Тот самый jodrive32.exe. Помогите удалить

Printable View

09.06.2011, 02:43
WhiteSky

Тот самый jodrive32.exe. Помогите удалить

Здравствуйте. В общем подцепил я эту заразу, да и других заразил. Симптомы как у всех: сначала браузеры отказались работать, система тормозит. Потом после чистки системы вроде стали работать, но очень медленно. Запускается приложение ac32.exe, которое называется BrowseIt и ещё целый букет вирусов сопутствующий jodrive32.exe Как выяснилось, вирус очень серьёзный. Решения разные искал, но всё сводится к вам:) Помогите пожалуйста
09.06.2011, 02:44
Info_bot

Уважаемый(ая) [B]WhiteSky[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
09.06.2011, 08:59
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=4905]- Системное восстановление[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('vsbntlo.exe');
TerminateProcessByName('c:\windows\system32\bsysmgr.exe');
StopService('szkgfs');
StopService('szkg5');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\WINDOWS\system32\ac32.exe','');
QuarantineFile('C:\WINDOWS\jodrive32.exe','');
QuarantineFile('C:\Documents and Settings\мтс\Application Data\Uwoeoy.exe','');
QuarantineFile('C:\Documents and Settings\мтс\Application Data\34.tmp','');
QuarantineFile('C:\Documents and Settings\мтс\Application Data\32.tmp','');
QuarantineFile('c:\windows\system32\drivers\szkg5.sys','');
QuarantineFile('c:\windows\system32\drivers\szkgfs.sys','');
QuarantineFile('c:\windows\system32\drivers\szkg.sys','');
QuarantineFile('c:\windows\system32\drivers\szkg5.sys','');
QuarantineFile('szkgfs.sys','');
QuarantineFile('szkg.sys','');
QuarantineFile('vsbntlo.exe','');
QuarantineFile('c:\windows\system32\bsysmgr.exe','');
DeleteFile('c:\windows\system32\drivers\szkg.sys');
DeleteFile('c:\windows\system32\drivers\szkgfs.sys');
DeleteFile('c:\windows\system32\drivers\szkg5.sys');
DeleteFile('C:\Documents and Settings\мтс\Application Data\Uwoeoy.exe');
DeleteFile('C:\WINDOWS\system32\ac32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
DeleteFile('C:\Documents and Settings\мтс\Application Data\32.tmp');
DeleteFile('C:\Documents and Settings\мтс\Application Data\34.tmp');
DeleteFile('c:\windows\system32\bsysmgr.exe');
DeleteFile('C:\WINDOWS\jodrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','name_me');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Uwoeoy');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ac32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','name_meexuii');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','bsysmgr');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Config Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Config Setup');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
DeleteService('szkgfs');
DeleteService('szkg5');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.
[/code]

После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно [b]Приложения 3[/b] правил по красной ссылке [color=Red][u][b]Прислать запрошенный карантин[/b][/u][/color] вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
09.06.2011, 12:31
WhiteSky

Ага, сделал. Карантин отправил. Вот логи
09.06.2011, 13:52
Acidorum

Здравствуйте.
Отключите:
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 90000, false);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('vsbntlo.exe');
TerminateProcessByName('Uwoeoy.exe');
BC_DeleteFile('C:\Documents and Settings\мтс\Application Data\Uwoeoy.exe');
BC_DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
BC_DeleteFile('C:\WINDOWS\jodrive32.exe');
BC_DeleteFile('C:\WINDOWS\system32\bsysmgr.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Uwoeoy');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Config Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Config Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','bsysmgr');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Сделайте повторные логи.
09.06.2011, 14:09
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=4905]- Системное восстановление[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('vsbntlo.exe');
TerminateProcessByName('Uwoeoy.exe');
SetServiceStart('szkgfs', 4);
SetServiceStart('szkg5', 4);
StopService('szkgfs');
StopService('szkg5');
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*', true);
DeleteFile('Uwoeoy.exe');
DeleteFile('vsbntlo.exe');
DeleteFile('szkg5.sys');
DeleteFile('C:\WINDOWS\system32\ac32.exe');
DeleteFile('szkgfs.sys');
DeleteFile('C:\Documents and Settings\мтс\Application Data\Uwoeoy.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
DeleteFile('C:\WINDOWS\jodrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ac32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Uwoeoy');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Config Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Config Setup');
DeleteService('szkgfs');
DeleteService('szkg5');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.
[/code]

