Происходит постоянная подгрузка с интернета.

[Tymur A.]

Добрый день.
Утром нашел несколько троянов,в том числе Trojan.Win32.Jorik.Bredolab.bq,после лечения сканирование AVPTools и AVIRA антивирус показывает отсутствие вредоносного ПО,но при старте постоянно происходит непрерывная подгрузка с интернета.

[AndreyKa]

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\crbaraf');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\crbaraf\Parameters');
 SetServiceStart('crbaraf', 4);
 SetServiceStart('.neecmoiipb', 4);
 QuarantineFile('C:\WINDOWS\system32\Drivers\crbaraf.sys','');
 DeleteService('.neecmoiipb');
 QuarantineFile('.neecmoiipb','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.

Сделайте новый лог по пункту 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[Tymur A.]

карантин выслал и +

[Tymur A.]

подгрузка продолжается, вчера находил TR\Crypt.ZPACK.Gen -AVIRA и Trojan.NtRootKit.9374 -De.Web CureIt

[AndreyKa]

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:

begin
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\crbaraf.sys','');
 SetServiceStart('Mosvchs', 4);
 DeleteService('Mosvchs');
 DeleteService('crbaraf');
 QuarantineFile('Mosvchs.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\crbaraf.sys');
 BC_DeleteSvc('crbaraf');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate; 
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[Tymur A.]

карантин выслал +

[Kuzz]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

procedure SVCFRQ(svcname:string);
var hfile:string;
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname);
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname+'\Parameters');
hfile:=RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname+'\Parameters','ServiceDll');
if hfile<>'' then
 begin
 FSResetSecurity(hfile);
 QuarantineFile(hfile,'');
 DeleteFile(hfile);
 end else
  begin
    hfile:=RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname,'ImagePath');
      if hfile<>'' then
        begin
        FSResetSecurity(hfile);
        QuarantineFile(hfile,'');
        DeleteFile(hfile);
        end else
        begin
        hfile:=GetEnvironmentVariable('SystemRoot')+'\system32\drivers\'+svcname+'.sys';
        FSResetSecurity(hfile);
        QuarantineFile(hfile,'');
        DeleteFile(hfile);
      end;
  end;
end;

begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SVCFRQ('crbaraf');
BC_DeleteSvcReg('crbaraf');
 QuarantineFile('C:\WINDOWS\system32\Drivers\crbaraf.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\klif.sys','');
 QuarantineFile('C:\Program Files\4GAME\LineageII\frost\frost.sys','');
 QuarantineFile('Asmcsrvordmt.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\aec.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно приложения 3 правил .
Загружать по красной ссылке вверху этой темы "Прислать запрошенный карантин"


Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[Tymur A.]

скрипт выполнил, после рестарта пропала возможность вставки файлов.

[thyrex]

Выложите логи на файлообменник и дайте ссылки на них

[Tymur A.]

Старт поиска в 'C:\WINDOWS\system32\drivers'
C:\WINDOWS\system32\drivers\crbaraf.sys
[ОБНАРУЖЕНИЕ] Троянская программа TR/Crypt.ZPACK.Gen
[ПРЕДУПРЕЖДЕНИЕ] Невозможно открыть файл.
[ПРЕДУПРЕЖДЕНИЕ] Удаление файла невозможно.
[УКАЗАНИЕ] Производится попытка выполнить действие с помощью ARK библиотеки.
[УКАЗАНИЕ] Файл был "удален"
Через некоторое время обнаруживается снова + постоянная активность в интернет.
Обновляю файлы + высылаю карантин (Файл сохранён как 100722_151721_virus_4c4828c19e094.zip )

[Kuzz]

1. Скачайте "OSAM" (Online Solutions Autorun Manager). В меню драйверов правой кнопкой по crbaraf и выберите "Turn Run Off", потом подтвердите перезагрузку.

html-лог работы утилиты заархивируйте и прикрепите к своему сообщению

2.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

procedure SVCFRQ(svcname:string);
var hfile:string;
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname);
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname+'\Parameters');
hfile:=RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname+'\Parameters','ServiceDll');
if hfile<>'' then
 begin
 FSResetSecurity(hfile);
 QuarantineFile(hfile,'');
 DeleteFile(hfile);
 end else
  begin
    hfile:=RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Services\'+svcname,'ImagePath');
      if hfile<>'' then
        begin
        FSResetSecurity(hfile);
        QuarantineFile(hfile,'');
        DeleteFile(hfile);
        end else
        begin
        hfile:=GetEnvironmentVariable('SystemRoot')+'\system32\drivers\'+svcname+'.sys';
        FSResetSecurity(hfile);
        QuarantineFile(hfile,'');
        DeleteFile(hfile);
      end;
  end;
end;

begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SVCFRQ('crbaraf');
BC_DeleteSvcReg('crbaraf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

3. Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[Tymur A.]

2 файла + файл карантина (Файл сохранён как 100722_160505_virus_4c4833f1702b5.zip )

[AndreyKa]

Tymur A., нажмите под сообщением Kuzz.
В логе чисто. "Подгрузка с интернета" прекратилась?

[Tymur A.]

Подгрузка прекратилась,спасибо Вам всем большое.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 21
• В ходе лечения вредоносные программы в карантинах не обнаружены