Показано с 1 по 9 из 9.

Неудаляемый вирус, который переименовывается (заявка № 91952)

  1. #1
    Junior Member Репутация
    Регистрация
    11.11.2010
    Сообщений
    5
    Вес репутации
    23

    Неудаляемый вирус, который переименовывается

    Я обнаружил, что при подключении флешки на неё автоматически загружался файл под названием "scbatj.exe". При этом установленный антивирусник НОД32 его не видит. Файл обнаруживался при помощи Dr.Web CureIt и просматривался через програму WinRAR.
    Применёнными методами я обнаружил в реестре лог с названием "scbatj.exe", который был успешно мной удалён.
    Но после перезагрузки системы, на флешке при каждом подключении стали автоматически загружаться файлы с другими разными именами с разширением .ехе, а именно: zjhncl.exe, jqbwvr.exe и другие. При этом размер у этих файлов одинаковый и такой же как и у файла с именем "scbatj.exe", а именно: 496 312 кб. Так же одинаково и время создания этих файлов - 23.09.2008 14:09.
    Хочу заметить, что лог с названием "scbatj.exe" в реестре уже не существовал при этом.
    Кроме того, при использовании утилиты RootkitRevealer на диске D:\ была обнаружена папка, которая в двух случаях была без имени и адреса, а в третьем с адресом: D:\Илюша. Хочу уточнить, что никакого Илюши пользователя на этом компе не было никогда и данная папка никакими другими програмами не просматривается. При этом в разделе Description указанной програмы данная папка имела значение "Hidden from Windows API". В этой папке также находился целый ряд файлов, которые часто используються. При открытии данной папки путём ввода в строку поиска путя, она открылась, и было выяснено, что в ней хранились папка Windows, Program Files, и др., а также моя личная папка с рабочими файлами под названием IVAN. Я пробовал удалить файлы с данной папки, при этом они удалялись также и с тех местах, где они фактически находились.
    Хочу добавить, что на компе установлены две Винды - на диске С:\ и диске D:\.
    Что это может быть, я не знаю.
    Добавлю, что комп подключен к локальной сети. В некоторое время локальная сеть терялась и не могла работать. Сейчас вроде всё нормально.
    Я проделал всё необходимое, как указано в Правилах и инструкции, которую я отдельно скачивал..... Помогите пожалуста!!!!!! Очень не хочеться форматировать диски и ставить новую Винду - очень много важных програм стоит, которые очень долго восстанавливать....
    Вот, посмотрите вложения......
    Вложения Вложения

  2. Реклама
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
      QuarantineFile('Explorer.exe csrcs.exe','');
     QuarantineFile('E:\MEGA\sudbina.exe,C:\Documents and Settings\ДСА\Application Data\lbisov.exe,E:\DUSKO\svjetlana.exe,explorer.exe,C:\Documents and Settings\ДСА\Application Data\mmmpc.exe','');
     QuarantineFile('E:\MEGA\sudbina.exe','');
     QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
     QuarantineFile('C:\WINDOWS\system32\456.tmp','');
     DeleteService('MEMSWEEP2');
     QuarantineFile('C:\DOCUME~1\01C9~1\LOCALS~1\Temp\GTZNFUM.exe','');
     QuarantineFile('C:\DOCUME~1\01C9~1\LOCALS~1\Temp\HNWAUUC.exe','');
     QuarantineFile('C:\DOCUME~1\01C9~1\LOCALS~1\Temp\IKXWTC.exe','');
     DeleteService('IKXWTC');
     DeleteService('HNWAUUC');
     DeleteService('GTZNFUM');
     DeleteFile('C:\DOCUME~1\01C9~1\LOCALS~1\Temp\IKXWTC.exe');
     DeleteFile('C:\DOCUME~1\01C9~1\LOCALS~1\Temp\HNWAUUC.exe');
     DeleteFile('C:\DOCUME~1\01C9~1\LOCALS~1\Temp\GTZNFUM.exe');
     DeleteFile('C:\WINDOWS\system32\456.tmp');
     DeleteFile('C:\WINDOWS\system32\csrcs.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
     DeleteFile('E:\MEGA\sudbina.exe,C:\Documents and Settings\ДСА\Application Data\lbisov.exe,E:\DUSKO\svjetlana.exe,explorer.exe,C:\Documents and Settings\ДСА\Application Data\mmmpc.exe');
     DeleteFile('Explorer.exe csrcs.exe');
     DeleteFile('E:\MEGA\sudbina.exe');
     DeleteFileMask('E:\MEGA', '*.*', true);
     DeleteDirectory('E:\MEGA');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteRepair(16);
     ExecuteRepair(11);
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
    - Сделайте лог MBAM

