Вирус JS/TrojanDownloader.Pegel.AP троянская программа [Trojan.Win32.Agentb.acoa, Trojan-Dropper.Win32.Injector.onep ]

[РоманРо]

Здравствуйте! Нод обнаружил вирус JS/TrojanDownloader.Pegel.AP, и теперь после каждой перезагрузки снова его находит.

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

[Info_bot]

Уважаемый(ая) РоманРо, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

А много чего другого он не находит? Базы ESET NOD32 Antivirus 4.2 давно обновлялись?

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\msphqghu.exe');
 TerminateProcessByName('c:\windows\system\wmiadap.exe');
 TerminateProcessByName('c:\windows\system\wmiprvse.exe');
 StopService('netaservice');
 StopService('Network Adapter Events');
 QuarantineFile('c:\windows\system32\msphqghu.exe', '');
 QuarantineFile('c:\windows\system\wmiadap.exe', '');
 QuarantineFile('c:\windows\system\wmiprvse.exe', '');
 QuarantineFile('C:\WINDOWS\system32\WinSCard.dll', '');
 QuarantineFile('C:\WINDOWS\system32\NrCBQrvfmJHjLx.exe', '');
 DeleteFile('c:\windows\system32\msphqghu.exe', '32');
 DeleteFile('c:\windows\system\wmiadap.exe', '32');
 DeleteFile('c:\windows\system\wmiprvse.exe', '32');
 DeleteFile('C:\WINDOWS\system32\WinSCard.dll', '32');
 DeleteFile('C:\WINDOWS\system32\NrCBQrvfmJHjLx.exe', '32');
 DeleteService('netaservice');
 DeleteService('Network Adapter Events');
 ExecuteFile('schtasks.exe', '/delete /TN "At1" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "At2" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'elNjVJaUWpTewToKpIYqSSwFmy');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Adobe Update Manager');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
ExecuteRepair(21);
ExecuteRepair(22);
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог Check Browsers' LNK by Dragokas & regist.

[РоманРо]

Ничего больше нод не находит. Базы обновлялись давно. Карантин отправил

Check_Browsers_LNK.log
virusinfo_syscheck.zip

[Vvvyg]

Какая проблема с обновлением баз? Необновлённый антивирус хуже, чем никакого, т. к. даёт ложное ощущение безопасности.

c:\windows\microsoft.net.framework\romserver.exe

Это LiteManager.

C:\Program Files\TeamViewer\Version8\TeamViewer.exe

Это TeamViewer.

C:\WINDOWS\system32\betwinservicexp.exe

Служба, которая обеспечивает терминальный доступ к компьютеру (возможно, без пароля, или с предустановленным.

Какое из трёх средств удалённого управления ваше?

Сделайте лог сканирования МВАМ.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system\wmiadap.exe - not-a-virus:HEUR:RemoteAdmin.Win32.Agent.gen
  2. c:\windows\system\wmiprvse.exe - not-a-virus:HEUR:RemoteAdmin.Win32.Agent.gen
  3. c:\windows\system32\msphqghu.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Termuser.237, BitDefender: Gen:Variant.Kazy.307181, AVAST4: Win32:Agent-ASLS [Trj] )
  4. c:\windows\system32\nrcbqrvfmjhjlx.exe - Trojan-Dropper.Win32.Injector.onep
  5. c:\windows\system32\winscard.dll - Trojan.Win32.Agentb.acoa ( BitDefender: Trojan.GenericKD.1983515 )