explorer.exe грузит процессор на 100% [Trojan.Win32.Jorik.IRCbot.qnz, Trojan.Win32.Jorik.Androm.vi ]

[sanek123]

Здравствуйте.
Проблема в то что, eplorer.exe при загрузке компьютера грузит систему на 100% что бы система загрузилась приходится убивать процесс, после открывается куча процессов IEXPLORE.exe,следом непонятные процессы типа: A.exe, B.exe, 1.exe, 28.exe и т.д.Так же каспер запрещает постоянно explorer.exe заходить на какие то сайты.Проверял касперским находил кучу UDS:DangerousObject.Multi.Generic и пару троянов.Проблема схожа с http://virusinfo.info/showthread.php?t=121851

[Info_bot]

Уважаемый(ая) sanek123, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Дeнис]

sanek123,
Здравствуйте!

1. Отключите временно Антивирус/Фаервол.

2. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\Александр\application data\b.exe');
 QuarantineFile('C:\WINDOWS\system32\84.exe','');
 QuarantineFile('C:\WINDOWS\system32\15.exe','');
 QuarantineFile('C:\WINDOWS\system32\12.exe','');
 QuarantineFile('C:\WINDOWS\system32\06.exe','');
 QuarantineFile('C:\WINDOWS\wrdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\RECYCLER\logon.exe','');
 QuarantineFile('c:\documents and settings\Александр\application data\b.exe','');
 QuarantineFileF('C:\WINDOWS\system32\config\systemprofile\', '*', true, '', 0, 0);
 DeleteFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\B.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\RECYCLER\logon.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\WINDOWS\wrdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\06.exe');
 DeleteFile('C:\WINDOWS\system32\12.exe');
 DeleteFile('C:\WINDOWS\system32\15.exe');
 DeleteFile('C:\WINDOWS\system32\84.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

После перезагрузки!


3. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

4. Пофиксите в HijackThis :

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://113890url.displayadfeed.com/cpv.jsp?p=113890&aid=10036145&partnerMin=0.00&ron=on&ronMin=0.00&url=&context=&default=http://cpvback.ols30.t6

Сделайте лог AVZ + лог RSIT

[sanek123]

Всё зделал.ещё 1 проблема компьютер не хочет перезагружатся, все программы закрываются остаётся заставка и не чего не происходит.explorer перестал грузить, но куча не понятных процессов и IEXPLORE остались.Мне приходится закрывать подозрительные процессы так как с ними комп виснет и интеренет перестаёт функцианировать, можно атк делать?кстати на kaspersky.ru не заходит).

[Дeнис]

sanek123, 1. Отключите временно Антивирус/Фаервол.

2. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\fonts\desktop.ini','');
 QuarantineFile('C:\WINDOWS\system32\83.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\12.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\15.exe','');
 QuarantineFileF('C:\Documents and Settings\Александр\Application Data\', '*.gonewiththewings', true, '', 0, 0);
 QuarantineFile('C:\WINDOWS\wrdrive32.exe','');
 QuarantineFile('C:\WINDOWS\system32\63.exe','');
 QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Application Data\Adobe\TaskViewer.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\hostsv.exe','');
 QuarantineFile('C:\WINDOWS\yodrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\Adobe\WinManager.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\16.exe','');
 DeleteFile('C:\WINDOWS\fonts\desktop.ini');
 DeleteFile('C:\WINDOWS\system32\83.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\12.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\15.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\16.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\Adobe\WinManager.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\WINDOWS\yodrive32.exe');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\hostsv.exe');
 DeleteFile('C:\WINDOWS\system32\config\systemprofile\Application Data\Adobe\TaskViewer.exe');
 DeleteFile('C:\WINDOWS\system32\63.exe');
 DeleteFile('C:\WINDOWS\wrdrive32.exe');
 DeleteFileMask('C:\Documents and Settings\Александр\Application Data\', '*.gonewiththewings', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

После перезагрузки!


3. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine_2.zip');
end.

Файл quarantine_2.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.


Сделайте повторные логи AVZ + RSIT!

[thyrex]

+ Сделайте лог полного сканирования МВАМ

[sanek123]

Сделал скрипт перестала работать опера (erorr initializing Opera: module 81(webserver))не могу сделать MBAM -видимо блокирует сайт.На майкрософт сайт заходит но скачать я не чего не могу.

[Дeнис]

sanek123,

1. Выполните скрипт в AVZ при наличии доступа в интернет:
_____________

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

_______________

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить..


2. Отключите временно Антивирус/Фаервол.

3. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\B.exe','');
 QuarantineFile('C:\WINDOWS\wrdrive32.exe','');
 QuarantineFile('C:\WINDOWS\yodrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\C.exe','');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\B.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\C.exe');
 DeleteFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\WINDOWS\yodrive32.exe');
 DeleteFile('C:\WINDOWS\wrdrive32.exe');
 DeleteFileMask('C:\Documents and Settings\Александр\Application Data', '*.gonewiththewings', true);
 DeleteFileMask('C:\Documents and Settings\Александр\Application Data\Help', '*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки!


4. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

5.
Сделайте лог AVZ + лог RSIT


6. Оперу переустановите (после лечения конечно же)

[sanek123]

Обновления не устанавливаются по сылке заходит на сайт, но когда нажимаеш загрузить страницу не грузит.
Опера не удаляется по той же причине.А вирусов в диспечере всё больше и больше с новыми именами.

[Дeнис]

sanek123,
1. Выполните скрипт в AVZ

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 20000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\02.scr','');
 QuarantineFile('C:\WINDOWS\wrdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr','');
 QuarantineFileF('C:\Documents and Settings\Александр\Application Data\', '*.exe', false, '', 0, 0
 DeleteFile('C:\Documents and Settings\Александр\Application Data\ScreenSaver.scr');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\WINDOWS\wrdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\02.scr');
 DeleteFileMask('C:\Documents and Settings\Александр\Application Data\', '*.exe', false);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки!


2. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Сделайте лог AVZ + лог RSIT

[thyrex]

