Не заходит на сайты антивирусов.

Не заходит на сайты фирм, выпускающих антивирусные программы, в частности drweb.com, при попытке проследить где обрывается доступ через tracert видно что не выходит прямо с компьютера. Плюс через ZoneAlarm видно, что процесс, кажется svchost лезет в инет по куче IP, но сейчас уже ZA не запускается...

Жду советов, заранее спасибо.

1. Пожалуйста, выполните скрипт AVZ:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('\\?\globalroot\systemroot\system32\AzoopCI.exe', 'CHQ=N');
QuarantineFile('spus.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\82f29553.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\regedit.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System32\mswsock.dll', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\rsvpsp.dll', 'CHQ=G');
ExecuteWizard('TSW', 3, 3, true);
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить [url]http://virusinfo.info/index.php?page=uploadclean[/url]

Загрузил не по красной ссылке, а по той, которая указана в 3 пункте, вот что выдало:

Файл сохранён как100221_164859_virus_4b8139cb09e22.zipРазмер файла88097MD52fe762494c8c17e2007b648cf0a2ded8

Надо по красной ссылке еще загружать или нет?
В карантин попали только два файла, успел заметить краем глаза, что по остальным была ошибка, связанная с чем то вроде прямого чтения.
К стати на этот сайт со своего компа я тоже не могу зайти, все отправляю с другого, плюс эксплорер на том где вирус начинает запускаться только со второго раза.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Понял что наверное туплю и загрузил еще и по красной ссылке...

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 23 минуты[/I][/B][/color][/size]

То ли я что то не так сделал, то ли про меня забыли, то ли случай сложный.....

!!! База поcледний раз обновлялась 21.08.2009 -- Базы надо будет обновить.
Кибер тут развоевался, страшно ему мешать. ;)
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\LogWatNT.exe','');
DeleteFile('C:\WINDOWS\system32\82f29553.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\system32\AzoopCI.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
повторить логи.

Готово. У меня еще со вчерашнего дня стоит Spyboot, так он при перезагрузки после выполнения скрипта выдал что происходит попытка Regedit32 прописать regedit и какой то еще один фалй..., БЛИН, забыл какой :(. Да, и еще, обрати внимание на третью, или какая то из F2 строчку в hijackthis.log кажется там что то нето, может пофиксить стоит?

Да, а базу обновить не дает...

Отключите или деинсталлируйте ADware!
Спайбот тоже.
Профиксите:
[CODE]F2 - REG:system.ini: Shell=explorer.exe rundll32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,C:\WINDOWS\system32\82f29553.exe,\\?\globalroot\systemroot\system32\xeERAwu.exe,\\?\globalroot\systemroot\system32\AzoopCI.exe,
[/CODE]
После этого повторите логи.

на время выполнения скриптов и логов я их отключаю, но после перезапуска системы они запускаются на автомате... Снести их совсем?

Да, нет не надо. Вроде полегчало.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\82f29553.exe');
DeleteFile('C:\WINDOWS\system32\system32\AzoopCI.exe');
DeleteFile('C:\WINDOWS\system32\system32\xeERAwu.exe');
ExecuteRepair(20);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Затем Пуск -- Выполнить -- cmd, нажать ОК, -- route -f, нажать Enter
Перезагрузка.
Повторить логи.

Готово, наверное полегчало. Отправлял файлы, показалось что интернет начал тормозить... Может и показалось, или не с этим связано...

Точно полегчало :) DrWeb.com пингуется

avz базы обновил

Доброе утро :)

Что то мне вот эта строчка в логе не нравится:
---------------------------
HijackThis
---------------------------
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe

Detailed information on item O4:

This part of the scan checks for several suspicious entries that autoload when Windows starts. Autoloading entries can load a Registry script, VB script or JavaScriptfile, possibly causing the IE Start Page, Search Page, Search Bar and Search Assistant to revert back to a hijacker's page after a system reboot. Also, a DLL file can be loaded that can hook into several parts of your system.

Infected examples:

regedit c:\windows\system\sp.tmp /s
KERNEL32.VBS
c:\windows\temp\install.js
rundll32 C:\Program Files\NewDotNet\newdotnet4_5.dll,NewDotNetStartup

(Action taken: Registry value is deleted.)
---------------------------
OK
---------------------------

вроде бы на диске в этой папке нет такого файла.

И еще: вчера вечером вроде было все ок, загрузка проца минимальна, а сегодня опять на 50% загружен, показывает что фаерволом. На всякий случай новые логи.

И инет тормозит теперь....

Задействуйте.
Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(14);
Executerepair(16);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

P.S. Просьба выкладывать последние логи:)

Карантин закчал, выполняю пункты 1-3... )

готово

Систем ведет себя спокойно (ничто не грузит проц по TaskManager), инет летает. Пока ждал ответа, до того как ты напсал, сел поработать, покодить, в какой то момент стала печататься строчка "testtestesttest...", понажимал BackSpace и Esc, вроде прекратилось.

Сделайте лог MBAM

Готово.

Сейчас вроде все работает ок, но вот эти строчки в логе МВАМ подзрительные:

Registry Keys Infected:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
Registry Values Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

C:\WINDOWS\system32\1iGKEdc.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\9FQdh9Y.exe (Backdoor.Bot) -> No action taken.

G:\System Volume Information\_restore{F34BB857-D788-4B0C-B4E3-F2312AB6572C}\RP19\A0008773.exe (Trojan.Downloader) -> No action taken.

C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\Documents and Settings\R\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> No action taken.

[QUOTE='RomanТик;591270']сел поработать, покодить, в какой то момент стала печататься строчка "testtestesttest...", [/QUOTE] Не мешай AVZ кейлоггеров ловить
;)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

удали с диска:
[QUOTE]C:\WINDOWS\system32\1iGKEdc.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\9FQdh9Y.exe (Backdoor.Bot) -> No action taken.
[/QUOTE]
Потом можно и все, что в МВАМ не понравилось, удалить.

Лог МВАМ после этих операций повторить.

После перазагрузки после удаления через МВАМ как всегда запустился ZoneAlarm и начал усиленно с кем то боротся, под 50% загрузки проца, подозрительно.... Я его отключил и начал сканить дальше...

Быстрый скан МВАМ не нашел ничего, запустил полный, но это надолго, перед этим сделал лог AVZ и HijackThis, прикрепляю их.

[QUOTE='RomanТик;591377']как всегда запустился ZoneAlarm и начал усиленно с кем то боротся,[/QUOTE]
А посмотреть можешь, каково имя процесса?

в логах я плохого не увидел.