Вирусы insomnia, f4448e25, х30811

Printable View

22.09.2011, 12:28
dReaMer

Вложений: 3

Вирусы insomnia, f4448e25, х30811

Доброго времени суток.
Имеется компьютер который очень давно не чистился, достоверно известно что есть вирусы которые поражают флеш и превращают там папки в ярлыки. на флешках (изначально чистых, не зараженных) появляется f4448e25.exe

В диспетчере задач присутствует процесс х30811.exe запускается C:\Users\USER\AppData\Local\Temp\x30811.exe и имеет такое содержание (x30811.exe -a 60 -g yes -o /y.bethyname.info:8332/ -u redem_guild -p redemxxx5x2 -t 2)

Так же браузер самопроизвольно отсылает запрос на непонятные сайты jpezmbatty/, nwjlqbucal/ и т.п.

Сканирование последними базами KAV6 ничего не выявили. CuretIT тоже вирусов не выявил.

возможно это не все проблемы которые заметил.
22.09.2011, 12:28
Info_bot

Уважаемый(ая) [B]dReaMer[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.09.2011, 17:30
Nikkollo

Здравствуйте.

Отключите Восстановление системы.

Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\users\user\appdata\local\temp\x30811.exe');
QuarantineFile('C:\Users\USER\AppData\Roaming\Eytuty.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\x30811.exe','');
DeleteFile('c:\users\user\appdata\local\temp\x30811.exe');
DeleteFile('C:\Users\USER\AppData\Roaming\Eytuty.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Eytuty');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Повторите пункт "Диагностика" правил и приложите получившиеся логи в теме.
22.09.2011, 19:48
dReaMer

Вложений: 3

сделано
22.09.2011, 20:14
Nikkollo

Выполните эту процедуру и загрузите там получившийся файл:
[url]http://virusinfo.info/showthread.php?t=3519[/url]
Информацию о загрузке приложите здесь.

C:\Users\USER\AppData\Roaming\Eytuty.exe - KIS 2011=Зловред Trojan.Win32.Inject.bkiu - уничтожен.

c:\users\user\appdata\local\temp\x30811.exe - KIS 2011= not-a-virus:RiskTool.Win32.BitCoinMiner.are - не зловред, но после попытки удаления опять восстановился.

Не припоминаете - при установке каких либо программ за последние пару месяцев, не устанавливали чего-нибудь, в соглашениях которых упоминалось о распределенных вычислениях?

Что сейчас с проблемой?
22.09.2011, 20:59
dReaMer

Флешки продолжают заражаться. т.е: папки превращаются в ярлыки.
файл x30811.exe продолжает беспокоить. на компьютер ставилось: Megafon modem, Handycache, Chrome. Skype.
попытки браузера зайти на странные сайты (urbtbfeqrs/, oyfueunpuc/,cgjnuyqphu/) продолжаются.

AVZ начинает зависать на выполнении скриптов.

Файл сохранён как 110922_165821_virusinfo_files_DEPRO-PC_4e7b692d2ddd2.zip
Размер файла 45077692
MD5 f93fccd9729fe45d8a7fa55ceb0aab1d

Результаты обработки
Архив 110922_165821_virusinfo_files_DEPRO-PC_4e7b692d2ddd2.zip, загружен 22.09.2011 21:10:15, размер 45077692 байт
Всего файлов: 80 (исполняемых 78), из них:
зловреды или опасные объекты: 2
подозрительные: 0
занесены в базу безопасных AVZ: 18
В очереди на добавление в базу безопасных:
высокий приоритет: 3
обычный приоритет: 57
Внимание, в архиве обнаружены опасные или вредоносные объекты:
c:\\users\\user\\appdata\\local\\temp\\x30811.exe: not-a-virus:RiskTool.Win32.BitCoinMiner.are
C:\\Users\\USER\\AppData\\Roaming\\Microsoft\\Wind ows\\Start Menu\\Programs\\Startup\\stepx2.exe: Trojan.BAT.Miner.i
24.09.2011, 11:24
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
24.09.2011, 18:23
Nikkollo

+ к этому:
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\stepx2.exe','');
QuarantineFile('C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\*.exe','');
DeleteFile('C:\Users\USER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\stepx2.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Загрузитесь в безопасном режиме.
Сделайте заново лог virusinfo_syscheck.zip и приложите в теме.
25.09.2011, 08:02
dReaMer

Вложений: 3

Возможности просканировать систему сразу и всю нет, программа зависает, 2 лога, 1 - на весь компьютер+съемные носители(кроме диска D) 2- сканирование диска D

