Trojan.Downloader2

[Shagardinov]

Здравствуйте. Компьютер долгое время использовался без антивируса, теперь постоянно слетает система, решается только восстановлением ОС полностью. При проверке CureIt в безопасном режиме в папке system 32 находит файлы зараженные Trojan.Downloader2. При перемещении их в карантин комп уходит в ребут и система снова отказывает грузиться.

[Acidorum]

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
-Восстановление системы
Выполните скрипт в AVZ:

Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer; 
KeyList : TStringList;
KeyName : string;                           
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
 begin
 KeyName := AName+'\'+KeyList[i];
 RegKeyResetSecurity(ARoot, KeyName);
 RegKeyResetSecurityEx(ARoot, KeyName);
 end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
 i : integer;
 KeyList : TStringList;
 KeyName : string;                           
begin
 Result := 0;
 if StopService(AServiceName) then Result := Result or 1;
 if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
 KeyList := TStringList.Create;
 RegKeyEnumKey('HKLM','SYSTEM', KeyList);
 for i := 0 to KeyList.Count-1 do
  if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
   KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;                                     
   if RegKeyExistsEx('HKLM', KeyName) then begin
    Result := Result or 4;                  
    RegKeyResetSecurityEx('HKLM', KeyName);
    RegKeyDel('HKLM', KeyName);
    if RegKeyExistsEx('HKLM', KeyName) then               
     Result := Result or 8;                  
   end;
  end;                 
 if AIsSvcHosted then
  BC_DeleteSvcReg(AServiceName)
 else
  BC_DeleteSvc(AServiceName);
 KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\docume~1\user\locals~1\temp\yh835f526d.tmp');
TerminateProcessByName('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe');
TerminateProcessByName('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp');
TerminateProcessByName('c:\windows\temp\m7bdab34a.tmp');
TerminateProcessByName('c:\windows\system32\koovafeto.exe');
TerminateProcessByName('c:\docume~1\user\locals~1\temp\gxrxaoqb81b1f456.tmp');
TerminateProcessByName('c:\windows\temp\bstmabdy79341571.tmp');
TerminateProcessByName('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp');
TerminateProcessByName('c:\windows\system32\goquakib.exe');
QuarantineFile('c:\windows\system32\goquakib.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-8665470365-1610415379-448131766-2538\djwi2kcew.exe','');
QuarantineFile('C:\Documents and Settings\User\fxmdk.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe','');
QuarantineFile('C:\WINDOWS\system32\zelenys.exe','');
QuarantineFile('C:\WINDOWS\system32\quinel.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\yaukz.sys','');
QuarantineFile('c:\docume~1\user\locals~1\temp\yh835f526d.tmp','');
QuarantineFile('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe','');
QuarantineFile('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp','');
QuarantineFile('c:\windows\temp\m7bdab34a.tmp','');
QuarantineFile('c:\windows\system32\koovafeto.exe','');
QuarantineFile('c:\windows\temp\bstmabdy79341571.tmp','');
QuarantineFile('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp','');
DeleteFile('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp');
DeleteFile('c:\windows\temp\bstmabdy79341571.tmp');
DeleteFile('c:\docume~1\user\locals~1\temp\gxrxaoqb81b1f456.tmp');
DeleteFile('c:\windows\system32\koovafeto.exe');
DeleteFile('c:\windows\temp\m7bdab34a.tmp');
DeleteFile('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp');
DeleteFile('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe');
DeleteFile('c:\docume~1\user\locals~1\temp\yh835f526d.tmp');
DeleteFile('C:\WINDOWS\system32\Drivers\yaukz.sys');
DeleteFile('C:\WINDOWS\system32\byzouhazys.exe');
DeleteFile('C:\WINDOWS\system32\quinel.exe');
DeleteFile('C:\WINDOWS\system32\zelenys.exe');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe');
DeleteFile('C:\Documents and Settings\User\fxmdk.exe');
DeleteFile('c:\windows\system32\goquakib.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-8665470365-1610415379-448131766-2538\djwi2kcew.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_ServiceKill('yaukz');
BC_DeleteSvc('iesmz9lo0o');
BC_DeleteSvc('ifryw2exnq5');
BC_DeleteSvc('pa0auvfa1ouxa4');
ExecuteRepair(16);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Сделайте повторные логи.
Сделайте лог MBAM.

