Постоянно изменяется файл hosts

Здравствуйте, постоянно изменяется файл hosts, проверял в безопасном режиме Dr. Web'ом, он нашёл 1 вирус - DFH.HOSTS.corrupted, и всё. Яндекс защитник постоянно утверждает, что в hosts появились подозрительные файлы, и спрашивает разрешение удалить их, при утвердительном нажатии открывается на 2-3 секунды fixhosts и всё. Некоторые сайты блокируются, я возвращаю файл hosts в нормальное состояние с помощью AVZ, но всё равно при перезагрузке всё повторяется. С помощью AVZ не получается добавить файлы в карантин (хотя он около часа выполнял скрипт). Вот что он пишет (p.s. Карантин постоянно пуст):
Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\AVZ - virusinfo_syscure.zip)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (AVZ - virusinfo_syscheck.zip)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\AVZ - virusinfo_syscheck.zip)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\AVZ - virusinfo_syscheck.zip)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (HJT - hijackthis.log)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\HJT - hijackthis.log)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\HJT - hijackthis.log)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log)
Карантин с использованием прямого чтения - ошибка
Поэтому не могу вложить то что вы просите. Ах да, и ещё проверял компьютер вчера Маврбайтсом, касперским, авастом, все кроме касперского что-то находили, первый антивирус вообще нашел 44 угрозы... Ну вобщем вроде всё удалил, но проблема не исчезла, hosts всё равно изменяется.

Уважаемый(ая) [B]Zagibok[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[URL="http://virusinfo.info/content.php?r=136-pravila"] [B]Правила[/B] [/URL] [QUOTE][B]4.[/B] Создайте новую тему в разделе Помогите с кратким описанием проблемы в заголовке и подробным описанием в сообщении; вложите в сообщение файлы логов, полученных в процессе диагностики (AVZ - [B]virusinfo_syscure.zip[/B], AVZ - [B]virusinfo_syscheck.zip[/B], HJT - [B]hijackthis.log[/B][/QUOTE]Ознакомьтесь более детально с разделом Диагностика в правилах, там описано как подготовить правильно логи.

Всё сделал как там написано, запустил стандартный скрипт в AVZ, перезагрузил компьютер, запустил скрипт сбора информации, попытался добавить в карантин нужные файлы, но снова вылезает ошибка прямого чтения ! В карантине нет никаких файлов !

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Есть ли возможность вручную добавить файлы?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Кстати, после перезагрузки файл hosts не изменился, что странно...

[b]Zagibok[/b], Выполняйте все по инструкции и ничего более!

[ATTACH]396788[/ATTACH]
[ATTACH]396789[/ATTACH]
[ATTACH]396790[/ATTACH]

Здравствуйте !!!
Пофиксите в HijackThis:
[CODE]R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)[/CODE]
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\ProgramData\GhtTEvF8wC.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[ATTACH]396812[/ATTACH]
[ATTACH]396813[/ATTACH]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
DeleteFile('C:\ProgramData\GhtTEvF8wC.dll');
executerepair(14);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

Повторите virusinfo_syscheck.zip

Пожалуйста

Что с проблемой?

c:\program files\joxi\joxi.exe - программа Ваша?

[QUOTE=Techno;957831]Что с проблемой?

c:\program files\joxi\joxi.exe - программа Ваша?[/QUOTE]
Проблема у меня пропала еще днём, утром только после проверки доктора веба опять появились строки подозрительные, я файл hosts снова вернул в стандартное состояние с помощью AVZ. Пока ничего подозрительного не вижу. Joxi - это программа и одновременно хостинг, через который я делаю скриншоты. Но не могу быть уверен в программе на 100%, просто она очень удобная.

- [URL="http://virusinfo.info/showthread.php?t=49691&highlight=RSIT"]Сделайте лог RSIT[/URL]

Держите.

Содержимое этих двух файлов, откройте в блокноте и покажите текст из файлов в следующем сообщении. Файлы [QUOTE]C:\Windows\tasks\At1.job
C:\Windows\tasks\At2.job[/QUOTE]

[QUOTE=mrak74;957845]Содержимое этих двух файлов, откройте в блокноте и покажите текст из файлов в следующем сообщении. Файлы[/QUOTE]
Простите, не совсем понял. Вот это ?
C:\Windows\tasks\Adobe Flash Player Updater.job
C:\Windows\tasks\At1.job
C:\Windows\tasks\At2.job
C:\Windows\tasks\GoogleUpdateTaskMachineCore.job
C:\Windows\tasks\GoogleUpdateTaskMachineUA.job

Нет только [QUOTE]C:\Windows\tasks\At1.job
C:\Windows\tasks\At2.job[/QUOTE] эти 2-ва файла ?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Выделите, правой кнопкой мыши, открыть с помощью, выберите блокнот, содержимое покажите, скопируйте вставьте в следующее сообщение.

Мне пишет - отказано в доступе, поэтому и переспрашиваю...

Удалите файлы.
[CODE]C:\Windows\tasks\At1.job
C:\Windows\tasks\At2.job[/CODE]

Сделал.

Больше ничего необычного.

Проверяйте всё ли нормально.

[QUOTE=Techno;957860]Больше ничего необычного.

Проверяйте всё ли нормально.[/QUOTE]

Как я говорил, пока ничего подозрительного не вижу, завтра отпишу, изменился ли hosts. Зараннее благодарю.

К сожалению я сегодня уходил, за компьютером сидел другой человек, и вылезло опять требование отправить смс на сайте "одноклассники". Вот что добавляется в файл hosts (сегодня записей больше чем обычно).
127.0.0.1 pinun.ru webmurk.ru xy4-anonymizer.ru unboo.ru spoolls.com razblokirovatdostup.ru
127.0.0.1 anonim.ttu.su websplatt.ru diazoom.ru vhodilka.ru nemir.ru urlbl.ru
127.0.0.1 o.vhodilka.ru timp.ru hellhead.ru antiblock.ru dostupest.ru anonimix.ru
127.0.0.1 waitplay.ru anonim.do.am workandtalk.ru netdostupa.com jelya.ru v.vhodilka.ru
127.0.0.1 adminimus.ru nekontakt2.ru anonymizer.ru neklassniki.ru dardan.ru dostyp.ru
127.0.0.1 obhodilka.ru nezayti.ru webvpn.org raskruty.ru cameleo.ru ok-anonimaizer.ru

Причем эти записи опущены в самый низ, то есть блокнот нужно прокрутить, я так понял, это для того чтобы спрятать записи...Вобщем, думал, компьютер чист, а оказывается, ничего так и не изменилось...

Почему-то моё сообщение не добавилось. Пишу ещё раз - проблема не исчезла, на сайте "одноклассники" снова требовалось отправить смс, снова всплыл яндекс-защитник, вобщем, все по старому...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Если нужно, могу скинуть сюда с файла hosts записи, которые добавляются в него.

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].

Вот

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

В файле hosts кроме "127.0.0.1 localhost" ничего нет вообще...

- [URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кеш и куки браузеров[/URL]

Что с проблемой?

Спасибо большое, сегодня защитник яндекса не вылезал. Очень вам благодарен.

- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]