Вирус "Photo.exe"

[gugru]

Мне принесли флешку на которой была папка Photo, я удалил все с флешки и записал что надо было. В тот день ничего не происходило, на следующий после включения ноутбука, тоже все было нормально, а вот вечером когда я включил ноутбук стало появляться окно с Photo.exe - Диск отсутствует

На дисках появились папки Photo с фотографиями и приложением photo
после удаления опять появлялись, потом перестали появляться.
В "Моем компьютере" когда ввел в поиск "Photo.exe" само собой стало прописываться "testtesttesttesttesttest", после чего появилось опять окно с Photo.exe - Диск отсутствует и больше не появлялось, но я уверен вирус еще на компьютере.

[Info_bot]

Уважаемый(ая) gugru, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Photo.exe','');
 DeleteFile('C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Photo.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Find');
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- Проведите процедуру, которая описана тут. Ссылку на результат проверки напишите в сообщении здесь.

- Сделайте лог полного сканирования МВАМ. с подключённой флешкой.

[gugru]

После загрузки карантина выдало вот это

Результат загрузки

Ошибка загрузки. Данный файл уже был загружен

- - - Добавлено - - -

повторные логи

[regist]

а остальное почему не сделали ?

- Проведите процедуру, которая описана тут. Ссылку на результат проверки напишите в сообщении здесь.

- Сделайте лог полного сканирования МВАМ. с подключённой флешкой.

[gugru]

Извините.
Еще делаю.
Malwarebytes Antimalware очень долго сканирует

- - - Добавлено - - -

MD5 карантина: 55F41229FD8A8287A5BF36E9358E3D3A
Размер файла: 5397303 байт
Ссылка на результаты анализа:http://virusinfo.info/virusdetector/...BF36E9358E3D3A
Тема для обсуждения результатов анализа: http://virusinfo.info/showthread.php?t=142276

[gugru]

Результаты проверки карантина онлайн-сервисом VirusDetector
http://virusinfo.info/virusdetector/...BF36E9358E3D3A

[gugru]

Почему не появляются мои ответы?

- - - Добавлено - - -

Результаты проверки онлайн-сервисом VirusDetector »
http://e.mail.ru/cgi-bin/link?check=...40mail.ru&js=1

[Никита Соловьев]

Почему не появляются мои ответы?

Пожалуйста, все сообщения одобрены.

[gugru]

Ой спасибо.
Лишку дал.
Извините.

[regist]

Деинсталируйте Funmoods

Удалите в MBAM

Обнаруженные ключи в реестре:  10
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Funmoods (PUP.FunMoods) -> Действие не было предпринято.
HKCU\SOFTWARE\InstallCore\funmoods (PUP.FunMoods) -> Действие не было предпринято.
HKCU\Software\Google\Chrome\Extensions\bbjciahceamgodcoidkjpchnokgfpphh (PUP.Funmoods) -> Действие не было предпринято.
HKLM\SOFTWARE\Google\Chrome\Extensions\bbjciahceamgodcoidkjpchnokgfpphh (PUP.Funmoods) -> Действие не было предпринято.
HKLM\SOFTWARE\InstallCore\funmoods (PUP.FunMoods) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\funmoods (PUP.FunMoods) -> Действие не было предпринято.
Обнаруженные параметры в реестре:  1
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры:  -> Действие не было предпринято.
Объекты реестра обнаружены:  4
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Search Page (Hijack.SearchPage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com/) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Default_Search_URL (Hijack.Homepage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Search Bar (Hijack.Search) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.google.com/) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Search|SearchAssistant (Hijack.SearchPage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com/) -> Действие не было предпринято.
Обнаруженные папки:  3
C:\Program Files (x86)\Funmoods (PUP.FunMoods) -> Действие не было предпринято.
C:\Program Files (x86)\Funmoods\1.8.11.0 (PUP.FunMoods) -> Действие не было предпринято.
C:\Program Files (x86)\Funmoods\1.8.11.0\bh (PUP.FunMoods) -> Действие не было предпринято.
C:\Users\1\Downloads\arma_2_operaciya__quotstrela_quot___arma_2_operation_arrowhead__1ssoftklab___rus_eng___l__id3565298id.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Users\1\Downloads\assassins_creed_3_pobryakushki_odnonogogo_frontir.zip (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Users\1\Downloads\MediaGet_id2189019ids2s.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Users\1\Downloads\MediaGet_id706484ids2s.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Users\1\AppData\Roaming\Funmoods\UpdateProc\UpdateTask.exe (PUP.FunMoods) -> Действие не было предпринято.
C:\Program Files (x86)\Funmoods\1.8.11.0\Sqlite3.dll (PUP.FunMoods) -> Действие не было предпринято.
C:\Program Files (x86)\Funmoods\1.8.11.0\uninst.dat (PUP.FunMoods) -> Действие не было предпринято.
C:\Program Files (x86)\Funmoods\1.8.11.0\uninstall.exe (PUP.FunMoods) -> Действие не было предпринято.

перезагрузитесь и сделайте новый лог сканирования MBAM.

что с проблемой ?

[gugru]

Ну проблема исчезла до того как я сюда обратился т.е. окно с отсутствием диска больше НЕ появлялось.

А обратился я к вам потому что считаю, что простым удалением папки с вирусом, проблему не решить.

Ну как бы то ни было. Сейчас все хорошо.

Спасибо Вам.

[regist]

ещё немного

Удалите в MBAM всё найденное кроме

D:\Games\Fable III\paul.dll

сделайте новый лог сканирования MBAM

+

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Search" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[R1].txt.
• Прикрепите отчет к своему следующему сообщению.

[gugru]

Готово

[regist]

Внимание, следующее действие удалит установленные тулбары.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Delete" и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления может потребоваться перезагрузка компьютера!!!

[gugru]

Я все сделал как вы писали, только я в этом вообще не разбираюсь, можете хотя бы вкратце написать что было, и что я делал=)

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[gugru]

По ссылкам обновил, странно что AVZ предложил обновить MS office 2003, после установки обновления как я и подумал вышло окно с надписью что данный компонент не найден.

Спасибо. Отличный сервис, посоветую друзьям