Помогите, что это за вирус?

[trojandie]

Доброй ночи, пару часов назад у меня мозилла открыла сама сайт system-keeper.ru Там на весь экран было сообщение, что на компьютере возможен вирус. Я подумал это какой-то фишинг сайт и закрыл приложение через диспетчер задач. После чего стал искать изменённые файлы на компьютере. Нашёл такого рода странички: xp_proxy.php Открыл блокнотом там были ссылки типо:
http://connect. facebook. net/rsrc.php/v1/yQ/r/f3KaqM7xIBg.swf
Система Win7, x64
Сканировал AVZ4 нашёл 5 процессов ?.exe завершить их невозможно, в диспетчере задач таких процессов не видно!

[Info_bot]

Уважаемый(ая) trojandie, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[trojandie]

Меня настораживает одно, что я пока не замечаю никаких проблем. Trend Micro ничего не нашёл, а вот AVZ4 ругается на маскировку процессов.

[thyrex]

На маскировки внимания не обращайте. Это нормальное поведение для AVZ на системах, подобных Вашей

Сделайте лог полного сканирования МВАМ

[trojandie]

Как удалять с помощю MBAM указанные в теме элементы?

У Вас опечатка)

Добавлено через 28 минут

Сделал полное сканирование ничего не нашло.

[Bratez]

У Вас опечатка)

Спасибо, исправил.

Сделал полное сканирование ничего не нашло.

Лог прикрепите, посмотрим.

[trojandie]

При попытке открыть explorer.exe в папке Windows и на панеле задач выдаёт ошибку "этому файлу не сопоставлена программа для выполнения этого действия". Что это может быть?
(но через Win+E запускается)

Добавлено через 10 минут

CLDigitalHome вот такая вот папка не удаляется в Temp.

[trojandie]

Почему-то сейчас в диспетчере задач увидел 5 процессов explorer.exe

[thyrex]

Ничего необычного логи не показали

[trojandie]

Ну явно вирус! Гляньте, что это может быть. Сделал скрин: wtf2.png

[Bratez]

На скрине просто вкладка в браузере, закройте ее, потом закройте сам браузер.
Пофиксите в HijackThis:

O17 - HKLM\System\CCS\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS1\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS2\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243

Перезагрузите компьютер, сделайте новый лог HijackThis, проверьте что изменилось.

[trojandie]

O17 - HKLM\System\CCS\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS1\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243
O17 - HKLM\System\CS2\Services\Tcpip\..\{3046B3D7-31BE-44E7-ACA9-8FA46DE47B00}: NameServer = 83.149.24.244 83.149.24.243

Это вроде сервер Мегафон интернета, если я не ошибаюсь, а вот, что за сайт уже 2ой раз выскочил system-keeper.ru Это же явно не Майкросовтовский...

[thyrex]

В Интеренет выходите через роутер? Если это так, проверяйте его настройки

[trojandie]

Да, через роутер, а что может быть там не так?

[thyrex]

Настройки DNS сервера проверьте. Скорее всего там прописались чужеродные

[trojandie]

Как?
У меня постоянно с 1:40 - 2:10 примерно МСК начал рваться интернет (длится такое дней 5-6). Высокие потери/пинг растёт до 10 секунд! Тех.поддержка говорит разное каждый день, некоторые инженеры говорят у вас вирус, потому, что с их стороны всё нормально, другие же видят потери с их стороны и перезапускают оборудование.

Интернет выделенный, в сети 2 компьютера кабель интернета всовывается в свитчер, оттуда на 2 компа выходят 2 кабеля. Оба компьютера в это время имеют схожую проблему. Либо пинг и потери, либо вовсе рвётся сетка. Попробовал всунуть кабель интернета напрямую выдало вот такой вот странный IP, что меня насторажило "ipv4: 169.254.114.67" Это явно не мой провайдер чей-то прокси. В интернете поискал инфу на него нашёл пару ссылок.

Сегодня на первом компьютере отключился интернет в 1:27 судя по логу... Я вообще спал. Запущены были только IRC клиент, которым пользуюсь много лет и Steam клиент. Не просто отключился, а снова "сеть недоступна" кабель в мамке тоже не горит, на втором компьютере аналогичная проблема. Такое впечатление, что вирус что-то копирует или использует мой интернет в это время. Что это может быть? И как проверить DNS сервера? Я DNS не настраивал, просто всунул кабель в свитч и всё работало пару лет без проблем и таких обрывов сети Всякие KidoKiller запускал сканировал комп уже всем, чем только можно) я уже боюсь ища вирус поймать другой))))))

[thyrex]

Попробовал всунуть кабель интернета напрямую выдало вот такой вот странный IP, что меня насторажило "ipv4: 169.254.114.67"

Ну вот и измените настройки роутера, чтобы там не было этих DNS

[trojandie]

Дело, в том, что в настройках роутера их нет! Я не понимаю, что происходит. Каждый день с 1:45 - 2:05 примерно рвётся сетка, причём на обоих компьютерах пропадает интернет, сегодня было так даже в 4 ночи где-то, раз 10 рвался интернет и сеть, писало разные ошибки. Пока я не перезасунул кабель сети в роутер, в тоже время чуть позже такое повторилось. Интернет запускался, потом 15-20 секунд и отключается всё! У меня подозрение на вирус или какую-то атаку. Даже есть подозрения, что это делает один человек. Роутер D-link dir 300. Тех. поддержка помочь не может, антивирусы ничего не находят (AVZ, KidoKiller, Trend Micro)

Добавлено через 48 минут

Насторажили логи роутера:

Jan 1 07:11:12 Remote management is disabled.
Jan 1 07:11:12 Block WAN PING is disabled.

Jan 1 00:01:26 DMZ disabled.


Jan 1 00:01:01 PPPoE: Sending PADI for session1.
Jan 1 00:00:51 PPPoE: Sending PADI for session1.
Jan 1 00:00:46 PPPoE: Sending PADI for session1.
Jan 1 00:00:34 VPN (L2TP) Pass-Through enabled.
Jan 1 00:00:34 VPN (IPSec) Pass-Through enabled.
Jan 1 00:00:34 VPN (PPTP) Pass-Through enabled.
Jan 1 00:00:34 Domain blocking disabled.
Jan 1 00:00:34 URL blocking disabled.
Jan 1 00:00:34 MAC filter disabled.

Я плохо понимаю, но это нормально?
Первые 2 строки повторяются помногу раз.

Вот, что красным выдаёт AVZ:
Ошибка загрузки драйвера - проверка прервана [C000036B]
>>>> Обнаружена маскировка процесса 6076 ?
>>>> Обнаружена маскировка процесса 4808 ?
>>>> Обнаружена маскировка процесса 5376 ?
>>>> Обнаружена маскировка процесса 5332 ?

Прямое чтение C:\Documents and Settings\Все пользователи\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_ WLIDSVC\BUTTON.JS

Прямое чтение C:\Documents and Settings\Все пользователи\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_ WLIDSVC\BUTTON.JS

Прямое чтение C:\Documents and Settings\All Users\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_ WLIDSVC\BUTTON.JS

Прямое чтение C:\Documents and Settings\Все пользователи\Application Data\Application Data\Application Data\Microsoft\IdentityCRL\production\temp\wlidui_ WLIDSVC\LOCALIZATION.JS

[Techno]

что меня насторажило "ipv4: 169.254.114.67"

Этот ip выдается если dhcp не выдал ip. Если у Вас pppoe, то так и должно быть...

В логах ничего зловредного не видно. Попробуйте ночку "посидеть напрямик", без роутера.

[trojandie]

К, спасибо.