+ Сделайте лог ComboFix

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 122
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\александр\\application data\\a.exe.gonewiththewings - Trojan.Win32.Jorik.IRCbot.qlu
  2. c:\\documents and settings\\александр\\application data\\b.exe.gonewiththewings - Trojan.Win32.Jorik.Androm.vl ( DrWEB: Trojan.FakeAV.11638 )
  3. c:\\documents and settings\\александр\\application data\\c.exe.gonewiththewings - Trojan.Win32.Jorik.Androm.vj
  4. c:\\documents and settings\\александр\\application data\\d.exe.gonewiththewings - Trojan.Win32.Jorik.Tedroo.bop ( DrWEB: Trojan.Siggen4.15463, BitDefender: Gen:Variant.Kazy.9656 )
  5. c:\\documents and settings\\александр\\application data\\e.exe.gonewiththewings - Trojan.Win32.Jorik.IRCbot.qlu ( DrWEB: BackDoor.IRC.Bot.166 )
  6. c:\\documents and settings\\александр\\application data\\fb.exe.gonewiththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  7. c:\\documents and settings\\александр\\application data\\fd.exe.gonewiththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  8. c:\\documents and settings\\александр\\application data\\fe.exe.gonewiththewings - Trojan.Win32.Jorik.Mokes.bst ( DrWEB: Trojan.FakeAV.11629 )
  9. c:\\documents and settings\\александр\\application data\\f.exe.gonewiththewings - Trojan.Win32.Jorik.IRCbot.qnz ( DrWEB: BackDoor.IRC.Bot.166 )
  10. c:\\documents and settings\\александр\\application data\\f7.exe.gonewiththewings - Trojan.Win32.Jorik.Tedroo.bop ( DrWEB: Trojan.Siggen4.15463, BitDefender: Gen:Variant.Kazy.9656 )
  11. c:\\documents and settings\\александр\\application data\\f8.exe.gonewiththewings - Trojan.Win32.Jorik.IRCbot.qlu ( DrWEB: BackDoor.IRC.Bot.166 )
  12. c:\\documents and settings\\александр\\application data\\recycler\\logon.exe - Trojan.Win32.Jorik.Androm.vk ( DrWEB: BackDoor.Gurl.2 )
  13. c:\\documents and settings\\александр\\application data\\screensaver.scr - Trojan.Win32.Jorik.Androm.vl ( DrWEB: Trojan.FakeAV.11638 )
  14. c:\\documents and settings\\александр\\application data\\screensaver.scr - Trojan.Win32.Jorik.Androm.vi ( DrWEB: Trojan.FakeAV.11652 )
  15. c:\\documents and settings\\александр\\application data\\sys32.exe.gonewiththewings - Trojan.Win32.Jorik.Nrgbot.ahn
  16. c:\\documents and settings\\александр\\application data\\10.exe.gonewiththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  17. c:\\documents and settings\\александр\\application data\\11.exe.gonewiththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  18. c:\\documents and settings\\александр\\application data\\12.exe.gonewiththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  19. c:\\documents and settings\\александр\\application data\\13.exe.gonewiththewings - Trojan.Win32.Jorik.Mokes.bst ( DrWEB: Trojan.FakeAV.11629 )
  20. c:\\documents and settings\\александр\\application data\\14.exe.gonewiththewings - Trojan.Win32.Jorik.IRCbot.qnz ( DrWEB: BackDoor.IRC.Bot.166 )
  21. c:\\documents and settings\\александр\\application data\\15.exe.gonewiththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  22. c:\\documents and settings\\александр\\application data\\16.exe.gonewiththewings - Trojan.Win32.Jorik.Tedroo.bop ( DrWEB: Trojan.Siggen4.15463, BitDefender: Gen:Variant.Kazy.9656 )
  23. c:\\documents and settings\\александр\\application data\\17.exe.gonewiththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  24. c:\\documents and settings\\александр\\application data\\18.exe.gonewiththewings - Trojan.Win32.Jorik.Mokes.bst ( DrWEB: Trojan.FakeAV.11629 )
  25. c:\\documents and settings\\александр\\application data\\19.exe.gonewiththewings - Trojan.Win32.Jorik.Tedroo.bop ( DrWEB: Trojan.Siggen4.15463, BitDefender: Gen:Variant.Kazy.9656 )
  26. c:\\documents and settings\\александр\\application data\\4.exe.gonewiththewings - Trojan.Win32.Jorik.Androm.vi ( DrWEB: Trojan.FakeAV.11652 )
  27. c:\\documents and settings\\александр\\application data\\7.exe.gonewiththewings - Trojan.Win32.Jorik.Androm.vi ( DrWEB: Trojan.FakeAV.11652 )
  28. c:\\documents and settings\\александр\\application data\\8.exe.gonewiththewings - Trojan.Win32.Jorik.Tedroo.bop ( DrWEB: Trojan.Siggen4.15463, BitDefender: Gen:Variant.Kazy.9656 )
  29. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\hostsv.exe - Trojan.Win32.Jorik.IRCbot.qrq ( DrWEB: BackDoor.Ddoser.131 )
  30. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-14699\\brenasa.exe - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  31. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  32. c:\\windows\\system32\\config\\systemprofile\\appl ication data\\adobe\\taskviewer.exe - Trojan.Win32.Jorik.IRCbot.pzx ( DrWEB: BackDoor.Gurl.2 )
  33. c:\\windows\\system32\\06.exe - Trojan.Win32.Jorik.Androm.vk ( DrWEB: BackDoor.Gurl.2 )
  34. c:\\windows\\system32\\12.exe - Trojan.Win32.Jorik.Androm.vk ( DrWEB: BackDoor.Gurl.2 )
  35. c:\\windows\\system32\\15.exe - Trojan.Win32.Jorik.IRCbot.qew ( DrWEB: BackDoor.Gurl.2 )
  36. c:\\windows\\system32\\63.exe - Trojan.Win32.Jorik.IRCbot.qrq ( DrWEB: BackDoor.Ddoser.131 )
  37. c:\\windows\\system32\\83.exe - Trojan.Win32.Jorik.IRCbot.pzx ( DrWEB: BackDoor.Gurl.2 )
  38. c:\\windows\\system32\\84.exe - Trojan.Win32.Jorik.IRCbot.qew ( DrWEB: BackDoor.Gurl.2 )
  39. c:\\windows\\wrdrive32.exe - Trojan.Win32.Jorik.IRCbot.qnz ( DrWEB: BackDoor.IRC.Bot.166 )
  40. c:\\windows\\yodrive32.exe - Trojan.Win32.Jorik.IRCbot.qlu ( DrWEB: BackDoor.IRC.Bot.166 )