Вирус в Скайпе [Trojan.Win32.Genome.ajfqp, , Backdoor.Win32.Cidox.ppw ]

[Вячеслав Цыбуля]

Привет всем. Посмотрите пожалуйста логи. Есть вирус в скайпе который сам себя отсылает. Комп тормозит.Забыл добавить. Dr.Web нашёл 8 файлов из них 7 троянов

[Info_bot]

Уважаемый(ая) Вячеслав Цыбуля, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  TerminateProcessByName('c:\users\Лиза\appdata\roaming\8546.exe');
  StopService('3064');
  QuarantineFile('C:\Users\CCA4~1\AppData\Local\Temp\3064.sys','');
  QuarantineFile('c:\users\Лиза\appdata\roaming\8546.exe','');
  DeleteFile('C:\Users\CCA4~1\AppData\Local\Temp\3064.sys');
  DeleteFile('C:\Users\Лиза\AppData\Roaming\8546.exe');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WINSXS32');
  if MessageDLG('Отключить автозапуск со всех носителей, кроме CD?', mtConfirmation, mbYes+mbNo, 0) = 6 then
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
  DeleteService('3064');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- Сделайте лог полного сканирования МВАМ.

- - - Добавлено - - -

+ Яндекс.Бар, Wincore Mediabar, Bing Bar, Google Toolbar, Search-Results Toolbar - чем из этого пользуетесь ? если не пользуетесь деинсталируйте.

[Вячеслав Цыбуля]

Из всего оставил только яндекс

[regist]

Guard.Mail.ru если не нужен тоже можете удалить.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
ClearQuarantine;
QuarantineFile('C:\Users\Лиза\AppData\Roaming\B56.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\1501.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\17FE.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\1B54.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\1D8B.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\21C.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\278A.exe', 'MBAM: Backdoor.Cidox.WMP');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\2F29.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\323.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\47A.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\74A3.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\7CE0.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\85AD.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\87C8.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\897C.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\B4B4.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\B522.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\BBFA.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\C51B.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\CB79.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\D135.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\D481.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\D740.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\ED0A.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\EDF.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\F225.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\AppData\Roaming\F9FD.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Лиза\DoctorWeb\Quarantine\A8B5___0.exe', 'MBAM: Trojan.Winlock');
QuarantineFile('C:\Users\Лиза\DoctorWeb\Quarantine\ED27___0.exe', 'MBAM: Trojan.Winlock');
QuarantineFile('C:\Users\Лиза\DoctorWeb\Quarantine\FDA1___0.exe', 'MBAM: Trojan.Winlock');
DeleteFile('C:\Users\Лиза\AppData\Roaming\B56.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\1501.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\17FE.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\1B54.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\1D8B.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\21C.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\278A.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\2F29.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\323.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\47A.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\74A3.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\7CE0.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\85AD.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\87C8.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\897C.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\B4B4.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\B522.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\BBFA.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\C51B.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\CB79.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\D135.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\D481.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\D740.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\ED0A.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\EDF.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\F225.exe');
DeleteFile('C:\Users\Лиза\AppData\Roaming\F9FD.exe');
DeleteFile('C:\Users\Лиза\DoctorWeb\Quarantine\A8B5___0.exe');
DeleteFile('C:\Users\Лиза\DoctorWeb\Quarantine\ED27___0.exe');
DeleteFile('C:\Users\Лиза\DoctorWeb\Quarantine\FDA1___0.exe');
 DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Профиксите в HijackThis

O20 - AppInit_DLLs:

- просканируйте заново MBAM и приложите новый лог.

-

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Search" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[R1].txt.
• Прикрепите отчет к своему следующему сообщению.

[Вячеслав Цыбуля]

Guard.Mail.ru удалил. У меня ещё проблема. Не могу нигде найти НОД32 что был установлен. Его нету не в програмах даже рево унинсталер его не видет.