[Shagardinov]

скрипты выполнены. Повторяю логи.

[Acidorum]

Отключите:
-ПК от интернета
-Все защитные приложения
Подключите:
-диск E:\
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\tazummel.exe');
BC_DeleteFile('C:\WINDOWS\system32\zelenys.exe');
BC_DeleteFile('c:\windows\system32\tazummel.exe');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\yaukz.sys');
BC_DeleteFile('C:\WINDOWS\system32\koovafeto.exe');
DeleteFile('E:\autorun.inf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
ExecuteSysClean;
BC_DeleteSvc('yaukz');
BC_DeleteSvc('pa0auvfa1ouxa4');
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте повторные логи + не забудьте сделать лог MBAM.

[thyrex]

А также

Сделайте лог http://support.kaspersky.ru/faq/?qid=208639606

[Shagardinov]

Скрипты сделаны. Повторяю логи.
P.S.Скачал MBAM,при его обновлении перестал включаться интернет и восстановился через длительное время.

[Bratez]

virusinfo_cure.zip - это не лог, не прикрепляйте его в тему!

[Acidorum]

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe','');
QuarantineFile('C:\WINDOWS\system32\byzouhazys.exe','');
BC_DeleteFile('C:\WINDOWS\system32\byzouhazys.exe');
BC_DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe');
BC_DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
BC_ImportQuarantineList;
ExecuteSysClean;
BC_DeleteSvc('iesmz9lo0o');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Теперь запустите TDSSKiller, просканируйтесь, к записи:

Заблокированный сервис(yaukz)

примените действие "Удалить".
Сделайте повторные логи.

[Shagardinov]

Скрипты выполнены.Повторяю логи.

[Acidorum]

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\User\Application Data\tmrlc.exe','');
DeleteFile('C:\Documents and Settings\User\Application Data\tmrlc.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Сделайте повторные логи.

[thyrex]

Новый лог TDSSkiller тоже сделайте

[Shagardinov]

Скрипты выполнены.Повторяю логи.

[thyrex]

Сделайте лог полного сканирования МВАМ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 53
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\cobyd.exe - Trojan.Win32.VBKrypt.bmdt ( DrWEB: Trojan.DownLoader2.7109, BitDefender: Trojan.Generic.6015852, AVAST4: Win32:Malware-gen )
  2. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\koovafeto.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
  3. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\tazummel.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
  4. c:\\documents and settings\\user\\application data\\tmrlc.exe - P2P-Worm.Win32.Palevo.bqso ( DrWEB: Trojan.Inject.14539, BitDefender: Gen:Trojan.Heur.ZGY.5, AVAST4: Win32:Malware-gen )
  5. c:\\documents and settings\\user\\fxmdk.exe - P2P-Worm.Win32.Palevo.brcb ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Trojan.Generic.KDV.140814, AVAST4: Win32:Malware-gen )
  6. c:\\docume~1\\user\\locals~1\\temp\\bstmabdy793415 71.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )
  7. c:\\docume~1\\user\\locals~1\\temp\\yh835f526d.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )
  8. c:\\recycler\\s-1-5-21-8665470365-1610415379-448131766-2538\\djwi2kcew.exe - Trojan.Win32.Refroso.dbob ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.5896684, AVAST4: Win32:Inject-AFM [Trj] )
  9. c:\\windows\\system32\\goquakib.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
  10. c:\\windows\\system32\\koovafeto.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
  11. c:\\windows\\system32\\quinel.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
  12. c:\\windows\\system32\\zelenys.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
  13. c:\\windows\\temp\\bstmabdy79341571.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )