Generic Host Process Win 32 подвешивает интернет, Аваст детектит Malware Gen и Rootkit gen

[FONT=Times New Roman][SIZE=3]Помогите, пожалуйста. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Проблема началась давно, вирус отключил диспетчер задач, не позволял загрузить ни один антивирус или выйти на их сайты в Интернете. Пригласила я на помощь вроде бы знающего человека, который, отчаявшись поставить на компьютер хоть какую-либо антивирусную программу, предложил форматирование всего жесткого диска и переустановку Windows. Сделали. Установили Аваст. Стало только хуже.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Сразу же при загрузке Windows появляется сообщение «Run-time error 9», в диспетчере задач висит unwanted instance – заставляет комп обращаться к дисководу флоппи-дискет (звук характерный). Можно снять задачу – но при перезагрузке все повторяется.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]При выходе в Интернет появляется сообщение Generic Host Process Win 32 – обнаружена ошибка, после чего виснет не только Интернет, но и весь компьютер. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Dr.Web Cure it при первом сканировании показал наличие зараженных файлов exe в папке C:Windows/system 32 Win32HLLW Lime 8.[/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Делала потом полное сканирование – вирусов не нашел, но сказал, что изменен файл Hosts.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Аваст при работе в Интернете все время выдает сообщение о проникновении Malware gen и Rootkit gen, находит зараженные файлы в папке C: Documents and Settings – Temporary Internet files.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Какой-то полный хаос. Я боюсь отдавать компьютер в руки еще кому-либо. Нашла ваш сайт, даже постаралась разобраться со всеми правилами. Если что-то сделала не совсем так – сильно не ругайтесь, хорошо?[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Буду очень признательна за помощь, или хотя бы совет – может, такой винчестер только заменить остается?[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.


В HiJackThis пофиксите:

[code]
R3 - URLSearchHook: (no name) - - (no file)
[/code]


В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\msvmcls64.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\788.exe');
TerminateProcessByName('c:\windows\cidrive32.exe');
QuarantineFile('C:\WINDOWS\system32\scdll.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3396682965-3832156929-200326028-2301\syscr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-2659557536-5892251697-427265465-9432\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4849103391-2635055441-558945159-4733\syscr.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\788.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmcls64.exe','');
QuarantineFile('C:\WINDOWS\cidrive32.exe','');
QuarantineFile('c:\windows\system32\msvmcls64.exe','');
QuarantineFile('c:\windows\cidrive32.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\788.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\788.exe');
DeleteFile('c:\windows\cidrive32.exe');
DeleteFile('c:\windows\system32\msvmcls64.exe');
DeleteFile('C:\WINDOWS\cidrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\788.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable');
DeleteFile('C:\RECYCLER\S-1-5-21-4849103391-2635055441-558945159-4733\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3396682965-3832156929-200326028-2301\syscr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-2659557536-5892251697-427265465-9432\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
DeleteFile('C:\WINDOWS\system32\scdll.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','87');
BC_ImportDeletedList;
ExecuteSysClean;
executewizard('TSW',3,3,true);
clearhostsfile;
BC_Activate;
RebootWindows(true);
end.
[/code]



После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы/
[B][COLOR="Red"]Базы AVZ обновите![/COLOR][/B]
Логи повторите.

Базы обновила.
Пофиксить в HIjackThis указанную строку не могу - ее просто нет. В процессе работы эта программа выдает сообщение - You have a particularly large amount of hijacked domains. И далее предлатает - If you see the same IP address in all reported 01 items, consider deleting your hosts file which is located at C:\Windows\System32\dirvers\etc\hosts
Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Карантин AVZ я отправила. Кстати, после выполненного скрипта при загрузке исчезла ошибка Run-time error и программка unwanted instance тоже автоматически не запустилась.

[QUOTE='миднайт;635692']Логи повторите. [/QUOTE]
Сделайте новые логи

Новые логи высылаю.

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('C:\WINDOWS\system32\Instmtv.exe');
QuarantineFile('C:\WINDOWS\system32\12.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\Instmtv.exe','');
DeleteFile('C:\WINDOWS\system32\Instmtv.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
DeleteFile('C:\WINDOWS\system32\12.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Карантин и новый логи отправляю

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\msvmcls64.exe');
QuarantineFile('C:\WINDOWS\system32\23.exe','');
QuarantineFile('C:\WINDOWS\system32\28.scr','');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3470484977-4172331039-145097354-2159\syscr.exe');
DeleteFile('C:\WINDOWS\system32\28.scr');
DeleteFile('C:\WINDOWS\system32\23.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
Executerepair(11);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
Сделайте лог MBAM

Посылаю новые логи. То, что показала Antimalware - привело в тихий ужас. И откуда это все - ведь весь диск форматировали и систему переустанавливали:(

Просканируйте ПК MBAM и удалите все что найдет.
Сделайте новый лог virusinfo_syscheck.zip и лог MBAM

Дополнительно к совету [B]shapel[/B]

Лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url] сделайте

После лечения AntiMalware

И только что, как отправила эти логи, выскочило старое сообщение Generic Host Process for Win 32 - обнаружена ошибка.
И Аваст (включается при перезагрузке) опять прозвенел о заражении - теперь VB-PFC (Drp)

Выполните рекомендации коллеги [B]thyrex [/B]

Лог от ComboFix

Что-то упрямая зараза, кажется.
Вы не можете хоть намекнуть - как она могла появиться: осталась где-то на жестком диске после форматирования или занесли при загрузке новой системы? Или это установить невозможно?

И еще - может ли с этим вирусом быть связан сбой в работе дисковода (например, он перестал читать некоторые диски, причем как CD, так и DVD. По времени эти проблемы совпали (дисковод стал барахлить в процессе форматирования/переустановки). Может - совпадение?

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\dn.exe
c:\windows\system32\drivers\hosts

Driver::

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\system32\\dn.exe"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Вот, новый отчет.

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
C:\ms.exe

Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MS Virtual CLS"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Выполнено

Сделайте лог МВАМ

Скачайте [url=http://download.bleepingcomputer.com/andymanchesta/SDFix.exe]SDFix[/url], [B]загрузитесь в безопасном режиме[/B], запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из [B]C:\Report.txt[/B] и вставьте в следующее сообщение или запакуйте файл [B]C:\Report.txt[/B] и прикрепите к сообщению