[regist]

Удалите в MBAM только

Обнаруженные ключи в реестре:  4
HKCR\CLSID\{f34c9277-6577-4dff-b2d7-7d58092f272f} (PUP.Datamngr) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.

------------------------------

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Delete" и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления может потребоваться перезагрузка компьютера!!!
------------------------------------------------------------

папку с карантином внутри папки AVZ удалите сами вручную.

Не могу нигде найти НОД32 что был установлен

попробуйте его переустановить (установить заново).

что с проблемами ?

[Вячеслав Цыбуля]

Проблема вроде пропала. Больше ничего не отсылается. Нод попробую переустановить.
Спасибо

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 95
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\лиза\\appdata\\roaming\\bbfa.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  2. c:\\users\\лиза\\appdata\\roaming\\b4b4.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  3. c:\\users\\лиза\\appdata\\roaming\\b522.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  4. c:\\users\\лиза\\appdata\\roaming\\b56.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  5. c:\\users\\лиза\\appdata\\roaming\\cb79.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  6. c:\\users\\лиза\\appdata\\roaming\\c51b.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  7. c:\\users\\лиза\\appdata\\roaming\\d135.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  8. c:\\users\\лиза\\appdata\\roaming\\d481.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  9. c:\\users\\лиза\\appdata\\roaming\\d740.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  10. c:\\users\\лиза\\appdata\\roaming\\edf.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  11. c:\\users\\лиза\\appdata\\roaming\\ed0a.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  12. c:\\users\\лиза\\appdata\\roaming\\f225.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  13. c:\\users\\лиза\\appdata\\roaming\\f9fd.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  14. c:\\users\\лиза\\appdata\\roaming\\1b54.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  15. c:\\users\\лиза\\appdata\\roaming\\1d8b.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  16. c:\\users\\лиза\\appdata\\roaming\\1501.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  17. c:\\users\\лиза\\appdata\\roaming\\17fe.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  18. c:\\users\\лиза\\appdata\\roaming\\2f29.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  19. c:\\users\\лиза\\appdata\\roaming\\21c.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  20. c:\\users\\лиза\\appdata\\roaming\\278a.exe - Backdoor.Win32.Cidox.ppw ( DrWEB: Trojan.Swizzor.18337, BitDefender: Gen:Variant.Symmi.7725 )
  21. c:\\users\\лиза\\appdata\\roaming\\323.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  22. c:\\users\\лиза\\appdata\\roaming\\47a.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  23. c:\\users\\лиза\\appdata\\roaming\\7ce0.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  24. c:\\users\\лиза\\appdata\\roaming\\74a3.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  25. c:\\users\\лиза\\appdata\\roaming\\85ad.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  26. c:\\users\\лиза\\appdata\\roaming\\8546.exe - Trojan-Ransom.Win32.PornoAsset.bnmz ( DrWEB: Trojan.Siggen4.40328, BitDefender: Trojan.Generic.KDZ.2149 )
  27. c:\\users\\лиза\\appdata\\roaming\\87c8.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  28. c:\\users\\лиза\\appdata\\roaming\\897c.exe - Trojan.Win32.Genome.ajfqp ( DrWEB: Trojan.Spamlink.27, BitDefender: Trojan.Generic.KDZ.2159 )
  29. c:\\users\\лиза\\doctorweb\\quarantine\\a8b5___0.e xe - Trojan-Ransom.Win32.PornoAsset.aouh ( DrWEB: Trojan.Winlock.7095, BitDefender: Gen:Variant.Kazy.102691 )
  30. c:\\users\\лиза\\doctorweb\\quarantine\\ed27___0.e xe - Trojan-Ransom.Win32.PornoAsset.aouh ( DrWEB: Trojan.Winlock.7095, BitDefender: Gen:Variant.Kazy.102691 )
  31. c:\\users\\лиза\\doctorweb\\quarantine\\fda1___0.e xe - Trojan-Ransom.Win32.PornoAsset.aouh ( DrWEB: Trojan.Winlock.7095, BitDefender: Gen:Variant.Kazy.102691 )