Get Accelerator

[manfi]

Здравствуйте.
Свежие базы nod32 и Dr.Web не помогли.
Вот логи. Заранее спасибо.

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\System32\aekgoprn.dll','');
 DeleteFile('C:\WINDOWS\System32\aekgoprn.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip закачайте по ссылке прислать запрошенный карантин вверху темы

Сделайте новый лог virusinfo_syscheck.zip

[manfi]

При попытке загрузить quarantine.zip выдаёт: "Результат загрузки
Ошибка загрузки. Данный файл уже был загружен"

Новый virusinfo_syscheck.zip прилагаю.

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\WINDOWS\system32\drivers\kmcqiyev.sys','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip закачайте по ссылке прислать запрошенный карантин

[manfi]

Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Та же самая ситуация.

[Никита Соловьев]

C:\WINDOWS\system32\drivers\kmcqiyev.sys

Поищите данный файл на диске согласно приложению 3 правил

[manfi]

Этого файла в указанной папке нет, в карантине AVZ его тоже нет (пишет 0 файлов)

Эта зловредная... вирусня... постоянно переименовывает свой sys-файл в папке \drivers (upd: периодночность изменения имени ровно 1 минута). Удалить его средствами системы нельзя ибо занят.

Любые попытки удаления/открытия/иземения этого файла приводят к его переименовыванию и невозможности даже сохранить в карантин средставами AVZ.

[Никита Соловьев]

Сделайте новый комплект логов

[manfi]

_

[Никита Соловьев]

Отключите системное восстановление!

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\drivers\avwdorhp.sys');
 DeleteFile('C:\WINDOWS\System32\aekgoprn.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck.zip

[manfi]

_

[Bratez]

Отключите системное восстановление!

См. Приложение 1 правил. Сделайте обязательно!

И еще сделайте лог gmer.

[manfi]

Автоматическое восстановление отключил.
Вот лог GMER.

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\aekgoprn.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Сделайте новый лог gmer.

[manfi]

2й лог GMER

[Bratez]

Случай непростой у вас. Берем таймаут, надо подумать.

[AndreyKa]

Любые попытки удаления/открытия/иземения этого файла приводят к его переименовыванию и невозможности даже сохранить в карантин средставами AVZ.

Включаете AVZGuard, копируете файл в карантин, выключаете AVZGuard, загружаете карантин так, как написано в приложении 3 Правил.

[manfi]

Результат загрузкиФайл сохранён как 091202_165024_quarantine_4b1670a05d556.zip
Размер файла 20921
MD5 **************************

Файл закачан, спасибо!

[Bratez]

"Ваша" версия трояна уже детектируется антивирусом Касперского.
Сделайте проверку с помощью AVPTool.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\hfadixgz.sys - Trojan-Ransom.Win32.Agent.hy ( DrWEB: Trojan.Winlock.516 )