После выполнения скрипта компьютер перезагрузится.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]O20 - Winlogon Notify: TPSvc - TPSvc.dll (file missing)[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
09.06.2011, 14:35
WhiteSky

Скрипт выполнил. Фикс сделал. Новые логи
09.06.2011, 14:42
Acidorum

Чисто.
09.06.2011, 14:50
WhiteSky

Спасибо большое. Только вот что мне с флэхами делать? Они то у меня заражены. Как их почистить, что бы я опять эту заразу не заимел?
09.06.2011, 14:57
Acidorum

Если на флешках нету данных - форматирование.
Если есть - подключите все флешки к ПК и сделайте логи заново.
09.06.2011, 15:03
WhiteSky

Лучше форматну, если это правда его убьёт, а то я читал что даже жёсткие форматировали, а он всё равно жил. Это лучше делать в безопасном режиме?
09.06.2011, 15:07
Acidorum

[QUOTE='WhiteSky;796307']Это лучше делать в безопасном режиме? [/QUOTE]
Да.
09.06.2011, 20:36
regist

[QUOTE='WhiteSky;796307']Это лучше делать в безопасном режиме?[/QUOTE]
в принципе без разницы, в своём скрипте я отключил автозапуск с флешек, так что если вы сами не откроете файл с вирусом на флешке, то не он запустится.
10.06.2011, 17:49
WhiteSky

Супер!:good2:
11.06.2011, 17:49
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]35[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\мтс\\application data\\uwoeoy.exe - [B]Trojan.MSIL.Crypt.fo[/B] ( DrWEB: Win32.HLLW.Autoruner.47443, BitDefender: Trojan.Generic.KDV.243593, NOD32: Win32/Dorkbot.A worm, AVAST4: MSIL:Dropper-KX [Drp] )[*] c:\\documents and settings\\мтс\\application data\\32.tmp - [B]Trojan-Downloader.Win32.Small.bzua[/B] ( DrWEB: Trojan.DownLoader4.57227, BitDefender: Trojan.Generic.7019631, AVAST4: Win32:Downloader-HVY [Trj] )[*] c:\\documents and settings\\мтс\\application data\\34.tmp - [B]Trojan-Downloader.Win32.Small.bztz[/B] ( DrWEB: Trojan.DownLoader4.55674, BitDefender: Trojan.Generic.7038538, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe - [B]Trojan.MSIL.Crypt.mi[/B] ( DrWEB: Win32.HLLW.Autoruner.47443, BitDefender: Trojan.Generic.KDV.246252, AVAST4: MSIL:Dropper-KX [Drp] )[*] c:\\windows\\jodrive32.exe - [B]Trojan.MSIL.Crypt.mb[/B] ( DrWEB: Win32.HLLW.Autoruner.47443, BitDefender: Trojan.Generic.7372198, AVAST4: MSIL:Dropper-KX [Drp] )[*] c:\\windows\\system32\\ac32.exe - [B]Backdoor.Win32.VB.npc[/B] ( DrWEB: Trojan.Inject.44860, BitDefender: Trojan.Generic.KDV.236753, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\system32\\bsysmgr.exe - [B]P2P-Worm.Win32.Palevo.drqu[/B] ( DrWEB: Trojan.AVKill.9382, BitDefender: Backdoor.Generic.668744, NOD32: Win32/TrojanClicker.VB.NUA trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]