Система Windows Vista Home Premium (32). Пробовал сканировать Kaspersky Removal Tool 10 и DrWeb CureIt - вирус не обнаруживается.

Файл логов не грузятся на сайт, так что кидаю их черех Яндекс.Диск:

virusinfo_syscheck.zip - [URL]http://yadi.sk/d/JFzKvgQO5NXKN[/URL]
virusinfo_syscure.zip - [URL]http://yadi.sk/d/ffLFaevI5NXIT[/URL]
hijackthis.log - [URL]http://yadi.sk/d/QTiL2SEb5NXId[/URL]

Буду очень благодарен за помощь!

Уважаемый(ая) [B]D@V[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[FONT=Century Gothic][COLOR="#ff3333"][SIZE=3]> Выполните скрипт в AVZ:[/SIZE][/COLOR][/FONT]

[CODE]
BEGIN
ClearQuarantine;
IF NOT IsWOW64 THEN
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\user\appdata\roaming\flash\cgminer.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Geooou.exe','');
DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Geooou.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Geooou');
DeleteFile('C:\Users\user\appdata\roaming\flash\cgminer.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
END.
[/CODE]

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "[B]Прислать запрошенный карантин[/B]", которая находится над первым сообщением этой темы, чтобы прислать [B]quarantine.zip[/B].

> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

[URL="http://virusinfo.info/showthread.php?t=115256"]Сделайте отчет программы RSIT.[/URL]

[COLOR="#ff3333"]_________________[/COLOR]
[SIZE=1][URL="http://virusinfo.info/showthread.php?t=7239"]> как выполнить скрипт в AVZ[/URL][/SIZE]

Скрипт выполнил, но нод32 [B]все равно обнаруживает вирус ! [/B]:(
Карантин отправил.
Вот все логи:
[ATTACH]421303[/ATTACH]
[ATTACH]421302[/ATTACH]
[ATTACH]421301[/ATTACH]

ProxyServer = 1.130.13.47:80 - сами прописывали ?

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\user\AppData\Roaming\Flash\update.vbs','');
QuarantineFile('C:\Users\user\AppData\Roaming\ScreenSaverPro.scr','');
QuarantineFileF('C:\Users\user\AppData\Roaming\Flash','*', true,'',0 ,0);
DeleteFile('C:\Users\user\AppData\Roaming\Flash\update.vbs');
DeleteFile('C:\Users\user\AppData\Roaming\ScreenSaverPro.scr');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Screen Saver Pro 3.1');
DeleteFileMask('C:\Users\user\AppData\Roaming\Flash', '*', true);
DeleteDirectory('C:\Users\user\AppData\Roaming\Flash');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

Все процедуры провел. Запрашиваемые Вами файлы пересылаю:
USER-ПК_2013-06-02_16-39-27.TXT - [url]http://yadi.sk/d/IvmQXSjB5R1py[/url]
MBAM-log-2013-06-03 (01-07-41).txt - [url]http://yadi.sk/d/dhOm6KGp5R1qw[/url]

Все процедуры провел. Запрашиваемые Вами файлы пересылаю:
USER-ПК_2013-06-02_16-39-27.TXT - [url]http://yadi.sk/d/IvmQXSjB5R1py[/url]
MBAM-log-2013-06-03 (01-07-41).txt - [url]http://yadi.sk/d/dhOm6KGp5R1qw[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.80.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.0

delref HTTP://WEBALTA.RU
delall F:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\DLL32.EXE
restart[/CODE]

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url]

[CODE]Объекты реестра обнаружены: 2
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Плохо: (http://webalta.ru) Хорошо: (http://www.google.com/) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Default_Page_URL (Hijack.StartPage) -> Плохо: (http://webalta.ru) Хорошо: (http://www.google.com/) -> Действие не было предпринято.
[/CODE]

+ если вам не знакомо
[CODE]Обнаруженные ключи в реестре: 1
HKCU\SOFTWARE\HiSoft\CrackDownloader (CrackTool.Agent) -> Действие не было предпринято.[/CODE]
тоже удалите.

что с проблемой ?

Спасибо большое за помощь! Все работает!

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин.

[CODE];uVS v3.80.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.0

zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT CORPORATION\XWTLV1.IFI
; C:\USERS\USER\APPDATA\ROAMING\MICROSOFT CORPORATION\XWTLV1.IFI
bl 0D7C4261A1BA042DE6054C6A92CD3208 459776
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT CORPORATION\XWTLV1.IFI
restart[/CODE]

Деинсталируйте MBAM, смените пароли.

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

сделайте новый образ автозапуска.

Все зараженные файлы были вылечины посредством переустановки Windows. Прошу прощения, что начал пудрить мозги хелперам, просто появилась возможность перебить виндовс, и я ею воспользовался. Еще раз спасибо, что оперативно отозвались.

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]39[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\user\\appdata\\roaming\\flash\\api.class - [B]not-a-virus:NetTool.Win32.Sniffer.dz[/B][*] c:\\users\\user\\appdata\\roaming\\flash\\cgminer.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.cqy[/B][/LIST][/LIST]