Браузер сам открывает ссылку

Здравствуйте, уважаемые гуру!
Помогите пожалуйста.
Дано.
Win7-64, ESS (нод нормально обновляется).
С некоторых пор (есть подозрение на конкретно установленную программу из случайного места) компьютер стал сильно тормозить и стали появляться следующие признаки живности
1.Примерно через 10 минут после запуска компа открывается ссылка в браузере по умолчанию (Мазила) на какое-то украинское СМИ. Если браузер не запущен - тогда запускается.
2. Стали выскакивать сообщения от ESS, по памяти, "подделка кэша DNS". Насколько помню dns настроены гугловские.
3.Сильно замедлена работа компьютера (почистили, температуру проверили). В перезагрузку тоже уходит ("Завершение работы....") крайне долго. Совсем недавно такого не было.
Что пробовалось.
1. Прогонка стандартным АВПТул ничего кроме знакомых файлов (вроде TNODEUP) не дала. Кстати, он вначале какую-то ошибку выдавал, ошибка загрузки драйвера вроде.
2. Пробовали поставить разрекламированные антируткиты (вроде Hitman, malware..., Spybot Search &Destroy, ...). Они без спроса снесли активацию, придрались к hasp и прочему. Пришлось делать множество откатов системы. В результате остались разные хвосты от разных установок, хаос системы увеличился. Больше пользоваться не буду. Переставлять винду не люблю.
3. В папке с-виндоус-темп лежат подозрительные файлы. Чистка руками ничего не дала, вкладка в браузере открывается снова.
Заранее благодарю.

Уважаемый(ая) [B]C0NSUL[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]c:\program files (x86)\common files\syspwow\syspwow.exe[/QUOTE]
Пришлите карантин согласно Приложения 1 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

1. Карантин с файлом "c:\program files (x86)\common files\syspwow\syspwow.exe" прислан по красной ссылке.
Файл сохранён как 150315_034749_virus_5504c8a55c417.zip
Размер файла 3194530
MD5 014581d9c2bf07c328170a05604fb801
2. Процедура ([url]http://virusinfo.info/content.php?r=290-virus-detector[/url]) проведена, однако файл virusinfo_auto_имя_вашего_ПК.zip, как архив, оказался пустым. Тем не менее прикрепил по инструкции. Подробности:
имяфайла virusinfo_auto_C0NSUL_STATION.zip,
MD5 карантина: 76CDB2BAD9582D23C1F6F4D868218D6C,
Размер файла: 22
3. Процедура Farbar Recovery Scan Tool выполнена. Подробности (2 файла) прикрепляю.

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3500780162-4066346404-1468765509-1001\...\Run: [AdobeBridge] => [X]
HKU\S-1-5-21-3500780162-4066346404-1468765509-1001\...\Run: [syspwow.exe] => C:\Program Files (x86)\Common Files\syspwow\syspwow.exe [10630286 2015-02-21] (Windows@Operating Company)
FF Extension: DuckDuckGo Plus - C:\Users\C0NSUL\AppData\Roaming\Mozilla\Firefox\Profiles\300insc4.default\Extensions\[email protected] [2014-03-09]
2014-08-12 16:44 - 2014-08-12 16:44 - 0004990 _____ () C:\ProgramData\rmyxsfnf.kny
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A
AlternateDataStreams: C:\ProgramData\TEMP:7980A5DB
AlternateDataStreams: C:\ProgramData\TEMP:810B9F0D
AlternateDataStreams: C:\ProgramData\TEMP:8DAF83BD
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC
AlternateDataStreams: C:\ProgramData\TEMP:B6AC352B
AlternateDataStreams: C:\ProgramData\TEMP:C59E90A4
AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A
AlternateDataStreams: C:\Users\Все пользователи\TEMP:7980A5DB
AlternateDataStreams: C:\Users\Все пользователи\TEMP:810B9F0D
AlternateDataStreams: C:\Users\Все пользователи\TEMP:8DAF83BD
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC
AlternateDataStreams: C:\Users\Все пользователи\TEMP:B6AC352B
AlternateDataStreams: C:\Users\Все пользователи\TEMP:C59E90A4
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Создал файл.
Запустил программу, пофиксил, создался лог-файл.
Перезагрузился.
Лог-файл - прикрепляю.

Что с проблемой?

Специально подождал проявление выскакивающей ссылки, так как выскакивала не сразу.
Прошло часа 2-3.
1. Ссылка в браузере-Мозиле более не открывается (как указано в 1м сообщении темы)
2. Комп стал заметно пошустрее.
Похоже живность удалена.

Однако по прежнему выскакивает сообщение NOD-a
"15.03.2015 21:45:19 Обнаружена атака путем подделки записей кэша DNS 77.88.8.1:53 192.168.[xxx].[xxx]:57965 UDP C:\Windows\System32\svchost.exe NT AUTHORITY\NETWORK SERVICE"
Возможно, это результат неправильной маршрутизации трафика (На компе настроены Яндекс DNS).
Если так, то вопрос, конечно, не к вам.
___
Скажите также пожалуйста, что это была за живность
Где именно эта живность живет, где мог поймать (флешки, браузер, файлы из почты...)

[QUOTE]"15.03.2015 21:45:19 Обнаружена атака путем подделки записей кэша DNS 77.88.8.1:53 192.168.[/QUOTE]
Это Яндекс DNS.

[QUOTE]Скажите также пожалуйста, что это была за живность[/QUOTE]
[QUOTE]c:\program files (x86)\common files\syspwow\syspwow.exe[/QUOTE]
Видимо эта программа гадила, т.к. я ее только из автозагрузки убрал. Файл удалите вручную.

Странно. Прогнал этот файл на Virustotal, показал что чистый 0/57.
А вот эти все другие процедуры и карантины, ничего вирусного не выявили?

[QUOTE]А вот эти все другие процедуры и карантины, ничего вирусного не выявили?[/QUOTE]
Плохого не видно.

Странно. Но кто-то же открывал ссылку в Мазиле.
________
К слову сказать, вот это не исчезло.
[CODE]C:\Windows\Temp\TmpFile1[/CODE]
8мб
НОД не проверяет, пишет "ошибка открытия"
На Вирустотал не хочет идти, говорит "процесс занят"
В сети встречаются обсуждения, но конкретного ответа не нашел. Чаще обсуждают "TmpFile1.exe"

[QUOTE]c:\program files (x86)\common files\syspwow\syspwow.exe[/QUOTE]

Возможно эта программа после запуска открывала ссылку в Mozilla.

:-/
...скажите, как удалить C:\Windows\Temp\TmpFile1

Попробуйте в безопасном режиме удалить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]