Win32/peerfrag.FD

[Archy Winson]

Здравствуйте. Обращаюсь к вам за помощью.
Появился вирус. Стоит антивирус ESET smart security.Начал ругаться (выпадают окна с предупреждениями внизу экрана) обнаружен вирус... www.cooleasy.com..... айпишники всякие. и вирусы типа 75.exe... 345.exe и т.д. Сканирую - удаляет, но после того как подключаюсь к нету снова появляются. А сегодня еще и комп начал жестко тормозить, рабочий стол пропадает. Почитал у вас что таких случае много и вы помогаете с ними бороться. Скачал и ознакомился с вашими правилами. скачал все утилиты и следовал инструкциям. Прикрепляю логи. Жду дальнейших указаний.

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\68.exe','');
 QuarantineFile('C:\WINDOWS\system32\56.exe','');
 QuarantineFile('C:\WINDOWS\system32\01.exe','');
 QuarantineFile('C:\WINDOWS\gwdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Рабочий стол\muz-tuner.exe','');
 QuarantineFile('c:\program files\velcom svetin\internet 3g\uiexec.exe','');
 QuarantineFile('c:\windows\gwdrive32.exe','');
 TerminateProcessByName('c:\windows\gwdrive32.exe');
 DeleteFile('c:\windows\gwdrive32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnawy');
 DeleteFile('C:\WINDOWS\gwdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\01.exe');
 DeleteFile('C:\WINDOWS\system32\56.exe');
 DeleteFile('C:\WINDOWS\system32\68.exe'); QuarantineFile('','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-5431854519-6589972297-839152924-7236\csisf.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-5431854519-6589972297-839152924-7236\csisf.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-4121631589-0896451955-449486039-6038\csisf.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-4121631589-0896451955-449486039-6038\csisf.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-5780252540-9843978758-571793543-8406\svmgr.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-5780252540-9843978758-571793543-8406\svmgr.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-9372114358-1636310802-234453359-9385\winmap.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-9372114358-1636310802-234453359-9385\winmap.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2364251179-7943992049-613978369-8664\csidrv.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-2364251179-7943992049-613978369-8664\csidrv.exe');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\oekx.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\oekx.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-3961615472-9742057920-644640147-4879\winmap.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-3961615472-9742057920-644640147-4879\winmap.exe');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

[Archy Winson]

карантин отправил.. логи новые прикрепил... MBAM скачал.... просканировал, но блокнотский файл с логами не нашел, в том числе и через меню пуск выполнить.

[Archy Winson]

прошу прощения - отправленный архив с карантином забыл переименовать в VIRUS

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\WINDOWS\system32\55.exe');
 DeleteFile('C:\WINDOWS\system32\70.exe');
 DeleteFile('C:\WINDOWS\system32\75.exe');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM
Созданный лог сохраните где-нибудь, если Вы закрыли лог, откройте закладку Отчёты и откройте последний лог двойным щелчком, после чего сохраните его, а затем прикрепите его к новому сообщению.

[Archy Winson]

ну вроде бы все сделал как сказали. скачал MBAM просканил, отчет сохранил, но не знаю то или не то. Через пуск выполнить открывает пустую папку. в отчетах тоже пусто..

[thyrex]

Удалите в МВАМ

Заражённые ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.

Заражённые файлы:
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\LJB0R5HZ\nails[1].exe (Trojan.Agent) -> No action taken.

[Archy Winson]

доброго времени суток. удалил с MBAM то что сказали. что дальше делать?

[polword]

что с проблемой?

Обновите систему
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут
- Обновите Java .

После обновления:
- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[Archy Winson]

все сделал как написали. все скачал. выставил обновления. запустил скрипт. прога нашла 8 уязвимостей. в логе по ссылкам скачал все что надо. установил. запустил скрипт заново. уязвимостей не нашлось. все или еще что то надо сделать? =)))))
впринципе мой комп перестал отлавливать вирусов и ругаться уже вчера после первого скрипта который вы дали )))) еще что то следует сделать?

[Bratez]

Если проблем больше нет, то на этом всё.

[Archy Winson]

Вроде бы нет. Вроде все работает. Наверное все вылечили. Спасибо огромное всем кто мне помог и вообще всей вашей команде за помощь, за оперативность, за компетентность и профессионализм. Если бы все у нас в стране все делали так качественно как вы, то мы бы уже давно жили намного лучше все. =)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 48
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\application data\\oekx.exe - Trojan.Win32.Pincav.arpg ( DrWEB: Trojan.Inject.17840, BitDefender: Trojan.Generic.5359252, AVAST4: Win32:Malware-gen )
  2. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1417\\systm.exe - Packed.Win32.Krap.ig ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.5967323, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:Malware-gen )
  3. c:\\recycler\\s-1-5-21-4121631589-0896451955-449486039-6038\\csisf.exe - Trojan-Downloader.Win32.Murlo.iyg ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.95417, AVAST4: Win32:FakeSysdef-J [Trj] )
  4. c:\\recycler\\s-1-5-21-5431854519-6589972297-839152924-7236\\csisf.exe - Trojan-Downloader.Win32.Murlo.iyg ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.95417, AVAST4: Win32:FakeSysdef-J [Trj] )
  5. c:\\recycler\\s-1-5-21-5780252540-9843978758-571793543-8406\\svmgr.exe - P2P-Worm.Win32.Palevo.bkfv ( DrWEB: Trojan.Inject.17990, BitDefender: Trojan.Generic.5264307, AVAST4: Win32:Malware-gen )
  6. c:\\recycler\\s-1-5-21-8266421621-2381326482-737410127-4445\\csisf.exe - Trojan-Downloader.Win32.Murlo.iyg ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.95417, AVAST4: Win32:FakeSysdef-J [Trj] )
  7. c:\\windows\\gwdrive32.exe - Trojan.Win32.VBKrypt.agtw ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Heur.ZOF.2, AVAST4: Win32:Trojan-gen )
  8. c:\\windows\\system32\\01.exe - P2P-Worm.Win32.Palevo.bkfv ( DrWEB: Trojan.Inject.17990, BitDefender: Trojan.Generic.5264307, AVAST4: Win32:Malware-gen )
  9. c:\\windows\\system32\\56.exe - Trojan-Downloader.Win32.Murlo.iyg ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.95417, AVAST4: Win32:FakeSysdef-J [Trj] )
  10. c:\\windows\\system32\\68.exe - Trojan-Downloader.Win32.Murlo.iyg ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.95417, AVAST4: Win32:FakeSysdef-J [Trj] )
  11. c:\\windows\\system32\\75.exe - Trojan-Downloader.Win32.Murlo.iyg ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.95417, AVAST4: Win32:FakeSysdef-J [Trj] )