Не могу выкорчевать из системы backdoor.irc.ngrbot.42 АРМ 2 Пациент 0 [HEUR:Trojan.Win32.Generic, Backdoor.Win32.Androm.dds ]

[BeGood]

Собственно таже проблема, что и в http://virusinfo.info/showthread.php...47#post1310147
Скорее всего, от этого компьютера и пошло заражение. подозреваю, что с ним все хуже. Также заражение флешки и не переключается раскладка. Иногда краш системы.

Все та же Вин ХР, логи присутствуют, прошу помощи.

[Info_bot]

Уважаемый(ая) BeGood, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Здравствуйте !!!

Пофиксите в HijackThis:

O4 - HKCU\..\Run: [Windows Live Installer] C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Live.exe
O4 - HKCU\..\Run: [Windows Live] C:\Documents and Settings\БАРДИНА\Application Data\Windows Live\sfxptdpbsb.exe
O4 - HKCU\..\Run: [Windows Update Installer] C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Updater.exe
O4 - HKCU\..\Run: [Rudkdb] C:\Documents and Settings\БАРДИНА\Application Data\Microsoft\Windows\themes\Rudkdb.exe
O4 - HKCU\..\Policies\Explorer\Run: [Windows Live] C:\Documents and Settings\БАРДИНА\Application Data\Windows Live\sfxptdpbsb.exe
O4 - HKUS\S-1-5-18\..\Run: [Windows Update Installer] C:\WINDOWS\system32\config\systemprofile\Application Data\WindowsUpdate\Updater.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Windows Update Installer] C:\WINDOWS\system32\config\systemprofile\Application Data\WindowsUpdate\Updater.exe (User 'Default user')

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Application Data\WindowsUpdate\Updater.exe','');
  QuarantineFile('C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Updater.exe','');
  QuarantineFile('C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Live.exe','');
  QuarantineFile('C:\Documents and Settings\БАРДИНА\Application Data\Windows Live\sfxptdpbsb.exe','');
  QuarantineFile('C:\Documents and Settings\БАРДИНА\Application Data\Microsoft\Windows\themes\Rudkdb.exe','');
  DeleteFile('C:\Documents and Settings\БАРДИНА\Application Data\Microsoft\Windows\themes\Rudkdb.exe','32');
  DeleteFile('C:\Documents and Settings\БАРДИНА\Application Data\Windows Live\sfxptdpbsb.exe','32');
  DeleteFile('C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Live.exe','32');
  DeleteFile('C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Updater.exe','32');
  DeleteFile('C:\WINDOWS\system32\config\systemprofile\Application Data\WindowsUpdate\Updater.exe','32');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Rudkdb');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Live');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live Installer');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');
  RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');
  RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[BeGood]

Да, простите мне мою невежливость...

Здраствуйте!

Спасибо за скрипты, взял, прогнал на машине, отправил вам карантин. Выкладываю логи.
После скриптов раскладка снова стала переключаться (в без. реж.) и флешка тоже не заразилась.

[mrak74]

отключите антивирусную программу

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine; 
  DeleteFile('C:\Documents and Settings\БАРДИНА\Application Data\Microsoft\Windows\themes\Rudkdb.exe','32');
  DeleteFile('C:\Documents and Settings\БАРДИНА\Application Data\WindowsUpdate\Updater.exe','32');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Rudkdb');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(11);
 ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[BeGood]

Выполнил скрипт в безопасном режиме и при выключенном антивирусе.

Логи прикладываю.

[mrak74]

Выполнил скрипт в безопасном режиме и при выключенном антивирусе.

Скрипт да, но лог новый необходимо делать только в обычном режиме.

У меня к Вам просьба, почистите систему ccleaner-ом, в том числе реестр. И только после этого сделайте новые логи AVZ и HijackThis, обязательно в обычном режиме.

[BeGood]

Почистился клинером, в обычном режиме сделал логи.
Прикладываю.

[mrak74]

C:\Program Files\PROWiSe\PROWiSe.exe

Сами устанавливали ? В остальном чисто. Что с проблемой ?

[BeGood]

Проблема улетучилась после первых скриптов. Без понятия, что это. Подозреваю, что могло входить в комплект WinXP, там кастомная сборка.

За помощь спасибо!

[mrak74]

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\бардина\application data\microsoft\windows\themes\rudkdb.exe - Backdoor.Win32.Androm.dds ( AVAST4: Win32:Malware-gen )
  2. c:\documents and settings\бардина\application data\windows live\sfxptdpbsb.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )
  3. c:\documents and settings\бардина\application data\windowsupdate\live.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )