ПК заражён вирусом, превращающим папки на флешке в ярлыки [Trojan.VBS.Crypt.e ]

[individual]

Здравствуйте! Заражённая флешка в телефоне перенесла вирус на ПК, так как я открыла ярлык DCIM. В новом окне открылось содержимое папки, стало понятно: что-то не так. ПК стал тормозить, другая флешка тоже заразилась. Сканирование Dr. Web обнаружило какие-то подозрительные файлы и поместило их в карантин, но это не помогло. Virutkiller проводила сканирование, Combofix сочла подозрительным файл FlashPlayerApp.exe. Попытки найти вирусы и изменить атрибуты папок на флешках не привели к успеху, значит ПК всё-таки подхватил вирус, который не даёт этого сделать и сразу же после чистки ярлыков восстанавливает их обратно.

[Info_bot]

Уважаемый(ая) individual, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Здравствуйте.

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки (как пофиксить):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ (как выполнить):

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ulbloqmeed.vbs','');
 QuarantineFile('C:\Users\1\AppData\Local\Temp\ulbloqmeed.vbs','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 DeleteFile('C:\Users\1\AppData\Local\Temp\ulbloqmeed.vbs','32');
 DeleteFile('C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ulbloqmeed.vbs','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ulbloqmeed');
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" правил) и приложите в теме.

[individual]

Карантин отправлен, логи прикрепляю.

[Nikkollo]

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки (как пофиксить):

O4 - HKCU\..\Run: [ulbloqmeed] wscript.exe //B "C:\Users\1\AppData\Local\Temp\ulbloqmeed.vbs"

Сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" правил) и приложите в теме.

Что с проблемой?

[individual]

К сожалению, указанная строка в логе сканирования отсутствует. ПК вроде бы вылечился. Не могли бы Вы сказать, что делать с флешками? Обычная проверка антивирусом без автозапуска после удаления вируса с ПК поможет?

[Nikkollo]

Автозапуск флешек на ПК сейчас отключен.
Детектирует его на данный момент Касперский.
Можете проверить, например, свежескачанным AVPTool.
http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\1\appdata\local\temp\ulbloqmeed.vbs - Trojan.VBS.Crypt.e ( BitDefender: Worm.VBS.Dunihi.W, AVAST4: VBS:Downloader-IO [Trj] )
  2. c:\users\1\appdata\roaming\microsoft\windows\start menu\programs\startup\ulbloqmeed.vbs - Trojan.VBS.Crypt.e ( BitDefender: Worm.VBS.Dunihi.W, AVAST4: VBS:Downloader-IO [Trj] )