Подвисает интернет. Похоже на Win32.Kido.

Доброго времени суток!
Суть моей проблемы в следующем...
Некоторое время назад появилась проблема связанная с тем, что наглухо отваливается интернет. То есть после загрузки системы некоторое время все нормально (бывало даже всю ночь нормально работал если ничего не качать), но через какое-то время инет отваливается. Причем ни дисконекта ничего подобного. Пинг, трейс, ipconfig просто не запускаются.

Сначала с наскока решил переставить систему. Не помогло.
Почитал в интернете, похоже на вирус типа Kido. Правда, читал что среди признаков этого вируса невозможность попасть на сайты антивирусов, а у меня такого нет, сайты вроде все загружаются. Ну либо все не загружаются.

Пробовал лечить как написано тут [url]http://support.kaspersky.ru/faq/?qid=208636215[/url]. То есть поставил [URL="http://www.microsoft.com/rus/technet/security/bulletin/MS08-067.mspx"][B]MS08-067[/B][/URL], [URL="http://www.microsoft.com/rus/technet/security/bulletin/MS08-068.mspx"][B]MS08-068[/B][/URL], [URL="http://www.microsoft.com/rus/technet/security/bulletin/MS09-001.mspx"][B]MS09-001[/B][/URL] на всякий случай из безопасного режима, до кучи накатил SP3. Пробовал все шаги в точности как написано на этой странице. Не помогло. Подумал, может запустить утилиту KK.exe с параметром -m, дабы она убивала вирус в режиме реального времени... Все равно инет отваливается.

Кстати, замечено: если просто лазить в интернете, то может пару часов не отвалиться инет, если качать что-нибудь активно, то может до часа выдержать. Если включить скачку торрентов, больше 10-15 минут ни разу не проработал.

В общем, я уже впал в хандру и уныние, но тут нашел ваш замечательный сайт!!! Помогите пожалуйста мне избавиться от этой заразы. Внимательно прочитал правила и сделал все в точном соответствии с ними. Жду с нетерпеньем, и заранее СПАСИБО!

[B]C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\TT.lnk[/B] - что запускается этим ярлыком?

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.


-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\TT.lnk','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\mc25.tmp','');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\mc25.tmp');´
DeleteFileMask('C:\DOCUME~1\User\LOCALS~1\Temp','*.*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[QUOTE=Rene-gad;453137][B]C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\TT.lnk[/B] - что запускается этим ярлыком? [/QUOTE]
Этим ярлыком запускается VPN-соединение. Так у моего провайдера организована выделенка, сначала обычное соединение со статическим серым IP, сверху VPN с логин/паролем. Ярлык сделал просто для удобства чтобы каждый раз при загрузке компьютера не запускать руками.

Все сделал как Вы сказали. Вкладывают архивы.

Пролечитесь от файловых вирусов: [url]http://virusinfo.info/showthread.php?t=15927[/url]
После лечения: Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

Скачал Live CD DrWeb. Записал на диск и все проверил загрузившись с него. Антивирус ничего не нашел.
Вкладываю диагностику.

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]

Вложил Лог.

[QUOTE=Grinag;455146]Вложил Лог.[/QUOTE]Чисто.
Сделайте еще лог МБАМ [url]http://www.malwarebytes.org/mbam-download.php[/url]

+ Еще такой лог [url]http://virusinfo.info/showthread.php?t=40120[/url]

[QUOTE=Rene-gad;455273]Чисто.
[/QUOTE]
А между тем, за две минуты пока я качал этот дистриб, инет слелел аж два раза. Хотя, днем я комп оставлял включеным, он за весь день не подвесил интернет... Почему-то именно в моменты когда закачка идет подвешиваетсяч интернет.
[QUOTE=Rene-gad;455273]Сделайте еще лог МБАМ [URL]http://www.malwarebytes.org/mbam-download.php[/URL]
[/QUOTE]
Тут не понял: надо сделать полную проверку, и по результатам там можно будет лог сохранить? Или просто перейти на закладку "утилиты" и там нажать "сбор информации". Если второе, то mbam-info.txt . Если первое - то mbam-log-2009-08-25 (00-35-36).txt

[B]Alex_Goodwin,[/B] лог о котором Вы сказали тоже вложил.

АВЗ у вас старой версии. скачайте новый, обновите базы, сделайте стандартные логи.

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

Пришлите по правилам C:\WINDOWS\system32\CDClose.dll
Так же постарайтесь сделать поиск по "CDClose" по реестру и все записи найденные экспортировать в файл.

[QUOTE=Alex_Goodwin;455290]АВЗ у вас старой версии. скачайте новый, обновите базы, сделайте стандартные логи.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 12 минут[/I][/B][/COLOR][/SIZE]

Пришлите по правилам C:\WINDOWS\system32\CDClose.dll
Так же постарайтесь сделать поиск по "CDClose" по реестру и все записи найденные экспортировать в файл.[/QUOTE]
Там этого файла уже нету. Правда, он есть в карантине Malwarebytes' Anti-Malware. Я посмотрел, вроде бы там нет способа заархивировать его кроме как "восстановить". Сделать это?

Скачал с сайта касперского АВЗ. Правда, там неактивен пункт в меню "файл -> обновить", но я надеюсь что он там лежит самый новый.
Так же прошелся по реестру. Все что нашел вложил в архив, который прикрепил тут же. Правда, там еще есть записи, которые указывают на "C:\Documents and Settings\User\Мои документы\CDClose9.reg", где 9 - порядковый номер файла. Это туда я экспортировал записи реестра.
Эти записи я не стал вкладывать. Они получается по сути дублированы.

Восстановите, пришлите по правилам и потом переименуйте пока в .bak
АВЗ опять старый, скачайте у нас по правилам с официального сайта.

Все сделал. Скачал последний АВЗ, проверил, вложил логи.
Файл восстановил, заархивировал, заменил расширение исходного файла .dll на .bak.

Архив с CDClose.dll прислал с помощью верхней формы.

spy sweeper или Spyware Doctor стоит или стоял?
Наличие ключика в реестре можете посмотреть? [QUOTE]HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\mchInjDrv[/QUOTE]
Проблемы еще остались?

[QUOTE]spy sweeper или Spyware Doctor стоит или стоял?
Наличие ключика в реестре можете посмотреть?[/QUOTE]

Этих утилит не стоит. Поставить?
Вложил сделал экспорт этой ветки и вложил в сообщение.

[QUOTE]HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic e\mchInjDrv
Проблемы еще остались?[/QUOTE]

Да. Так же, когда закачки не ставлю, зависает крайне редко. Когда ставлю качать, особенно торенты, зависает 100% и очень быстро.

[QUOTE=Grinag;456105]Этих утилит не стоит. Поставить?[/QUOTE]Избави бог :D

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

[QUOTE=Grinag;456105]Когда ставлю качать, особенно торенты, зависает 100% и очень быстро.[/QUOTE]
У меня зависает по черному, если несколько архивов и логов открыты, а я их закрывать начинаю: у меня ПК 7 лет :)
Пролечитесь от файловых вирусов: [url]http://virusinfo.info/showthread.php?t=15927[/url].

CDClose.dll - чистый файл.
Поищите файл mchInjDrv.
Экспорт [CODE]HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\mchInjDrv[/CODE] не увидел. Но если есть, то надо удалить mchInjDrv
так как файлы в темпе от него.

[QUOTE='Rene-gad;456267']Пролечитесь от файловых вирусов[/QUOTE]
Вечером как буду дома, обязательно пролечусь

[QUOTE='Alex_Goodwin;456398']не увидел. Но если есть, то надо удалить mchInjDrv
так как файлы в темпе от него. [/QUOTE]
Блин, почему-то не присоединились. В общем там есть такая ветка в ней параметров штук 5 и еще одна папка. И в той папке тоже еще параметров несколько. Удалять всю ветку mchInjDrv?

Да.