MarioForever.exe и т.д.

[DeAngel]

1. Постоянно появляется файл MarioForever.exe в корне дисков, в сетевых шарах (в т.ч. драйверах принтера сетевого).
2. Тормозит система.
3. Все-время лезет на другие сеевые ПК по 139 порту.
4. Пишет autorun.inf на флехи, создает на них папку RECYCLER

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\TEMP\J.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\wab32.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\wab32.exe');
 DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');     
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[DeAngel]

Логи, карантин ушел

[Гриша]

В логах чисто, но пока вы не найдете инфектора в сети, это будет происходить постоянно...

[DeAngel]

Осталось только понять откуда эта гадость лезет, с какой машины...
Может быть есть идеи?

[Гриша]

Поставить на расшаренные папки аудит доступа...

[DeAngel]

Да, эта идея уже приходила мне в голову.
А результаты аудита помещаются в журнал "Безопасность" "Просмотра событий"? Очень это неудобно... А вы случайно не знаете есть ли средство просмотра результатов аудита только конкретного объекта.

[DeAngel]

Опять какая-то гадость завелась, может быть таже. Посмотрите плз.

[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('J', 4);
 SetServiceStart('SysSch', 4);
 QuarantineFile('C:\WINDOWS\system32\rserver30\newtstop.dll','');
 QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\wab32.exe','');
 QuarantineFile('SysSch.sys','');
 QuarantineFile('c:\TEMP\J.exe','');
 QuarantineFile('c:\TEMP\AdskCleanup.0001.dir.0000\~dedd25.tmp','');
 QuarantineFile('c:\TEMP\AdskCleanup.0001.dir.0000\~df394b.tmp','');
 DeleteFile('c:\TEMP\J.exe');
 DeleteFile('SysSch.sys');
 DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\wab32.exe');
 DelBHO('{D7515C61-A66C-4319-A0E0-D416CB8059E3}');
 DeleteService('J');
 DeleteService('SysSch');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


Скачайте Malwarebytes' Anti-Malware, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты). Откройте лог и скопируйте в сообщение.

И повторите логи AVZ

[DeAngel]

Новая проверка

[akok]

virusinfo_cure.zip - это карантин...удалите.

Добавлено через 3 минуты

Где лог MBAM?

Какие проблемы еще наблюдаются?

[DeAngel]

Лог mbam
Нет, пока вроде проблем больше нет.

[akok]

Хорошо. MBAM можно деинсталировать он больше не нужен.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 15
• В ходе лечения вредоносные программы в карантинах не обнаружены