Компьютер заражает флешки

[ann200]

Лечение Drweb и Касперский не помогает

[Info_bot]

Уважаемый(ая) ann200, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccvfvaq.bat','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccvfvaq.bat','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','64449');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Обновите базы AVZ.
Если базы не обновляются через меню Файл - Обновление баз,
скачайте архив баз http://z-oleg.com/secur/avz_up/avzbase.zip
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" правил) и приложите в теме.

[ann200]

Перезалит syscheck

Добавлен карантин

[Nikkollo]

В указанной последовательности:

Выполните скрипт в AVZ отсюда, скопировав там весь текст (как выполнить):
http://dataforce.ru/~kad/ScanVuln.txt
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.

Загрузитесь в безопасном режиме (клавиша F после включения компьютера.
Выгрузите антивирус.

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\System32\wiadefui.dll','');
 QuarantineFile('c:\windows\system32\wupdmgr.exe','');
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccvfvaq.bat','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccvfvaq.bat','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','64449');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" правил) и приложите в теме.

[ann200]

Было обнаружено 3 уязвимости

1. Пакет безопасности для Office 2003
2. AdobeFlashPlayer11 для IE
3. Java

Обновить удалось 2 и 3
Пакет безопасности обновить не удалось, потому что нету Office2003
Есть 2007! Это какая-то ошибка в скрипте?

Карантин закачан
virusinfo_syscheck.zip - Сделан
ЗАКАЧАТЬ НЕ МОЖЕМ - НЕ УМЕЕМ УДАЛЯТЬ ВЛОЖЕНИЯ

[mike 1]

Здесь http://virusinfo.info/showthread.php?t=130567 есть инструкция как удалить старые вложения.

[ann200]

Закачен virusinfo_syscheck.zip

[mike 1]

Запустите редактор реестра, верните права на ветку HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run и удалите параметр 64449

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

[ann200]

Закачен

[mike 1]

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

Обнаруженные ключи в реестре:  4
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> Действие не было предпринято.
HKU\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> Действие не было предпринято.
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494E6CEC-7483-A4EE-0938-895519A84BC7} (Backdoor.Bot) -> Действие не было предпринято.
HKU\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494E6CEC-7483-A4EE-0938-895519A84BC7} (Backdoor.Bot) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  1
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network|UID (Malware.Trace) -> Параметры: BOD-COMP_0038089A -> Действие не было предпринято.

Обнаруженные папки:  2
C:\Documents and Settings\kat\Application Data\smwdgt (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\WINDOWS\system32\lowsec (Stolen.data) -> Действие не было предпринято.

Обнаруженные файлы:  12
C:\Documents and Settings\kat\Application Data\smwdgt\manifest.json (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\icon128.png (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\icon16.png (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\icon48.png (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\ikNnzKsZBnH.html (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\kacduAXHzwU.js (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\ndvVGWZuJaHMwMf.js (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\smwdgt\vbXbaDzizTi.js (PUP.Optional.BetterSmile.A) -> Действие не было предпринято.
C:\Documents and Settings\kat\Application Data\closer.exe (PUP.Optional.Smilapp) -> Действие не было предпринято.
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> Действие не было предпринято.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> Действие не было предпринято.
C:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> Действие не было предпринято.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[ann200]

Новый лог

А что с безопасностью Office2003 ?

[regist]

- Сделайте логи RSIT.

и кроме этого другие проблемы остались?

[ann200]

Остался эффект - компьютер слегка притормаживает

А что с безопасностью Office 2003?

[mike 1]

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

[regist]

ann200, попробуйте удалить папка

C:\Program Files\Common Files\Microsoft Shared\OFFICE11

после этого
- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
avz_log.txt - прикрепите к своему сообщению.

[ann200]

Тему можно прикрыть (хотя бы временно)
Компьютер не ведёт себя критично, а лечением заниматься не хватает времени.
Спасибо за помощь

[regist]

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

ann200, что с обновлением офиса?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены