В каждой папке появляются ярлыки (AVG говорит LNK/Autorun.H) [Trojan.WinLNK.Agent.gj, Worm.Win32.AutoIt.aka ]

[newstarter]

Доброго времени суток!

Суть проблемы: вставили флешку, имели неосторожность случайно нажать на имевшийся там ярлык, после чего и на самой флешке и практически во всех папках на компьютере стали возникать ярлыки (расширение .lnk), часто дублирующие само название папки, часто под именем My Music.lnk, но все они указывают на windows/system 32. Проблема по симптомам схожая с http://virusinfo.info/showthread.php?t=174325. Удалять при помощи антивируса (AVG Free Edition 2015) бесполезно - через несколько минут ярлыки возникают, как и раньше. В папках и вложенных папках.

Пожалуйста помогите избавиться от этой напасти.

Заранее СПАСИБО!!!

[Info_bot]

Уважаемый(ая) newstarter, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\GoogleChrome\GoogleChrome.exe','');
 BC_ImportAll;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

[newstarter]

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Thyrex, здравствуйте. Большущее Спасибо за то, что помогаете. Высылаю карантин, надеюсь загрузится.

[thyrex]

Ушло в вирлаб

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFileF('C:\GoogleChrome', '*.*', true,'', 0, 0, '', ''); 
QuarantineFile('C:\GoogleChrome\WindowsUpdate.lnk','');
 QuarantineFile('C:\GoogleChrome\GoogleUpdate.lnk','');
 QuarantineFile('C:\GoogleChrome\GoogleChrome.a3x','');
 DeleteFile('C:\GoogleChrome\GoogleChrome.a3x','32');
 DeleteFile('C:\GoogleChrome\GoogleChrome.exe','32');
 DeleteFile('C:\GoogleChrome\GoogleUpdate.lnk','32');
 DeleteFile('C:\GoogleChrome\WindowsUpdate.lnk','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Google Chrome');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Google Chrome');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AdopeUpdate');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','JavaUpdate');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AdopeFlash');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NewJavaInstall');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Сделайте НОВЫЕ логи ПО ПРАВИЛАМ

[newstarter]

Добрый день, thyrex. Карантин отправлен, вот новые логи.

СПАСИБО.

[thyrex]

Что с проблемой?

[newstarter]

Что с проблемой?

Thyrex, скрипт в AVZ выполнялся сегодня ночью, когда включили компьютер сегодня днем, ярлыки .lnk остаются, AVG продолжает выявлять их.

[thyrex]

Они заново появляются?

[newstarter]

Они заново появляются?

Thyrex, удалили ярлыки в паре папок на диске C, перезагрузили компьютер - не похоже, что они заново появляются.

Огромное СПАСИБО. Что теперь можно сделать с уже имеющимися ярлыками - они разбросаны по всему компьютеру в разных папках и явно представляют опасность. Дело еще в том, что приходится много работать с флешкой (без этого никак - работа такая), а она, как я понимаю, уже тоже заражена. Стоит ее вставить в порт, заражение может повториться. Когда изначально вставили ту злополучную флешку, с которой вирус перекочевал на компьютер, AVG не распознал угрозы, выдал сообщение, что все чисто.

[thyrex]

Ну раз AVG сейчас такое ловит, доверьте ему удалить все подобные ярлыки. Точно так и на флешке.

+ вручную удалите на флешке файлы с именами, как мы брали в карантин

[newstarter]

Ну раз AVG сейчас такое ловит, доверьте ему удалить все подобные ярлыки. Точно так и на флешке.

+ вручную удалите на флешке файлы с именами, как мы брали в карантин

Странность в том, что при сканировании компьютера AVG замечал и удалял .lnk из папок на диске D, а на диске C все оставлял.

"вручную удалите на флешке файлы с именами, как мы брали в карантин" - Thyrex, извините, можно пояснить? То есть просто выделять ярлыки на флешке и удалять?

СПАСИБО!!!

[thyrex]

Вот такие файлы на флешке

GoogleChrome.a3x
GoogleChrome.exe

удаляйте вручную, если найдете

Ну и ярлыки можете вручную

[newstarter]

Thyrex, разрешите пожалуйста еще вопрос. Дело в том, что AVG и DrWebCureIt определяют угрозы под видом ярлыков с расширением .lnk только на диске D, ну и удаляет соответственно. А на диске C почему-то не замечают, ранее созданные вирусом ярлыки остаются. Есть ли способ выявить и удалить их? Пробовали простым поиском, но боимся удалить нужные ярлыки, напортачить еще больше.

Огромное вам СПАСИБО за помощь и терпение.

[thyrex]

Только просматривая свойства ярлыков можно определить, злобный он или нет

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 16
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\googlechrome\googlechrome.a3x - Worm.Win32.AutoIt.aka ( DrWEB: Trojan.AutoIt.159 )
  2. c:\googlechrome\googleupdate.lnk - Trojan.WinLNK.Agent.gj