Trojan.Win32.VBKrypt

Printable View

24.06.2011, 08:07
failure

Trojan.Win32.VBKrypt

Аваст ничего не видит, но заливая файл на вирусинфо выдаёт вот это:
[QUOTE]AhnLab-V3 2011.06.24.01 2011.06.24 -
AntiVir 7.11.10.83 2011.06.24 -
Antiy-AVL 2.0.3.7 2011.06.23 -
Avast 4.8.1351.0 2011.06.23 -
Avast5 5.0.677.0 2011.06.23 -
AVG 10.0.0.1190 2011.06.23 -
BitDefender 7.2 2011.06.24 -
CAT-QuickHeal 11.00 2011.06.23 -
ClamAV 0.97.0.0 2011.06.24 -
Commtouch 5.3.2.6 2011.06.24 -
Comodo 9172 2011.06.24 Heur.Suspicious
DrWeb 5.0.2.03300 2011.06.24 -
eSafe 7.0.17.0 2011.06.23 -
eTrust-Vet 36.1.8403 2011.06.23 -
F-Prot 4.6.2.117 2011.06.23 -
F-Secure 9.0.16440.0 2011.06.24 -
Fortinet 4.2.257.0 2011.06.24 W32/VBKrypt!tr
GData 22 2011.06.24 -
Ikarus T3.1.1.104.0 2011.06.24 Trojan.Win32.VBKrypt
Jiangmin 13.0.900 2011.06.23 -
K7AntiVirus 9.106.4837 2011.06.23 -
Kaspersky 9.0.0.837 2011.06.24 Trojan.Win32.VBKrypt.dtxs
McAfee 5.400.0.1158 2011.06.24 -
McAfee-GW-Edition 2010.1D 2011.06.24 Heuristic.BehavesLike.Win32.ModifiedUPX.C
Microsoft 1.7000 2011.06.23 -
NOD32 6234 2011.06.24 -
Norman 6.07.10 2011.06.23 -
nProtect 2011-06-23.01 2011.06.23 -
Panda 10.0.3.5 2011.06.23 -
PCTools 8.0.0.5 2011.06.23 -
Prevx 3.0 2011.06.24 -
Rising 23.63.03.03 2011.06.23 -
Sophos 4.66.0 2011.06.24 -
SUPERAntiSpyware 4.40.0.1006 2011.06.24 -
Symantec 20111.1.0.186 2011.06.24 -
TheHacker 6.7.0.1.239 2011.06.23 -
TrendMicro 9.200.0.1012 2011.06.24 -
TrendMicro-HouseCall 9.200.0.1012 2011.06.24 -
VBA32 3.12.16.2 2011.06.23 -
VIPRE 9675 2011.06.24 -
ViRobot 2011.6.24.4530 2011.06.24 -
VirusBuster 14.0.92.1 2011.06.23 -[/QUOTE]

В папке AppData:Roaming есть вот такие файлы
[url]http://s47.radikal.ru/i118/1106/be/80144c47a1ab.png[/url]

Помогите вылечить пожалуйста
24.06.2011, 08:08
Info_bot

Уважаемый(ая) [B]failure[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
24.06.2011, 08:49
polword

- Сделайте логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
24.06.2011, 11:38
failure

вот
24.06.2011, 12:29
polword

Отключите[B][COLOR="Red"] Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{F0A0D06A-D78A-EEBC-9DBE-FE67AD04DD1F}');
QuarantineFile('C:\Users\111110\AppData\Roaming\6U3T11JYAE.exe','');
QuarantineFile('C:\Program Files\IObit\IObit Malware Fighter\IMF.exe','');
TerminateProcessByName('c:\users\111110\appdata\roaming\6u3t11jyae.exe');
QuarantineFile('c:\users\111110\appdata\roaming\6u3t11jyae.exe','');
DeleteFile('c:\users\111110\appdata\roaming\6u3t11jyae.exe');
DeleteFile('C:\Users\111110\AppData\Roaming\6U3T11JYAE.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','IObit Malware Fighter');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Defender');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Defender');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Defender');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
24.06.2011, 12:52
failure

вот
24.06.2011, 13:01
polword

[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R3 - URLSearchHook: (no name) - {A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE} - (no file)
R3 - URLSearchHook: (no name) - - (no file)
[/CODE]
в остальном плохого не видно
24.06.2011, 13:08
failure

Большое спасибо вам за помощь)
25.06.2011, 11:12
failure

Здраствуйте, окажите пожалуйста ещё одну помощь.
Вирус удалил, но не учёл, что на другом профиле, есть такая же папка Roaming, и там этот вирус тоже успел поселиться -_-
26.06.2011, 21:31
failure

up
27.06.2011, 02:30
thyrex

Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\Users\Others\AppData\Roaming\scvhost.exe.exe','');
QuarantineFile('C:\Users\111110\AppData\Roaming\Sys32Disp.exe.exe','');
QuarantineFile('C:\Users\111110\AppData\Roaming\249768348.exe','');
TerminateProcessByName('c:\users\111110\appdata\roaming\249768348.exe');
QuarantineFile('c:\users\111110\appdata\roaming\249768348.exe','');
DeleteFile('c:\users\111110\appdata\roaming\249768348.exe');
DeleteFile('C:\Users\111110\AppData\Roaming\249768348.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SystRez');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SystRez');
DeleteFile('C:\Users\111110\AppData\Roaming\Sys32Disp.exe.exe');
DeleteFile('C:\Users\Others\AppData\Roaming\scvhost.exe.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','scvhost');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
28.06.2011, 02:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\111110\\appdata\\roaming\\6u3t11jyae.exe - [B]Trojan.Win32.VBKrypt.dtxs[/B] ( DrWEB: Trojan.DownLoader3.42162, BitDefender: Trojan.Generic.KDV.265393, AVAST4: Win32:VB-VND [Trj] )[/LIST][/LIST]