Показано с 1 по 16 из 16.

Вирус скрывает папки, закачивает новые вирусы [Trojan.Win32.Yakes.hqbr ] (заявка № 172523)

  1. #1
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8

    Thumbs up Вирус скрывает папки, закачивает новые вирусы [Trojan.Win32.Yakes.hqbr ]

    Добрый день. Поймал, если не ошибаюсь в названии, TroyanBoot.3. Вирус выключает флажок "Показать скрытые папки", закачивает новые вирусы, постоянно тормозит интернет из-за этого. Проверял Cureit и Kaspersky, первый раз вроде помогло, но потом все вернулось на круги своя. Необходимые файлы приложил.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,268
    Вес репутации
    326
    Уважаемый(ая) giuster, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Здравствуйте!

    - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.


    Закройте все программы

    Отключите
    - ПК от интернета/локалки.
    - Антивирус и Файрвол

    Выполните скрипт в АВЗ -

    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
     ClearQuarantineEx(true);
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\1914524C.sys', '');
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\D379B46.sys', '');
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\184615B6.sys', '');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1211196\133341901.exe', '');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12653311\eproa121.exe', '');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-18653111\eproa11.exe', '');
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe', '');
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\windows\winsys.exe', '');
     QuarantineFile('C:\ProgramData\CreativeAudio\xslpjdynn.exe', '');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1211196\133341901.exe', '32');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12653311\eproa121.exe', '32');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-18653111\eproa11.exe', '32');
     DeleteFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe', '32');
     DeleteFile('C:\Users\836D~1\AppData\Local\Temp\windows\winsys.exe', '32');
     DeleteFile('C:\ProgramData\CreativeAudio\xslpjdynn.exe', '32');
     DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC', '32');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '1233331901');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'eproa112');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'eproa11');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Adobe System Incorporated');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Service');
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
    BC_ImportALL;
    ExecuteSysClean;
     ExecuteRepair(1);
     ExecuteRepair(9);
     ExecuteRepair(3);
     ExecuteRepair(4);
     ExecuteWizard('SCU', 2, 3, true);
     ExecuteWizard('TSW', 2, 2, true);
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в АВЗ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

  5. regist получил(а) благодарность за это сообщение от


  6. #4
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8
    Логи вложил. Правда, есть подозрение в правильной последовательности действий. Хотя, надеюсь, что все правильно сделал
    Вложения Вложения

  7. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Цитата Сообщение от regist Посмотреть сообщение
    - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
    это не сделали. Жду ссылку.

    +

    Закройте все программы

    Отключите
    - ПК от интернета/локалки.
    - Антивирус и Файрвол

    Выполните скрипт в АВЗ -

    Код:
    begin
     ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
     ClearQuarantineEx(true);
     QuarantineFile('C:\Users\Администратор\AppData\Roaming\Identities\kppva\kppva.exe', '');
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\windows\winsys.exe', '');
     QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe', '');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-18653111\eproa11.exe', '');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12653311\eproa121.exe', '');
     QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1211196\133341901.exe', '');
     QuarantineFileF('C:\Users\Администратор\AppData\Roaming\Identities\kppva\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1211196\133341901.exe', '32');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12653311\eproa121.exe', '32');
     DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-18653111\eproa11.exe', '32');
     DeleteFile('C:\Users\836D~1\AppData\Local\Temp\Adobe\Reader_sl.exe', '32');
     DeleteFile('C:\Users\836D~1\AppData\Local\Temp\windows\winsys.exe', '32');
     DeleteFile('C:\Users\Администратор\AppData\Roaming\Identities\kppva\kppva.exe', '32');
     DeleteFileMask('C:\Users\Администратор\AppData\Roaming\Identities\kppva\', '*', true);
     DeleteDirectory('C:\Users\Администратор\AppData\Roaming\Identities\kppva\');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '1233331901');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'eproa112');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'eproa11');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Service');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Adobe System Incorporated');
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater', 'command');
     RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'Windows Update');
    BC_ImportALL;
    ExecuteSysClean;
     ExecuteWizard('SCU', 2, 2, true);
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - Выполните в АВЗ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Сделайте полный образ автозапуска uVS только программу скачайте отсюда

  8. #6
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8
    Не уверен, то ли пишу в качестве ссылки virus_info: 9DC7E882FED3D3B1CFEFE8DB80498F49
    Образ автозапуска приложил и на карантин отправил.
    Вложения Вложения

  9. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Цитата Сообщение от giuster Посмотреть сообщение
    Не уверен, то ли пишу в качестве ссылки virus_info: 9DC7E882FED3D3B1CFEFE8DB80498F49
    вот ссылка http://virusinfo.info/virusdetector/...EFE8DB80498F49

