Все папки стали ярлыками не работает regedit и нет свойств папки

[tolyann]

Добрый вечер Хелперы, после вставки флешки, проявился вирус засевший в autorun.inf , потом все папки стали ярлыками, пропали права администратора стали запускаться не понятные процессы, и самое интересное что нельзя включить показ скрытых папок ,и переименовать расширение у ярлыков, тоже не получается "свойства папок" как будто удалены

[Info_bot]

Уважаемый(ая) tolyann, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Techno]

Доброй ночи Где Вы это чудо откопали)))

- Выполните в АВЗ:

begin
 ClearQuarantine;
 ClearHostsFile;
 TerminateProcessByName('c:\users\836d~1\appdata\local\temp\x30811.exe');
 TerminateProcessByName('c:\users\1111111\appdata\local\winlogon.exe');
 TerminateProcessByName('c:\users\Администратор\appdata\local\winlogon.exe');
 TerminateProcessByName('c:\users\Администратор\start menu\programs\startup\taskmgrsx.exe');
 TerminateProcessByName('c:\users\1111111\appdata\local\services.exe');
 TerminateProcessByName('c:\users\Администратор\appdata\local\services.exe');
 TerminateProcessByName('c:\users\Администратор\appdata\roaming\regsrv64.exe');
 TerminateProcessByName('c:\users\Администратор\appdata\local\lsass.exe');
 TerminateProcessByName('c:\users\1111111\appdata\local\lsass.exe');
 QuarantineFile('C:\Windows\ShellNew\ElnorB.exe','');
 QuarantineFile('C:\Users\Администратор\Шаблоны\bararontok.com','');
 QuarantineFile('C:\Users\Администратор\Главное меню\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Users\Администратор\Главное меню\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\Администратор\Application Data\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Users\Администратор\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Users\Администратор\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\Шаблоны\bararontok.com','');
 QuarantineFile('C:\Users\1111111\Главное меню\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\Главное меню\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\Application Data\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Users\1111111\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\Администратор\Шаблоны\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\Администратор\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\1111111\Шаблоны\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\1111111\Главное меню\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\1111111\Главное меню\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\1111111\Application Data\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\1111111\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\1111111\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\1111111\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Documents and Settings\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif','');
 QuarantineFile('C:\Documents and Settings\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com','');
 QuarantineFile('C:\Windows\system32\svcnet32.dll','');
 QuarantineFile('C:\Windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Windows\System32\config\systemprofile\AppData\Local\smss.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\Jkjkjt.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Local\smss.exe','');
 QuarantineFile('C:\Users\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif','');
 QuarantineFile('C:\Users\1111111\AppData\Local\smss.exe','');
 QuarantineFile('c:\users\836d~1\appdata\local\temp\x30811.exe','');
 QuarantineFile('c:\users\1111111\appdata\local\winlogon.exe','');
 QuarantineFile('c:\users\Администратор\appdata\local\winlogon.exe','');
 QuarantineFile('c:\users\Администратор\start menu\programs\startup\taskmgrsx.exe','');
 QuarantineFile('c:\users\1111111\appdata\local\services.exe','');
 QuarantineFile('c:\users\Администратор\appdata\local\services.exe','');
 QuarantineFile('c:\users\Администратор\appdata\roaming\regsrv64.exe','');
 QuarantineFile('c:\users\Администратор\appdata\local\lsass.exe','');
 QuarantineFile('c:\users\1111111\appdata\local\lsass.exe','');
 QuarantineFile('yz.bat','');
 QuarantineFile('c:\windows\system32\cmd.exe','');
 DeleteFile('c:\users\1111111\appdata\local\lsass.exe');
 DeleteFile('c:\users\Администратор\appdata\local\lsass.exe');
 DeleteFile('c:\users\Администратор\appdata\local\services.exe');
 DeleteFile('c:\users\1111111\appdata\local\services.exe');
 DeleteFile('c:\users\Администратор\start menu\programs\startup\taskmgrsx.exe');
 DeleteFile('c:\users\Администратор\appdata\local\winlogon.exe');
 DeleteFile('c:\users\1111111\appdata\local\winlogon.exe');
 DeleteFile('c:\users\836d~1\appdata\local\temp\x30811.exe');
 DeleteFile('C:\Users\Администратор\AppData\Local\smss.exe');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Jkjkjt.exe');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\regsrv64.exe');
 DeleteFile('C:\Windows\System32\config\systemprofile\AppData\Local\smss.exe');
 DeleteFile('C:\Windows\system32\svcnet32.dll');
 DeleteFile('C:\Windows\Tasks\At1.job');
 DeleteFile('C:\Users\1111111\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Documents and Settings\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\1111111\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Documents and Settings\1111111\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\1111111\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\1111111\Application Data\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\bararontok.com');
 DeleteFile('C:\Documents and Settings\1111111\Главное меню\Programs\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\1111111\Главное меню\Программы\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\1111111\Шаблоны\bararontok.com');
 DeleteFile('C:\Documents and Settings\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\Администратор\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Programs\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Startup\Empty.pif');
 DeleteFile('C:\Documents and Settings\Администратор\Шаблоны\bararontok.com');
 DeleteFile('C:\Empty.pif');
 DeleteFile('C:\Users\1111111\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Users\1111111\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Users\1111111\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Users\1111111\Application Data\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Users\1111111\Главное меню\Programs\Startup\Empty.pif');
 DeleteFile('C:\Users\1111111\Главное меню\Программы\Startup\Empty.pif');
 DeleteFile('C:\Users\1111111\Шаблоны\bararontok.com');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Users\Администратор\Application Data\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Users\Администратор\Application Data\Microsoft\Windows\Start Menu\Программы\Startup\Empty.pif');
 DeleteFile('C:\Users\Администратор\Application Data\Microsoft\Windows\Templates\bararontok.com');
 DeleteFile('C:\Users\Администратор\Главное меню\Programs\Startup\Empty.pif');
 DeleteFile('C:\Users\Администратор\Главное меню\Программы\Startup\Empty.pif');
 DeleteFile('C:\Users\Администратор\Шаблоны\bararontok.com');
 DeleteFile('C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif');
 DeleteFile('C:\Users\1111111\appdata\local\smss.exe');
 DeleteFile('C:\Users\1111111\appdata\roaming\microsoft\windows\start menu\programs\startup\empty.pif');
 DeleteFile('C:\Windows\ShellNew\ElnorB.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3941009102-137318017-1919043528-500\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3941009102-137318017-1919043528-500\Software\Microsoft\Windows\CurrentVersion\Run','Jkjkjt');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3941009102-137318017-1919043528-500\Software\Microsoft\Windows\CurrentVersion\Run','Microsoft DLL Registration');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Avt-Net\Parameters','ServiceDll');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU','Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','Hidden',2);
 RegKeyIntParamWrite('HKCU','Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','ShowSuperHidden',0);
ExecuteSysClean;
 ExecuteRepair(8);
 ExecuteRepair(10);
 ExecuteRepair(17);
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

