Помогите с ggdrive32

[MaxWay]

Касперский не справляется сам с вирусом, периодически удаляет его файлы или запрещает выполняться, но не избавляется полностью. Рассчитываю на вашу помощь))

[snifer67]

Восстановление системы: включено

Отключите.

Установите заплатки на виндовс.

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\85.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\Documents and Settings\KiS\Application Data\bowcav.exe','');
 QuarantineFile('C:\DOCUME~1\KiS\LOCALS~1\Temp\219394.exe','');
 QuarantineFile('c:\windows\ggdrive32.exe','');
 TerminateProcessByName('c:\windows\ggdrive32.exe');
 QuarantineFile('c:\docume~1\kis\locals~1\temp\536767.exe','');
 TerminateProcessByName('c:\docume~1\kis\locals~1\temp\536767.exe');
 QuarantineFile('c:\docume~1\kis\locals~1\temp\394.exe','');
 TerminateProcessByName('c:\docume~1\kis\locals~1\temp\394.exe');
 QuarantineFile('c:\docume~1\kis\locals~1\temp\219394.exe','');
 TerminateProcessByName('c:\docume~1\kis\locals~1\temp\219394.exe');
 DeleteFile('c:\docume~1\kis\locals~1\temp\219394.exe');
 DeleteFile('c:\docume~1\kis\locals~1\temp\394.exe');
 DeleteFile('c:\docume~1\kis\locals~1\temp\536767.exe');
 DeleteFile('c:\windows\ggdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced HTTPL Enable');
 DeleteFile('C:\DOCUME~1\KiS\LOCALS~1\Temp\219394.exe');
 DeleteFile('C:\Documents and Settings\KiS\Application Data\bowcav.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
 DeleteFile('C:\WINDOWS\system32\85.exe');
 DeleteFile('C:\WINDOWS\system32\46.exe');
 DeleteFile('C:\Documents and Settings\KiS\Local Settings\Temporary Internet Files\Content.IE5\E5GRG52F\n1[1].exe');
 DeleteFile('C:\WINDOWS\ggdrive32.exe');
 DeleteFile('C:\Documents and Settings\KiS\Local Settings\Temp\8970744.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

[MaxWay]

спасибо за быструю реакцию. восстановление отключил, с заплатками пока проблематичней, но сделаю.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\15.exe','');
 QuarantineFile('C:\WINDOWS\system32\72.exe','');
 QuarantineFile('C:\WINDOWS\system32\73.exe','');
 DeleteFile('C:\WINDOWS\system32\15.exe');
 DeleteFile('C:\WINDOWS\system32\72.exe');
 DeleteFile('C:\WINDOWS\system32\73.exe');
 RegKeyParamDel('HKLM','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы.

Сделайте новые логи.

+ Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении.

[snifer67]

Сделайте лог ComboFix

[MaxWay]

Файл сохранён как 110127_172018_virusinfo_files_HOME-77265B1681_4d417f22ace03.zip
Размер файла 7118526
MD5 35645c37568c26f8367737ba29ad70c0

[thyrex]

Выполните написанное в сообщении №5

[MaxWay]

сделал, два раза. он оба раза перезагружал машину, и завершал работу по-разному. но ComboFix.txt не создал

[thyrex]

Попробуйте в безопасном режиме

[MaxWay]

даже в безопасном не с первого раза получилось, но все же вот...

[MaxWay]

о. опять ggdrive появился в системе...

[thyrex]

с заплатками пока проблематичней, но сделаю.

Если до сих пор не сделали, то вот Вам и причина рецидива

Логи по правилам

[MaxWay]

все, решил вернуться в ubuntu. каспер немного разочаровал. вам спасибо за быстрый отклик. можно закрывать тему)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 35
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\kis\\application data\\bowcav.exe - Trojan.Win32.Pincav.axfq ( DrWEB: Trojan.MulDrop1.62792, BitDefender: Trojan.Generic.KD.117802, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Trojan-gen )
  2. c:\\docume~1\\kis\\locals~1\\temp\\219394.exe - Packed.Win32.Krap.ig ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.5943906, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Malware-gen )
  3. c:\\docume~1\\kis\\locals~1\\temp\\394.exe - Email-Worm.Win32.Joleee.ghn ( DrWEB: Trojan.Siggen2.15595, BitDefender: Trojan.Generic.7561852, AVAST4: Win32:Kryptik-ZI [Trj] )
  4. c:\\docume~1\\kis\\locals~1\\temp\\536767.exe - Packed.Win32.Krap.ig ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.5943906, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Malware-gen )
  5. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - Trojan.Win32.Pincav.axfh ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.KD.117668, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Malware-gen )
  6. c:\\windows\\ggdrive32.exe - Net-Worm.Win32.Kolab.sjo ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.KD.117668, NOD32: IRC/SdBot trojan, AVAST4: Win32:Malware-gen )
  7. c:\\windows\\system32\\msvmiode.exe - Email-Worm.Win32.Joleee.ghn ( DrWEB: Trojan.Siggen2.15595, BitDefender: Trojan.Generic.7561852, AVAST4: Win32:Kryptik-ZI [Trj] )
  8. c:\\windows\\system32\\15.exe - Trojan.Win32.Pincav.axhu ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.KD.117668, AVAST4: Win32:Malware-gen )
  9. c:\\windows\\system32\\72.exe - Trojan.Win32.Pincav.axhu ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.KD.117668, AVAST4: Win32:Malware-gen )
  10. c:\\windows\\system32\\73.exe - Trojan.Win32.Pincav.axhu ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.KD.117668, AVAST4: Win32:Malware-gen )
  11. c:\\windows\\system32\\85.exe - Trojan.Win32.Pincav.axfh ( DrWEB: Trojan.DownLoader6.487, BitDefender: Trojan.Generic.KD.117668, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Malware-gen )