Win32/Expiro [Backdoor.Win32.Androm.enki, Virus.Win64.Expiro.f, Virus.Win32.Expiro.nt ]

[Fearless]

Добрый день!
Eset определил вирус как Win32/Expiro. Началось с того, что кто-то зашёл в контакт и стал зависать Excel
...логи avz, HijackThis, Gmer в атаче



Спасибо!

[Info_bot]

Уважаемый(ая) Fearless, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Aleksandra]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Windows\system32\explorer.exe','');
 QuarantineFile('C:\PROGRA~3\mstbgclc.exe','');
 QuarantineFile('C:\Program Files\Windows Media Player\wmpnetwk.exe','');
 QuarantineFile('C:\Windows\System32\wbem\WmiPrvSE.exe','');
 QuarantineFile('C:\Windows\System32\wbem\WmiApSrv.exe','');
 QuarantineFile('C:\Windows\System32\VSSVC.exe','');
 QuarantineFile('C:\Windows\System32\vds.exe','');
 QuarantineFile('C:\Windows\System32\UI0Detect.exe','');
 QuarantineFile('C:\Windows\System32\taskmgr.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\swagent.exe','');
 QuarantineFile('c:\windows\syswow64\svchost.exe','');
 QuarantineFile('c:\program files (x86)\winpcap\rpcapd.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\rfmgrui.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\rfmgr.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\rfacnmgr.exe','');
 QuarantineFile('c:\windows\syswow64\msiexec.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\monitsrv.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\monitor.exe','');
 QuarantineFile('C:\Program Files\KDService\bin\KDService.exe','');
 QuarantineFile('c:\program files (x86)\common files\java\java update\jucheck.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\ivpsrv.exe','');
 QuarantineFile('c:\program files (x86)\infotecs\vipnet client\itcswpm.exe','');
 QuarantineFile('C:\Windows\System32\dllhost.exe','');
 QuarantineFile('C:\Windows\System32\audiodg.exe','');
 QuarantineFile('c:\program files (x86)\common files\adobe\arm\1.0\armsvc.exe','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=164685

[Fearless]

140811_201815_quarantine_53e9250715bd8.zip
залил

[regist]

пролечитесь как указано в этой теме: Как лечить файловый вирус?, потом сделайте новые логи.
На время лечения подключите флешки и другие съёмные устройства.

[Fearless]

vba32.rar

Спасибо!

[regist]

Сомневаюсь, что VBA смог пролечить всё, так как у них не было детекта и учитывая какой короткий отчёт большая часть вирусов по прежнему осталась в вашей системе.
Рекомендую пролечиться ещё Live CD например от касперского.

потом сделайте лог полного сканирования МВАМ.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 25
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\windows media player\wmpnetwk.exe - Virus.Win64.Expiro.f
  2. c:\progra~3\mstbgclc.exe - Backdoor.Win32.Androm.enki ( BitDefender: Trojan.GenericKD.1736646, AVAST4: Win32:Trojan-gen )
  3. c:\windows\system32\audiodg.exe - Virus.Win64.Expiro.f
  4. c:\windows\system32\dllhost.exe - Virus.Win64.Expiro.f
  5. c:\windows\system32\dllhost.exe - Virus.Win32.Expiro.nt
  6. c:\windows\system32\explorer.exe - Virus.Win32.Expiro.nt
  7. c:\windows\system32\taskmgr.exe - Virus.Win32.Expiro.nt
  8. c:\windows\system32\taskmgr.exe - Virus.Win64.Expiro.f
  9. c:\windows\system32\ui0detect.exe - Virus.Win64.Expiro.f
  10. c:\windows\system32\vds.exe - Virus.Win64.Expiro.f
  11. c:\windows\system32\vssvc.exe - Virus.Win64.Expiro.f
  12. c:\windows\system32\wbem\wmiapsrv.exe - Virus.Win64.Expiro.f
  13. c:\windows\system32\wbem\wmiprvse.exe - Virus.Win64.Expiro.f
  14. c:\windows\system32\wbem\wmiprvse.exe - Virus.Win32.Expiro.nt
  15. c:\windows\syswow64\msiexec.exe - Virus.Win32.Expiro.nt
  16. c:\windows\syswow64\svchost.exe - Virus.Win32.Expiro.nt