Прекращена работа Хост-процесс для службы Windows [not-a-virus:RemoteAdmin.Win32.RAdmin.jh, Trojan-Downloader.Win32.Agent.xwht ]

Добрый день!
при загрузке win7 64 выходит окошко

Прекращена работа Хост-процесс для службы Windows

в логах

Имя сбойного приложения: svchost.exe, версия: 6.1.7600.16385, отметка времени: 0x4a5bc100
Имя сбойного модуля: KERNELBASE.dll, версия: 6.1.7601.18015, отметка времени 0x50b83c8a
Код исключения: 0x0eedfade
Смещение ошибки: 0x0000c41f
Идентификатор сбойного процесса: 0x11cc
Время запуска сбойного приложения: 0x01ce1a314e7da9ef
Путь сбойного приложения: C:\Windows\SysWOW64\svchost.exe
Путь сбойного модуля: C:\Windows\syswow64\KERNELBASE.dll
Код отчета: 90aa4ed4-8624-11e2-a9a8-544249586b77

так же удаляется файл hosts

Уважаемый(ая) [B]serega74[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code] begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\system32\config\svchost.exe','');
QuarantineFile('C:\Users\Serega\AppData\Roaming\651749\651749.exe','');
DeleteFile('C:\Users\Serega\AppData\Roaming\651749\651749.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Classes');
DeleteFile('C:\Windows\system32\config\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделал!

окошко не выскочило.
файла hosts на месте нет.

- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru[/CODE]

Повторите hijackthis, что с проблемой?

сделал!

все осталось как было.
файл hosts восстанавливаю обычными средствами ([url]http://support.microsoft.com/kb/972034/ru[/url]), но при перезагрузке он так же пропадает!

Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]

сделал!

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры: њ°ґp.!*щБXп?$Nй„Вp’ґц1
FР[^ўssВШЋ#ЕOQ*ќ`nзБъu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„i'&
ш0ЅЛЅlЂЫNxУИж¦5ИъQ
ї!*Cдeѓu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„ioђц%·°sЬ$XпA K•дu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„iu“kЃЙ„io
Хю(3! -> Действие не было предпринято.

C:\Users\Serega\AppData\Roaming\winxrar (Trojan.Agent) -> Действие не было предпринято.

D:\Temp\kb909241x.exe (Trojan.Agent) -> Действие не было предпринято.
D:\Temp\vReveal_setup.exe (Adware.Agent) -> Действие не было предпринято.
D:\Temp\убрать эф.кр.глаз\RedEyePilot 3.01\patch\patch.exe (Trojan.Dropper) -> Действие не было предпринято.

C:\Users\Serega\AppData\Roaming\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\after.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\aview (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\dir.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\dot.gif (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\htmlayout.dll (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\key (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\logo.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\logo2.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\MyriadWebPro-Condensed.ttf (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-h-scroll-next.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-h-scroll-prev.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-scroll-back.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-scroll-base.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-scroll-slider.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-v-scroll-next.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\sb-v-scroll-prev.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Serega\AppData\Roaming\winxrar\scroll.css (Trojan.Agent) -> Действие не было предпринято.[/CODE]

сделал...
вот лог
ничего не поменялось...
hosts так же удаляется.
после первого перезапуска после MBAM бук не запустился...после очистки

еще заметил, при работающем MBAM защел как обычно на сайт [url]www.webpark.ru[/url]
MBAM тут же ругнулся на подобный exeшник C:\Users\Serega\AppData\Roaming\651749\651749.exe по этому пути.
только цифры были другие. и заблокировал его!.
только у одного меня так?

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

сделал...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

после перезагрузки ComboFix бук не запустился.
безопасный, потом обычный - запустился.
файла hosts на месте нет.

Какие проблемы остались?

файл hosts удаляется при перезагрузке.
это проблема?

[quote="serega74;979984"]файл hosts удаляется при перезагрузке.[/quote]
А как он появляется?
В какой папке и как называется?

обычными средствами ([url]http://support.microsoft.com/kb/972034/ru[/url]) востанавливаю, после пергазгузки он пропадает.
лежит тут.
C:\Windows\System32\drivers\etc
hosts
в системе пишет ошибку!
обычно удаляет вирус, если не всегда...хочеться его найти.

Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL]

ок!

Выполните скрипт в AVZ:
[CODE]begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\Serega\AppData\Roaming\Gyet\payw.exe','');
QuarantineFile('C:\Windows\system32\machineupdate32.exe','');
QuarantineFile('C:\Users\Serega\AppData\Roaming\Microsoft\taskhost.exe','');
QuarantineFile('C:\Program Files\svchost.exe','');
QuarantineFile('C:\Users\Serega\AppData\Roaming\netprotocol.exe','');
DeleteFile('C:\Users\Serega\AppData\Roaming\Gyet\payw.exe');
DeleteFile('C:\Windows\system32\machineupdate32.exe');
DeleteFile('C:\Users\Serega\AppData\Roaming\Microsoft\taskhost.exe');
DeleteFile('C:\Program Files\svchost.exe');
DeleteFile('C:\Users\Serega\AppData\Roaming\netprotocol.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

сделал.
пишет что quarantine.zip уже был загружен...

Какая версия антивируса у Вас, "Системы предотвращения вторжений на узел" в Вашей версии имеется ?

eset smart secuirity 5
имеет.., вроде как..

Откройте антивирус, раздел Настройки - Перейти к дополнительным настройкам - Компьютер - Система предотвращения вторжения на узел - Конфигурировать правила - Создать -
Имя - любое
Действие - "Запросить" (или "Блокировать", поставьте галочку "Уведомлять пользователя"
На вкладке "Конечные реестр":
- в списке "Операции" включить галочку "Использовать для всех операций";
- в списке "Над этими записями реестра" нажать кнопку "Добавить" и затем поочередно добавить с список следующие пути в реестре:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DataBasePath

Перезагрузите компьютер, предотвращает изминения файла HOSTS.

сделал.
перегрузился.
восстановил hosts
перегрузился
hosts отсутствует!

Галочка на пункте "Включить систему предотвращения вторжения на узел" стоит ? По умолчанию отключено, срабатывает только после перезагрузки компьютера. У файла HOSTS атрибуты какие установлены ?

стоит
нет, арибутов нет.

Вопрос не решить?

[url]http://virusinfo.info/showthread.php?t=121767[/url] такой лог сделайте. Файл HOSTS точно пропадает, а не становится скрытным системным после перезагрузки? Иногда приходится применять нестандартные решения, типо если невозможно отследить как исчезает, нужно его защитить (имунизировать), программы которые умеют это делать, первое пришедшее в голову spyware terminator, spybot search and destroy, если "что-то" удаляло файл HOSTS но не сможет, обязательно выдаст ошибку, а через ошибку можно попробовать отследить приложение которое это делало. Но сначала лог uVS.

Удаляет точно!
в логах постонно проскакивает ошибка.


Имя журнала: System
Источник: Microsoft-Windows-DNS-Client
Дата: 09.03.2013 15:45:50
Код события: 1012
Категория задачи:Отсутствует
Уровень: Ошибка
Ключевые слова:
Пользователь: NETWORK SERVICE
Компьютер: Serega-VAIO
Описание:
При попытке чтения файла локальных узлов произошла ошибка.
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Microsoft-Windows-DNS-Client" Guid="{1C95126E-7EEA-49A9-A3FE-A378B03DDB4D}" />
<EventID>1012</EventID>
<Version>0</Version>
<Level>2</Level>
<Task>0</Task>
<Opcode>0</Opcode>
<Keywords>0x4000000000000000</Keywords>
<TimeCreated SystemTime="2013-03-09T09:45:50.535612300Z" />
<EventRecordID>3065978</EventRecordID>
<Correlation />
<Execution ProcessID="1368" ThreadID="5664" />
<Channel>System</Channel>
<Computer>Serega-VAIO</Computer>
<Security UserID="S-1-5-20" />
</System>
<EventData>
<Data Name="ErrorCode">3221225485</Data>
<Data Name="Location">0</Data>
<Data Name="Context">0</Data>
</EventData>
</Event>

не могу загрузить файл, 800кб
как почистить, те файлы. что уже были загружены?

[url]http://virusinfo.info/showthread.php?t=130567[/url]

[quote="serega74;980418"]как почистить, те файлы. что уже были загружены?[/quote]
Мой кабинет - Вложения

лог.[ATTACH]408023[/ATTACH]

Выполните скрипт в uVS [url]http://virusinfo.info/showthread.php?t=122012[/url]
[CODE];uVS v3.77.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref HTTP://BROWSERHELP2.RU
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU
deltmp
delnfr
restart[/CODE]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[URL="http://rghost.ru/44390914"]файл HOSTS[/URL] попробуйте его положить вместо того который Вы создавали, перезагрузитесь сообщите пропал или остался.

сделал!
файл HOSTS , который Вы прислали, на месте остался, т.к. он txt
обычный так же удаляется!:(

Отображение скрытых файлов включено?

Конечно!

И там только один файл hosts? И какое у него содержимое?

там вообще неск. файлов
lmhosts.sam
networks
protocol
services
и сейчас есть hosts.txt
содержимое то же как и присылал mrak74

файла hosts нет!

[url]http://rghost.ru/44395265[/url] перезалил, повидимому предыдущий случайно в txt сохранил.

Еще раз сделайте combofix