  4. #3
    Junior Member Репутация
    Регистрация
    11.11.2010
    Сообщений
    5
    Вес репутации
    23
    Всё сделал по Вашей инструкции по порядку.
    Вложения Вложения

  5. #4
    Junior Member Репутация
    Регистрация
    11.11.2010
    Сообщений
    5
    Вес репутации
    23
    Забыл добавить, что после проделаных операций, подозрительные файлы на флешку вроде уже не лезут!!!!!!

  6. #5
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для light59
    Регистрация
    14.07.2008
    Адрес
    Пермь
    Сообщений
    5,492
    Вес репутации
    585
    В AVZ
    Код:
    begin
     ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('D:\WINDOWS\system32\dllcache\iissync.exe','');
    DeleteFile('D:\WINDOWS\system32\dllcache\iissync.exe');
    QuarantineFile('C:\WINDOWS\system32\iexplore.exe','');
    DeleteFile('C:\WINDOWS\system32\iexplore.exe');
    
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Шлём карантин.
    Повторяем пункт 2 диагностики

  7. #6
    Junior Member Репутация
    Регистрация
    11.11.2010
    Сообщений
    5
    Вес репутации
    23
    Всё сделал по Вашим указаниям, но файл quarantine.zip не загружается, выходит сообщение:
    Ошибка загрузки. Данный файл уже был загружен

    Что делать?
    Вот только файл virusinfo_syscheck.zip
    Вложения Вложения

  8. #7
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для light59
    Регистрация
    14.07.2008
    Адрес
    Пермь
    Сообщений
    5,492
    Вес репутации
    585
    Что с проблемами?
    В логах ничего подозрительного

  9. #8
    Junior Member Репутация
    Регистрация
    11.11.2010
    Сообщений
    5
    Вес репутации
    23
    Вроде бы всё нормально, екзешные файлы на флешки вроде бы не лезут.
    Только папка D:/Илюша всё ещё существует, хотя никакого пользователя с таким именем за этим компом не было. Она просто так не просматривается, даже через WinRAR. Она просматривается при помощи програмы RootkitRevealer. При этом у неё стоит значение Hidden from Windows API и дата создания подозрительная - 01.01.1601 г.
    А при вводе в командную строку её путь D:/Илюша, то можно зайти в неё, при этом при входе её имя в левом верхнем углу значиться как обычная точка "."
    Ответье пожилуйста, что это за папка может быть и опасна ли она? Кроме неё у меня вроде бы никаких проблем, всё в норме.....
    Спасибо Вам большое за помощь, без Вас я бы не справился.....

  10. #9
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,547
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 17
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\csrcs.exe - Worm.Win32.AutoIt.xl ( DrWEB: archive: Win32.HLLW.Autoruner.based, BitDefender: Gen:Trojan.Heur.AutoIT.4 )


  • Уважаемый(ая) ya10, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Неудаляемый вирус
      От Kate218 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 28.03.2011, 00:58
    2. Неудаляемый вирус
      От Аким74 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 16.03.2010, 07:08
    3. Неудаляемый вирус
      От ronan в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 18.05.2009, 21:23
    4. IE сам переименовывается
      От kav.user в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 23.02.2009, 05:55
    5. неудаляемый вирус
      От MEMHOH в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 22.02.2009, 07:37

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00471 seconds with 22 queries