отключите восстановление системы

- Подключите все съемные носители и Сделайте лог полного сканирования MBAM.

[tolyann]

Результат загрузки

Файл сохранён как 111205_185924_quarantine_4edd148cc1967.zip
Размер файла 3461175
MD5 e55a493b7dd11574997bdc72b2384e7a

[Techno]

Результат загрузки

MBAM стоп
Пролечитесь так с подключенными съемными носителями, Ваш вариант с LiveCD.

После этого повторите логи АВЗ и HiJackThis.

[tolyann]

А если нет возможности записать диск? и флешки 2 нет пустой,есть ещё варианты*?

[Techno]

А если нет возможности записать диск? и флешки 2 нет пустой

Сделайте тогда пока MBAM...

[tolyann]

ага хорошо уже делается))

[tolyann]

лог))

[Techno]

Удалите в MBAM всё кроме:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

c:\program files\портативные программы\Графика\мастер эффектов\patch.exe (RiskWare.Tool.CK) -> No action taken.
c:\program files\портативные программы\запись дисков\ultraiso_rus\keygen.exe (Riskware.Tool.CK) -> No action taken.

Добавлено через 1 минуту

Установите новый Internet Explorer, а также все доступные обновления для Windows

Повторите логи АВЗ hijackthis.

[tolyann]

Вот посмотрите всё правильно*? пока что MBAM...

[tolyann]

новые логи)

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Jkjkjt.exe','');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\Jkjkjt.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3941009102-137318017-1919043528-500\Software\Microsoft\Windows\CurrentVersion\Run','Jkjkjt');
 DeleteFile('C:\Windows\System32\drivers\rlncqq.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Просканируйте систему загрузившись с live cd http://virusinfo.info/showthread.php?t=15927

Сделайте новые логи

[tolyann]

Извините что так долго, просто это компьютер ,моей подруги и вот только сегодня, мне удалось опять к ней попасть))
вот карантин
Результат загрузки

Файл сохранён как 111210_172427_2011-12-10_4ee395cbec2b3.zip
Размер файла 578
MD5 e0d133f08470284608c573c13a8302ed
Файл закачан, спасибо!
а по поводу Live CD, мы не можем этого сделать ,ввиду того что не работает DVD привод ,он не видит любой диск ,я подозреваю что это действие вируса, может обычные логи, а когда откроется CD то сделаем Live CD

[thyrex]

Последний карантин оказался пустым.

У Вас было (возможно осталось)заражение файловым вирусом. Пока не выполнить проверку с LiveCD? гарантию излечения дать невозможно.
Вирус не может блокировать загрузку с LiveCD. Вы в BIOS включили запуск с CD(DVD)-привода?

[tolyann]

нет нет, вы не поняли, я не могу его записать на болванку, по скольку диск вставлен ,а он говорит что ничего не вставлено,и так с любым диском

[thyrex]

Записывать нужно на другом (чистом от вирусов) компьютере. Например, на Вашем

[tolyann]

а понятно. хорошо,попробуем ) просто .помню у меня давно. был такой вирус,ну что привод думал что он пустой) т.е вам не нужны логи? ну в данный момент, пока что нет возможности сделать Live CD если так она могла ещё нацеплять за то время которое прошло...

[thyrex]

Логи нужны будут только после проверки компьютера с помощью Live CD

[tolyann]

а хорошо)) значит будем делать)