Карантин отправил
25.09.2011, 11:46
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\Users\USER\AppData\Roaming\4E1C.exe', 'MBAM: Trojan.BCMiner');
QuarantineFile('c:\Users\USER\AppData\Roaming\5DAB.exe', 'MBAM: Trojan.BCMiner');
QuarantineFile('c:\Users\USER\AppData\Roaming\Eytuty.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\Users\USER\AppData\Roaming\F198.exe', 'MBAM: Trojan.BCMiner');
QuarantineFile('c:\Windows\pss\stepx2.exe.startup', 'MBAM: Trojan.BCMiner');
QuarantineFile('g:\RECYCLER\f4448e25.exe', 'MBAM: Trojan.Agent');
QuarantineFile('c:\Users\USER\AppData\Roaming\edil6ktltgd6', 'MBAM: Malware.Trace');
QuarantineFile('c:\Users\USER\AppData\Local\Temp\x30811.exe', 'MBAM: PUP.BCMiner');
DeleteFile('c:\Users\USER\AppData\Roaming\4E1C.exe');
DeleteFile('c:\Users\USER\AppData\Roaming\5DAB.exe');
DeleteFile('c:\Users\USER\AppData\Roaming\Eytuty.exe');
DeleteFile('c:\Users\USER\AppData\Roaming\F198.exe');
DeleteFile('c:\Windows\pss\stepx2.exe.startup');
DeleteFile('g:\RECYCLER\f4448e25.exe');
DeleteFile('c:\Users\USER\AppData\Roaming\edil6ktltgd6');
DeleteFile('c:\Users\USER\AppData\Local\Temp\x30811.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новый лог МВАМ
25.09.2011, 12:18
dReaMer

Вложений: 1

Карантин выслал.
28.09.2011, 19:22
dReaMer

Ув. Хелперы, на всякий случай хотелось бы напомнить о себе, а то мало-ли)
28.09.2011, 20:10
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]c:\program files\Cache\Cache\s330.hotfile.com\get\6c6a19eba50a80f1cfb0437742ab37ba284bba7c\4e79e6d4\2\c2926f42a3e662eb\7bf0a23\xdxx3.jpeg (Extension.Mismatch) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-22\avz00079.dta (Trojan.BCMiner) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-25\avz00001.dta (Trojan.BCMiner) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-25\avz00002.dta (Trojan.BCMiner) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-25\avz00003.dta (Trojan.Agent) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-25\avz00004.dta (Trojan.BCMiner) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-25\avz00005.dta (Trojan.BCMiner) -> No action taken.
c:\Users\USER\Desktop\avz4\avz4\quarantine\2011-09-25\avz00006.dta (Trojan.Agent) -> No action taken.
i:\RECYCLER\f4448e25.exe (Trojan.Agent) -> No action taken.[/code]
29.09.2011, 10:57
dReaMer

Флешки вроде перестал заражать, браузер все еще посылает странные запросы..
Проблема с баузером - только с Хромом(14.0.835.186 m)
30.09.2011, 10:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]29[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\user\\appdata\\local\\temp\\x30811.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.are[/B] ( DrWEB: Tool.BtcMine.8, BitDefender: Application.CoinMiner.A, AVAST4: Win32:Malware-gen )[*] c:\\users\\user\\appdata\\roaming\\eytuty.exe - [B]Trojan.Win32.Inject.bkiu[/B] ( DrWEB: BackDoor.IRC.NgrBot.8, BitDefender: Trojan.Generic.KDV.362733, NOD32: Win32/Dorkbot.B worm, AVAST4: Win32:Dorkbot-E [Trj] )[*] c:\\users\\user\\appdata\\roaming\\f198.exe - [B]Trojan.BAT.Miner.i[/B] ( DrWEB: archive: archive: Tool.BtcMine.8, BitDefender: Dropped:Application.CoinMiner.A, NOD32: Win32/CoinMiner.J trojan )[*] c:\\users\\user\\appdata\\roaming\\4e1c.exe - [B]Trojan.BAT.Miner.i[/B] ( DrWEB: archive: archive: Tool.BtcMine.8, BitDefender: Dropped:Application.CoinMiner.A, NOD32: Win32/CoinMiner.J trojan )[*] c:\\users\\user\\appdata\\roaming\\5dab.exe - [B]Trojan.BAT.Miner.i[/B] ( DrWEB: archive: archive: Tool.BtcMine.8, BitDefender: Dropped:Application.CoinMiner.A, NOD32: Win32/CoinMiner.J trojan )[*] c:\\windows\\pss\\stepx2.exe.startup - [B]Trojan.BAT.Miner.i[/B] ( DrWEB: archive: Tool.BtcMine.8, BitDefender: Dropped:Application.CoinMiner.A, NOD32: Win32/CoinMiner.J trojan )[*] g:\\recycler\\f4448e25.exe - [B]Trojan.Win32.Inject.bkiu[/B] ( DrWEB: BackDoor.IRC.NgrBot.8, BitDefender: Trojan.Generic.KDV.362733, NOD32: Win32/Dorkbot.B worm, AVAST4: Win32:Dorkbot-E [Trj] )[/LIST][/LIST]