Вирус app.vbe появился снова. [Trojan.Win32.Yakes.dzpz ]

**Ромарио161** · 11.02.2014, 12:55

Здравствуйте!
На флешку попал вирус, который скрыл все файлы и папки и создал ярлыки. Когда флешка была вставлена в компьютер - вирус с флешки заразил и его. Мы с вами вылечили этот вирус, прошло недели 2 и он сейчас снова появился.
Вирус, как я понял, app.vbe. по всякому пробовал удалить, но, увы, не получилось.
Заранее огромное спасибо за помощь!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 11.02.2014, 12:57

Уважаемый(ая) Ромарио161, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 11.02.2014, 20:50

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\CreativeAudio\dtdasndku.exe','');
 QuarantineFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','');
 QuarantineFile('C:\TEMP\Adobe\Reader_sl.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','');
 TerminateProcessByName('c:\recycler\mscinet.exe');
 QuarantineFile('c:\recycler\mscinet.exe','');
 TerminateProcessByName('c:\users\Ромарио\appdata\roaming\2aeb.exe');
 QuarantineFile('c:\users\Ромарио\appdata\roaming\2aeb.exe','');
 TerminateProcessByName('c:\users\Ромарио\appdata\roaming\23f8.exe');
 QuarantineFile('c:\users\Ромарио\appdata\roaming\23f8.exe','');
 DeleteFile('c:\users\Ромарио\appdata\roaming\23f8.exe','32');
 DeleteFile('c:\users\Ромарио\appdata\roaming\2aeb.exe','32');
 DeleteFile('c:\recycler\mscinet.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','32');
 DeleteFile('C:\TEMP\Adobe\Reader_sl.exe','32');
 DeleteFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Kczqza');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorpo-rated');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Security Fire-wall Manager');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xetcwow');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1ne331');
 DeleteFile('C:\ProgramData\CreativeAudio\dtdasndku.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','CreativeAudio');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9); 
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack

Код:

O4 - HKLM\..\Run: [Babakan] cmd.exe /k if %date:~6,4%%date:~3,2%%date:~0,2% LEQ 20131027 (exit) else (start http://dinoraptzor.org && exit)
O4 - HKLM\..\Policies\Explorer\Run: [60113] c:\progra~3\msptywe.exe

Обновите базы AVZ

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

**Ромарио161** · 12.02.2014, 10:51

новые логи

**Vvvyg** · 12.02.2014, 11:28

Удалите в MBAM всё, кроме:

Код:

D:\Ромарио\KOMPAS-3D_V8_[tfile.ru]\Program Files\ASCON\KOMPAS-3D V8\Libs\FTDraw\FTSCALC.exe (Trojan.FakeAlert.DF) -> Действие не было предпринято.
D:\Ромарио\Soft\Convectors\SonicFoundry Sound Forge 6 Rus\Keygen.exe (Trojan.Dynamer) -> Действие не было предпринято.
D:\Ромарио\Soft\Convectors\SonicFoundry Sound Forge 6 Rus\SoundForge6.EXE (Trojan.Dynamer) -> Действие не было предпринято.
D:\Ромарио\Soft\Fine Reader 8\Keygen.exe (Riskware.Took.CK) -> Действие не было предпринято.
D:\Ромарио\Soft\Win Rar 362 Rus\Key\Crack\Crack.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
D:\Ромарио\Soft\Win Rar 362 Rus\Key\Unblack\Unblack.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
D:\Ромарио\Soft\Компас 8\Program Files\ASCON\KOMPAS-3D V8\Libs\FTDraw\FTSCALC.exe (Trojan.FakeAlert.DF) -> Действие не было предпринято.
D:\Ромарио\Soft\КОМПАС9\KOMPAS-3D V9\Crack\hl_mull.sys (Rootkit.Agent) -> Действие не было предпринято.
D:\Ромарио\Скачанное\CyberLink PowerDVD 11.0.2329.53 Ultra\Keygen.exe (RiskWare.Tool.HCK) -> Действие не было предпринято.

Пришлите запрошенный карантин.

Перезагрузите систему и сделайте новый лог полного сканирования МВАМ.

**Ромарио161** · 12.02.2014, 13:33

новый лог полного сканирования МВАМ

**Vvvyg** · 12.02.2014, 14:22

Уведомление

Удалите Malwarebytes Anti-Malware, его использование в качестве антивируса с постоянной защитой не рекомендуется, особенно совместно с другими защитными продуктами.

Скачайте утилиту OTL by OldTimer. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

Scan All Users
Include 64Bit Scans - в случае 64-разрядной системы;
Output: Minimal Output;
File Scans: Use Company-Name WhiteList и Skip Microsoft Files;
Lop Check;
Purity Check.

В окне File Age установите 30 days
Остальные параметры оставьте по умолчанию.

Скопируйте текст:

Код:

%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%ALLUSERSPROFILE%\ntuser.pol
%SystemRoot%\System32\GroupPolicy\Machine\Registry.pol

в окно Custom Scans/Fixes и нажмите Run Scan.

По окончании сканирования программа создаст в той же папке, где находится она сама, два файла: OTL.txt и Extras.txt. Упакуйте их в архив и прикрепите к своему следующему сообщению.

**Ромарио161** · 12.02.2014, 14:46

логи otl

**Vvvyg** · 12.02.2014, 15:30

Отключите до перезагрузки антивирус, запустите OTL (В случае, если у Вас Windows Vista или 7, программу нужно запускать от имени администратора, через контекстное меню (правой клавишей мыши по файлу) "Запуск от имени администратора"!), скопируйте скрипт ниже в окно Custom Scans/Fixes, закройте все браузеры и нажмите Run Fix

Код:

:OTL
O4 - HKU\S-1-5-21-3937136908-3373937320-2712404057-1000..\Run: [Kczqza] C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: 60113 = c:\progra~3\mshgaoh.exe
[2014.02.12 00:06:55 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\AB81.exe
[2014.02.11 23:47:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\7BF5.exe
[2014.02.11 23:25:30 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\BCE4.exe
[2014.02.11 23:04:06 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\266C.exe
[2014.02.11 22:42:38 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\7E36.exe
[2014.02.11 22:22:07 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\B73D.exe
[2014.02.11 22:00:27 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\E1C0.exe
[2014.02.11 21:17:10 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\3F22.exe
[2014.02.11 20:56:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\F053.exe
[2014.02.11 20:35:01 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\A7DD.exe
[2014.02.11 20:13:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\90DC.exe
[2014.02.11 19:51:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\6D22.exe
[2014.02.11 19:07:10 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\3B50.exe
[2014.02.11 18:46:03 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\E7FE.exe
[2014.02.11 18:24:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\C6D3.exe
[2014.02.11 18:02:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\A22F.exe
[2014.02.11 17:18:56 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\22BB.exe
[2014.02.11 16:56:46 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\DA13.exe
[2014.02.11 16:35:02 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\F137.exe
[2014.02.11 16:13:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\D4FB.exe
[2014.02.11 15:30:23 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\C421.exe
[2014.02.11 15:08:24 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\A43E.exe
[2014.02.11 14:46:42 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\C2A4.exe
[2014.02.11 14:25:00 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\E691.exe
[2014.02.11 14:02:42 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\7AD2.exe
[2014.02.11 13:40:27 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\1B5E.exe
[2014.02.11 13:18:39 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\26AF.exe
[2014.02.11 12:56:50 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\2F83.exe
[2014.02.11 12:17:42 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\5C52.exe
[2014.01.30 11:57:06 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\MediaPlayerV1
[2014.01.30 11:58:21 | 000,000,396 | RHS- | M] () -- C:\ProgramData\ntuser.pol


:Commands
[purity]
[Reboot]

Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

Выполните скрипт в AVZ:

Код:

begin
ClearQuarantineEx(True);
 QuarantineFileF('C:\_OTL', '*', true,'', 0, 0, '', '', '');
 DeleteFileMask('C:\_OTL','*',true);
 DeleteDirectory('C:\_OTL');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

**Ромарио161** · 12.02.2014, 16:12

лог otl

**Vvvyg** · 12.02.2014, 20:19

Порядок.

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

**Ромарио161** · 12.02.2014, 20:24

спасибо, уязвимости найдены не были. но еще пара вопросов:
1.в папке Roaming остался еще один файл похожий на вирус. может еще где есть...
2.вирус сейчас еще есть на телефоне. подскажите как лучше от него избавиться и не потерять данные?

**Vvvyg** · 12.02.2014, 20:46

Поподробнее: телефон подключен, как диск по USB, и антивирус находит на нём вирус?

**Ромарио161** · 12.02.2014, 20:50

брал телефон с собой и подключил к другому компьютеру(ноутбуку) и там тоже появился этот вирус. те же признаки.

**Vvvyg** · 12.02.2014, 22:03

Второй компьютер лечить в отдельной теме нужно.

Скачайте программу Universal Virus Sniffer UVS. Распакуйте архив полностью, например, на рабочий стол. Откройте папку с UVS и запустите файл start.exe от имени администратора через контекстное меню (правой клавишей мыши по файлу) "Запуск от имени администратора". В открывшимся окне выберите пункт "Запустить под текущим пользователем".
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

Код:

;uVS v3.81.11 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

adddir C:\Users\Ромарио\AppData\Roaming
crimg

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.

Программа создаст полный образ автозапуска и упакует его в архив 7-Zip с именем, начинающимся с имени компьютера (ROMARIO в Вашем случае) и расширением .7Z, прикрепите этот файл к своему следующему сообщению (если нет места для вложений - на rghost.ru и ссылку в тему).

**Ромарио161** · 13.02.2014, 08:47

это нужно сделать на ноутбуке?

**Vvvyg** · 13.02.2014, 09:23

На том, на котором делались логи в этой теме. Для ноутбука заводите новую тему, логи с него туда.

**Ромарио161** · 13.02.2014, 10:01

http://rghost.ru/52396845

**Vvvyg** · 13.02.2014, 10:22

Выполните скрипт в uVS:

Код:

;uVS v3.81.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

offsgnsave

; C:\USERS\РОМАРИО\APPDATA\ROAMING\DA13.EXE
addsgn 1AA3419A5583C58CF42BC4BD0CC8D0452562B5E289FA2C870CBE218F905D044018E0CCC2FE6E5A3C3368678C46168EFA6BDFE872BD5CA32C2DF46CD02EB22273 24 Trojan.Win32.Yakes.dzpz [Kaspersky]

chklst
delvir

restart

Компьютер перезагрузится.

Сообщите, что с проблемами.

**Ромарио161** · 13.02.2014, 10:30

C:\USERS\РОМАРИО\APPDATA\ROAMING\DA13.EXE - все еще на месте, а так вроде все хорошо наверно.

Вирус app.vbe появился снова. [Trojan.Win32.Yakes.dzpz ] (заявка № 155027)

Опции темы