    Выполните скрипт в uVS и пришлите карантин

    Код:
    ;uVS v3.85.3 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v385c
    BREG
    delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1211196\133341901.EXE
    delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-18653111\EPROA11.EXE
    delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12653311\EPROA121.EXE
    delall %SystemDrive%\USERS\836D~1\APPDATA\LOCAL\TEMP\ADOBE\READER_SL.EXE
    delall %SystemDrive%\USERS\836D~1\APPDATA\LOCAL\TEMP\WINDOWS\WINSYS.EXE
    delref HTTP://TROVI.COM/RESULTSEXT.ASPX?CTID=CT2475029&SEARCHSOURCE=2&CUI=UN61926772174867836&UM=&Q=
    addsgn 1AEA5B9A5583348CF42B254E3143FE53DABF9437C9FA944D654385BCAF00F48C57366233FF159DCAD37FF08816E97C92BC9FE88D832560A9ED03ACA447FE2373 8 Trojan.Win32.Yakes.hqbr [Kaspersky]
    
    zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\IDENTITIES\MVEUEG.EXE
    bl 090A88140C79911C5F5A4C4AAF460771 168448
    deltmp
    ; Java(TM) 6 Update 24
    exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216024FF} /quiet
    czoo
    restart
    на вопросы об удаление программы соглашайтесь. Будет удалена старая версия Java.

    сделайте новый образ автозапуска.

  10. #8
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8
    Глуплю, наверное. Когда прикладываю образ автозапуска, пишется, что превышен возможный объем, и я не понимаю, как либо удалить предыдущие архивы, что отправлял, либо как обойти запрет на загрузку.
    По теме: на карантин архив отправил

  11. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    загрузите сюда http://rghost.ru/ и оставьте ссылку на скачивание.
    ps. как удалить есть в ЧАВО, ссылка на оглавление в подписи

  12. #10
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8
    Ссылка на образ автозапуска: http://rghost.ru/59564395

  13. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Выполните скрипт в uVS и пришлите карантин

    Код:
    ;uVS v3.85.3 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v385c
    BREG
    zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\IDENTITIES\MVEUEG.EXE
    bl 090A88140C79911C5F5A4C4AAF460771 168448
    addsgn 1AEA5B9A5583348CF42B254E3143FE53DABF9437C9FA944D654385BCAF00F48C57366233FF159DCAD37FF08816E97C92BC9FE88D832560A9ED03ACA447FE2373 8 Trojan.Win32.Yakes.hqbr [Kaspersky]
    
    chklst
    delvir
    
    ; Java(TM) 6 Update 24
    exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216024FF} /quiet
    czoo
    restart
    Java(TM) 6 Update 24 - деинсталируйте.

    сделайте новый образ автозапуска.

  14. #12
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8
    Карантин выслал, java удалил. Ссылка на образ автозапуска: http://rghost.ru/59568820

  15. #13

  16. #14
    Junior Member Репутация
    Регистрация
    04.11.2014
    Сообщений
    8
    Вес репутации
    8
    Сейчас скрытые папки не исчезают по неведомой причине. Из автозагрузки исчезли те программы, которые раньше я не мог убрать (забыл об этом в описании проблемы указать). Но появилась какая-то новая программа _uninst_72138881. Вроде как исходящий интернет канал не забивается никакими посторонними исходящими пакетами (гугл позволяет производить поиск, чего раньше не было). И перестали появляется какие-то новые файлы exe в папке Roaming. Ну и пожалуй все.
    Спасибо за то, что убрали все проблемы. Очень благодарен вам за ваш труд.

  17. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,567
    Вес репутации
    709
    Цитата Сообщение от giuster Посмотреть сообщение
    Но появилась какая-то новая программа _uninst_72138881.
    это от AVPTool. Исчезнет после деинсталяции, а если вы уже деинсталировали и этот ярлык всё равно остался, то просто удалите его.



    Выполните скрипт в AVZ при наличии доступа в интернет:

    Код:
    var
    LogPath : string;
    ScriptPath : string;
    
    begin
     LogPath := GetAVZDirectory + 'log\avz_log.txt';
     if FileExists(LogPath) Then DeleteFile(LogPath);
     ScriptPath := GetAVZDirectory +'ScanVuln.txt';
    
      if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
        if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
           ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
           exit;
          end;
      end;
     if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
    end.
    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

    Советы и рекомендации после лечения компьютера

  18. #16
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,543
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 4
    • Обработано файлов: 34
    • В ходе лечения обнаружены вредоносные программы:
      1. \mveueg.exe._9ec073715c39d592a680db49636b6ab64ad13 c74 - Trojan.Win32.Yakes.hqbr ( BitDefender: Gen:Variant.Graftor.166405 )


  • Уважаемый(ая) giuster, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 16
      Последнее сообщение: 17.04.2014, 10:58
    2. Вирус скрывает папки и файлы на флешке
      От martiner в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 19.03.2014, 19:42
    3. Вирус скрывает папки на флешке
      От Lexxicon в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 07.07.2011, 14:37
    4. Вирус скрывает папки
      От siv21102 в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 26.06.2011, 16:45
    5. вирус скрывает папки и делает копии .exe
      От ehduart в разделе Вредоносные программы
      Ответов: 1
      Последнее сообщение: 05.06.2009, 21:02

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01124 seconds with 22 queries