settingsmodifierwin32possiblehostsfilehijack

Мой анти-вирус (microsoft security essentials) нашел вредоносный файл (settingsmodifier:win32/possiblehostsfilehijack) , я попытался его удалить но после перезагрузки компьютера анти-вирус его снова нашел. Подскажите что делать.

Уважаемый(ая) [B]TPO_3ABP[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

А еще яндекс защитник пишет об изменениях файла hosts(также после каждой перезагрузки компьютера).

[url]http://virusinfo.info/pravila.html[/url]

Доброго времени суток. Мой анти вирус(Microsoft Security Essentials) нашел вредоносную программу : [B]SettingsModifier:Win32/PossibleHostsFileHijack[/B], а яндекс защитник написал об изменении файла hosts(появление подозрительных записей). Я удалил вирус, удалил подозрительные записи в hosts. Но, после перезагрузки компьютера анти вирус снова обнаружил этот же вирус, а яндекс защитник подозрительные записи. Я пробовал Dr.web cureit и Kaspersky virus removal tool но они не помогли с [I]этой[/I] проблемой.

P.s Стоит Windows 7.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteFile('C:\Users\2BA0~1\AppData\Local\Temp\89298341FdOh');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Максим\ms.exe','');
DeleteFile('C:\Users\Максим\ms.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','explorer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','89299059');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Очистите куки и кэш браузеров, кэш Java

Сделайте новые логи

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

Всмысле новые логи? AVZ и Hijack так-же как в прошлый раз?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

когда я нажимаю прислать запрошенный карантин :

Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Вот

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
DeleteFile('C:\Windows\tasks\At1.job');
QuarantineFile('C:\PROGRA~2\LOCALS~1\Temp\mszzemfr.cmd','');
DeleteFile('C:\PROGRA~2\LOCALS~1\Temp\mszzemfr.cmd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','10817');
ExecuteREpair(13);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Повторите логи АВЗ и РСИТ.

Вот

Что с проблемой?

Из реестра нужно удалить:
[CODE]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\10817[/CODE]
АВЗ не хочет удалять...

Да скоко раз перезагружал камп ни разу не вылезло сообщение.
Щас код пропишу... ведь выполнить скрипт надо?

В логах порядок.

ТОлько вот этот хвост надо удалить:[CODE]HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\10817[/CODE]

Как найти этот файлик?

Это не файл. Это запись в реестре.

[URL="http://support.kaspersky.ru/1327"]Как открыть редактор реестра[/URL]

[URL="http://www.oszone.net/7836/"]Если не будет удаляться - дать себе права на эту ветку.[/URL]

Лишнего не удалите!!!

Нашел, удаляю.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Пишет : не удается удалить выделеные параметры

[quote="TPO_3ABP;958157"]Пишет : не удается удалить выделеные параметры[/quote]
Понятно...

Правой кнопкой по HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run - разрешения.
Давайте себе права.

Я ступил :( чтобы посмотреть имя пользователя вышел из системы все программы закрылись

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

заново пробовать теперь

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

все вроде, теперь удалять?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Удалил

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

:sleeping:

Ок. hijackthis повторите.

Все работает? Проблема решена?

Даже незнаю... Я не обращал особого внимание на работоспособность... Но анти вирус не находит больше угроз, и об изменениях hosts не пишется...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Остается только надеяться что новых проблем не появится.

MediaGet2 сами устанавливали? Если нет - то удалите через установку/удаление программ.

Media get...давненько установил, потом Dr.web cureit его удалил, через некоторое время я случайно при загрузке файла нажал "открыть в media get", сюдя по виду он обновился, и стал снова работоспособным. Не знаю, возможно обновился до media get 2...:suicide2:

Ясно. В общем в логах порядок. Тему закрываю.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]