Вирус svchost,Вирус оперативной памяти explorer.exe

[lena686]

Добрый день! Надеюсь на Вашу помощь, подхватила вирус троян, маскируется под svchost, также постоянно выскакивает сообщение от антивируса Заражена оперативна память-explorer.exe. Удалила explorer(через unlocker) - не помогло, через касперского и NOD32 пыталась чистить, NOD32 вообще не удаляет, а касперский находит один файл, вроде удаляет, но после перезагрузки все на месте. Уже не знаю как дальше быть, ОС сносить не хочется((
Снимок.JPG

[Info_bot]

Уважаемый(ая) lena686, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Bratez]

Пофиксите в HijackThis:

R3 - Default URLSearchHook is missing
O2 - BHO: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (file missing)
O3 - Toolbar: Foxit Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (file missing)
O3 - Toolbar: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [Netprotocol] C:\Users\User\AppData\Roaming\netprotocol.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: (no name) - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C231EB9-AE1E-4029-9148-EB32FCD9202C}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{6362FB77-2F2C-419C-8F23-4174F39CE39B}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{8FDA3DAE-0669-418B-9ED8-219FA831B0A2}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA125824-E2E3-4ADC-8E16-7D07648B000D}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{FE364FCB-1752-41CB-B1B7-851D354B410A}: NameServer = 127.0.0.1

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Users\User\AppData\Roaming\netprotocol.exe','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5ItG3zPxmxA.exe','');
 DeleteFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5ItG3zPxmxA.exe');
 DeleteFile('C:\Users\User\AppData\Roaming\netprotocol.exe');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=120121).

Обновите базы AVZ и сделайте новые логи.

[lena686]

Сделала все, но вирусы не пропали(
Снимок.JPG

[Bratez]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\User\AppData\Local\Temp\bzjvuxk.exe','');
 DeleteFile('C:\Users\User\AppData\Local\Temp\bzjvuxk.exe');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пофиксите в HijackThis:

O17 - HKLM\System\CCS\Services\Tcpip\..\{2C231EB9-AE1E-4029-9148-EB32FCD9202C}: NameServer = 127.0.0.1

Пришлите новый карантин согласно приложению 2 правил.

Обновите базы AVZ и сделайте новые логи.
И читайте внимательнее в правилах, какие именно файлы следует прикреплять.

[lena686]

Сделала, но ничего не изменилось к сожалению(

[Bratez]

lena686, давайте всё же будем более внимательно читать правила и ответы!

1. Карантин нельзя прикреплять к сообщениям! Для его загрузки есть красная ссылка вверху темы, которую я еще и продублировал для вас в сообщении #3.

2. Где логи AVZ с обновленными базами?

[lena686]

Извините.
Вот сделала логи с обновленными базами (т.е. "Файл" => "Обновление баз"). А архив virusinfo_syscheck.zip не создался, Файл"=>"Стандартные скрипты" и отметьте пункт "Скрипт сбора информации для раздела "Помогите!"

[thyrex]

Если еще раз прикрепите карантин, получите нарушение. Перечитайте правила и прикрепите нужные логи AVZ

[lena686]

virusinfo_syscheck.zip
hijackthis.log

[thyrex]

Если еще раз прикрепите карантин, получите нарушение.

Я Вас предупреждал...

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[lena686]

Я что-то запуталась, вот новые логи:

[thyrex]

Удалите в МВАМ все найденное

C:\U39Sy9D7P6F1guP удалите вручную

Смените все пароли

[lena686]

C:\U39Sy9D7P6F1guP - удаляла много раз, все равно появляется. Удалила те файлы, которые нашел МВАМ. Перезагрузила, вирус остался. Вчера заразил драйвера для принтера, теперь он не печатает(

[thyrex]

Не тот это вирус, чтобы нарушать работу принтера

Вы указанную папку удалять сейчас пробовали?

[lena686]

Да только что удалила.

[thyrex]

Она не появилась заново?

[lena686]

Не появилась, насколько я помню, она появлялась когда я вручную останавливала процесс svchost. Пока все вирусы наместе(

[thyrex]

И где Вы их видите? svchost.exe - обычный системный файл

[lena686]

Снимок.JPG

svchost.exe их так много? Вирус оперативной памяти explorer.exe был, я удалила explorer полностью через unlocker, я так понимаю Вирус оперативной памяти explorer.exe был из-за svchost.exe?или я не права?