Троян Jorik.Lolbot

[D4Ni3L]

Заметил, что на флешках стал появляться подозрительный авторан и скрытая папка с исполнительным фалом. Загрузил его на вирустотал - выдал название Trojan.Win32.Jorik.Lolbot.hi, как с ним бороться в интернете не нашел.
Прошу вашей помощи! Заранее благодарю.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\docume~1\4b0e~1\locals~1\temp\lsass.exe');
 QuarantineFile('C:\DOCUME~1\4B0E~1\LOCALS~1\Temp\lsass.exe','');
 DeleteFile('C:\DOCUME~1\4B0E~1\LOCALS~1\Temp\lsass.exe');
 DeleteFile('C:\Program Files\Internet Explorer0\setupapi.rar');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Firewall');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Firewall');
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('G:\TTHDHGC\DFG-2352-66235-2352322-634621321-6662355\364855.exe','');
 DeleteFile('G:\TTHDHGC\DFG-2352-66235-2352322-634621321-6662355\364855.exe');
 DeleteFile('G:\autorun.inf');  
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи

[D4Ni3L]

карантин 101111_200657_quarantine_4cdc22b148588.zip

[olejah]

Выполните скрипт в АВЗ -

begin
 DeleteFile('C:\Documents and Settings\Данёк\Application Data\Desktopicon\eBayShortcuts.exe');  
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

C:\Program Files\mirc\mirc.exe.bak - знакомо Вам, знаете что это такое?

[D4Ni3L]

да, это непропатченный мирк клиент.
в общем, кажется всё удалось! на флешки ничего не копируется.
Гениально!) спасибо!

[olejah]

Рекомендуется

- Установить все важные обновления.
- Установить IE 8 - даже если Вы им не пользуетесь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены