Удаление вирусов [Trojan-Spy.Win32.Carberp.qzb ]

[Elza78]

День добрый! Атаковали вирусы, после удаления и перезагрузки снова появляются Просканировала ноут программой Malwarebytes Antimalware, обнаружено 13 объектов Подскажите пожалуйста можно ли удалить все эти объекты? (Лог сканирования во вложении)

[Info_bot]

Уважаемый(ая) Elza78, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Удалите в МВАМ только указанные ниже записи

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Taskhost (Trojan.Delf) -> Параметры: C:\Users\Эльза\AppData\Roaming\lsass.exe -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (PUM.UserWLoad) -> Параметры: C:\Users\2D2D~1\LOCALS~1\Temp\mssdxfqb.com -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (Trojan.Ransom) -> Параметры: C:\Users\2D2D~1\LOCALS~1\Temp\mssdxfqb.com -> Действие не было предпринято.

Обнаруженные папки:  1
C:\Program Files (x86)\dd2\dd1 (Backdoor.Bot.ooo) -> Действие не было предпринято.

Обнаруженные файлы:  9
C:\Users\Эльза\AppData\Local\Temp\acykc6gu.exe (Backdoor.Cidox) -> Действие не было предпринято.
C:\Users\Эльза\AppData\Roaming\Microsoft\198.exe (Trojan.Banload) -> Действие не было предпринято.
C:\Users\Эльза\AppData\Roaming\Microsoft\txt.exe (Backdoor.Cidox) -> Действие не было предпринято.
C:\Users\Эльза\AppData\Roaming\lsass.exe (Trojan.Delf) -> Действие не было предпринято.
C:\Program Files (x86)\dd2\dd1\vidish.bat (Backdoor.Bot.ooo) -> Действие не было предпринято.
C:\Program Files (x86)\dd2\dd1\data.txt (Backdoor.Bot.ooo) -> Действие не было предпринято.
C:\Program Files (x86)\dd2\dd1\krot.vbs (Backdoor.Bot.ooo) -> Действие не было предпринято.
c:\windows\system32\drivers\etc\hоsts (Hijack.Trace) -> Действие не было предпринято.

[Elza78]

После удаления вирусы появляются снова... Присылаю логи АВЗ Прошу помощи в удалении

[миднайт]

В HiJackThis пофиксите:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://browserhelp2.ru
O1 - Hosts: 217.73.57.92 userapi.com
O1 - Hosts: 217.73.57.92 st0.userapi.com
O1 - Hosts: 217.73.57.92 st1.userapi.com
O1 - Hosts: 217.73.57.92 st2.userapi.com
O1 - Hosts: 217.73.57.92 st3.userapi.com
O1 - Hosts: 217.73.57.92 st4.userapi.com
O1 - Hosts: 217.73.57.92 st5.userapi.com
O1 - Hosts: 217.73.57.92 st6.userapi.com
O1 - Hosts: 217.73.57.92 st7.userapi.com
O1 - Hosts: 217.73.57.92 st8.userapi.com
O1 - Hosts: 217.73.57.92 st9.userapi.com
O1 - Hosts: 217.73.57.92 stg.odnoklassniki.ru
O1 - Hosts: 217.73.57.92 cdn.connect.mail.ru
O1 - Hosts: 217.73.57.92 img0.imgsmail.ru
O1 - Hosts: 217.73.57.92 img1.imgsmail.ru
O1 - Hosts: 217.73.57.92 img2.imgsmail.ru
O1 - Hosts: 217.73.57.92 img3.imgsmail.ru
O1 - Hosts: 217.73.57.92 img4.imgsmail.ru
O1 - Hosts: 217.73.57.92 img5.imgsmail.ru
O1 - Hosts: 217.73.57.92 img6.imgsmail.ru
O1 - Hosts: 217.73.57.92 img7.imgsmail.ru
O1 - Hosts: 217.73.57.92 img8.imgsmail.ru
O1 - Hosts: 217.73.57.92 img9.imgsmail.ru

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите антивирус и фаервол.

В AVZ выполните скрипт:

begin
 QuarantineFile('C:\Users\Эльза\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\j0zkIMXy0SA.exe','');
 QuarantineFile('C:\Users\2D2D~1\LOCALS~1\Temp\mssdxfqb.com','');
 DeleteFile('C:\Users\2D2D~1\LOCALS~1\Temp\mssdxfqb.com');
 DeleteFile('C:\Users\Эльза\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\j0zkIMXy0SA.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
Логи повторите.

[Elza78]

Карантин отправила Новые логи

[миднайт]

В HiJackThis пофиксите:

F3 - REG:win.ini: load=C:\Users\2D2D~1\LOCALS~1\Temp\mssdxfqb.com

В AVZ выполните скрипт:

begin
SetAVZGuardStatus(True);
 DeleteFile('C:\Users\2D2D~1\LOCALS~1\Temp\mssdxfqb.com');
ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки Логи повторите.

Сделайте лог полного сканирования MBAM

[Elza78]

новые логи АВЗ и лог сканирования MBAM Обнаружено 2 вируса

[миднайт]

Удалите в mbam все найденное. Повторите лог hijackthis. Защитное ПО отключаете на время выполнения скриптов?

[Elza78]

Да, сейчас точно отключила

- - - Добавлено - - -

MBAM пробная версия

[thyrex]

Сделайте лог ComboFix

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\эльза\\appdata\\roaming\\microsoft\\win dows\\start menu\\programs\\startup\\j0zkimxy0sa.exe - Trojan-Spy.Win32.Carberp.qzb ( DrWEB: Trojan.Carberp.789, BitDefender: Trojan.Generic.KDV.782204 )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !