Файлы типа 60АС.ехе и ярлыкм вместо папок [Trojan.Win32.Jorik.IRCbot.wdk, Trojan.Win32.Jorik.Tedroo.cjy ]

[Levin249]

В общем суть в заголовке: при подключении съемных носителей к ноутбуку на них все файлы становятся ярлыками, также в папке Roaming куча экзешников со странными названиями типа 3F8D.ехе т.п. При выходе в интернет антивирус (Avast) постоянно что-то блокирует.

[Info_bot]

Уважаемый(ая) Levin249, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\d4ac.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\d4ac.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\8ca.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\8ca.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\487a.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\487a.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\3411.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\3411.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\2cfd.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\2cfd.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\235d.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\235d.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\159.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\159.exe','');
 TerminateProcessByName('c:\users\kseniya\appdata\roaming\1161.exe');
 QuarantineFile('c:\users\kseniya\appdata\roaming\1161.exe','');
 DeleteFile('c:\users\kseniya\appdata\roaming\1161.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\159.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\235d.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\2cfd.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\3411.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\487a.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\8ca.exe');
 DeleteFile('c:\users\kseniya\appdata\roaming\d4ac.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wi68');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','t4q');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','nepro0xz');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','nepdro0xz');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSSMARTMON1');
 DeleteFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gkkqkw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Levin249]

Скрипт выполнил логи прикрепляю. В папке roaming стало еще больше таких файлов (2BC8.exe, 46BF.exe и т.д.)

[Никита Соловьев]

> Выполните скрипт в AVZ:

begin
 ClearQuarantine;
if not IsWOW64 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
 QuarantineFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe','');
 QuarantineFile('C:\Users\Kseniya\AppData\Roaming\2E6B.exe','mbam');
 QuarantineFile('C:\Users\Kseniya\AppData\Roaming\3ACB.exe','mbam');
 DeleteFile('C:\Users\Kseniya\AppData\Roaming\3ACB.exe');
 DeleteFile('C:\Users\Kseniya\AppData\Roaming\2E6B.exe');
 DeleteFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gkkqkw');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine_2.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine_2.zip.

> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

Сделайте отчет программы RSIT.

_________________
> как выполнить скрипт в AVZ

[Levin249]

При прикреплении файла quarantine_2 выскакивает сообщение, что файл уже загружен.

[thyrex]

Установите все обновления для системы, начиная с Service Pack 1

Сделайте лог ComboFix

[Levin249]

К сожалению у нас в Магаданской области мы все еще платим за каждый Мб 2-3рубля, в данный момент инет не позволяет установить все обновления. Без этого никак? Лог ComboFix прилагаю.

[thyrex]

Жить с дырявой системой - значит, находится в опасности повторного заражения. Решать Вам

Что сейчас с проблемой?

[Levin249]

Полностью с вами согласен. Т.е. SP1 безопасней? Как быть с зараженными флешками и ярлыками на них? Заранее спасибо.
Ах да, проблема вроде решена, но боюсь вставлять съемные накопители.

[Никита Соловьев]

Как быть с зараженными флешками и ярлыками на них? Заранее спасибо.

Вставьте флешку, но не открывайте ее. По умолчанию никакого автозапуска в Windows 7 не происходит.
Скачайте и запустите сканер Dr.Web CureIt, просканируйте им сменный носитель, он должен исправить.

Т.е. SP1 безопасней?

Естественно! А для чего по-вашему Майкрософт выпускает эти пакеты обновлений? Просто так?
Контроль учетных записей включите, если он отключен. К уведомлениям привыкнете, а уровень защиты резко возрастает.

[Levin249]

Спасибо огромное, отличный у вас сервис.
P.S. Cureit не обнаружил ничего на флешках. И еще вопрос: все вышеперечисленное применимо к другому домашнему компу или логи делать с него отдельно?

[Никита Соловьев]

Attrib /S /D -s -h

Скопируйте текст из рамки в блокнот и сохраните в корень флешки с именем restore.bat (имя может быть любым, главное - наличие расширения .bat).

Запустите этот файл. В зависимости от кол-ва файлов и каталогов процес может занять до 10 минут.

И еще вопрос: все вышеперечисленное применимо к другому домашнему компу или логи делать с него отдельно?

Нет. Другой компьютер в отдельной теме.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-46689\\24naq.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  2. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-917678\\nepro0xz.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  3. c:\\users\\kseniya\\appdata\\roaming\\d4ac.exe - Trojan.Win32.Jorik.Tedroo.cjy ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )
  4. c:\\users\\kseniya\\appdata\\roaming\\microsoft\\g kkqkw.exe - Backdoor.Win32.Ruskill.rgr ( DrWEB: BackDoor.Bulknet.846, BitDefender: Gen:Variant.Dropper.73, AVAST4: Win32:Ruskill-HU [Trj] )
  5. c:\\users\\kseniya\\appdata\\roaming\\159.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  6. c:\\users\\kseniya\\appdata\\roaming\\235d.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  7. c:\\users\\kseniya\\appdata\\roaming\\487a.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  8. c:\\users\\kseniya\\appdata\\roaming\\8ca.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )