Не удается избавиться от aadrive.exe, ecleaner.exe и т.п.

Printable View

10.12.2011, 22:08
putrid

Вложений: 3

Не удается избавиться от aadrive.exe, ecleaner.exe и т.п.

Здравствуйте. Появилась зараза, которую никак не удаётся искоренить. Система чистится, но через время винт снова заселяют левые файлы. Kaspersky Virus Removal Tool ничего не находит, Malwarebytes находит, удаляет, потом всё появляется снова, во время работы в интернете программа систематически блокирует обращения к адресам 80.91.176.135, 31.44.184.5 и т.д.
То, что удалось обнаружить: левые файлы: aadrive.exe, ecleaner.exe, fewdd.exe, zaberg.exe, множественные файлы по адресу windows\system32\ и в Documents and Settings\Юзер\Application Data\ типа 00.exe, 19.exe, 34.exe, A.exe и т.п., папки Recycler на всех разделах + на флешке, в них упомянутые выше ecleaner.exe, fewdd.exe и т.д. Такое вот палево.
10.12.2011, 22:09
Info_bot

Уважаемый(ая) [B]putrid[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.12.2011, 22:14
putrid

Вложений: 1

Дополнительно прикрепляю отчет Malwarebytes.
10.12.2011, 22:33
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\WINDOWS\system32\46.exe','');
QuarantineFile('C:\WINDOWS\system32\38.exe','');
QuarantineFile('C:\WINDOWS\system32\01.exe','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe','');
QuarantineFile('C:\Documents and Settings\Olgundija\Application Data\Gvqoqu.cmd','');
DeleteFile('C:\Documents and Settings\Olgundija\Application Data\Gvqoqu.cmd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gvqoqu');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\01.exe');
DeleteFile('C:\WINDOWS\system32\38.exe');
DeleteFile('C:\WINDOWS\system32\46.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

d:\Install\Media\Viewers\ACDSee\ACDSee 2.41\CR-ACD24.EXE (Trojan.Downloader) -> No action taken.[/code]

Сделайте новые логи
11.12.2011, 23:38
putrid

Вложений: 3

После выполнения скрипта и непродолжительной работы проблемы стали появляться снова вплоть до полного падения системы. Система в итоге была переустановлена, была вставлена флешка (которая, как я думал, была чистая) и понеслось :(
Прикрепляю новые логи.
12.12.2011, 02:49
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\12.exe','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\Olgund\Application Data\Gvqoqu.cmd','');
DeleteFile('C:\Documents and Settings\Olgund\Application Data\Gvqoqu.cmd');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\12.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=113629[/url]).

Установите все доступные обновления безопасности для Windows.

Сделайте новые логи.
12.12.2011, 23:19
putrid

Вложений: 3

Карантин прислал. Обновления безопасности установил. Прикрепляю новые логи.

П.с. В папке system32 снова замечены файлы с названиями типа 08.exe, 21.exe и т.д.
13.12.2011, 00:41
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\67.exe','');
QuarantineFile('C:\WINDOWS\system32\58.exe','');
QuarantineFile('C:\WINDOWS\system32\54.exe','');
QuarantineFile('C:\WINDOWS\system32\42.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\WINDOWS\system32\08.exe','');
DeleteFile('C:\WINDOWS\system32\08.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\54.exe');
DeleteFile('C:\WINDOWS\system32\58.exe');
DeleteFile('C:\WINDOWS\system32\67.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
14.12.2011, 23:49
putrid

Вложений: 3

Прикрепляю логи. Карантин оказался пустой, файлы 67.exe, 58.exe и т.д. видимо побил МВАМ.
15.12.2011, 00:24
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Olgund\Application Data\Gvqoqu.cmd','');
DeleteFile('C:\Documents and Settings\Olgund\Application Data\Gvqoqu.cmd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gvqoqu');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
15.12.2011, 23:06
putrid

Вложений: 3

Прикрепляю логи. Карантин снова пустой.
16.12.2011, 00:57
thyrex

Плохого не видно. Проблема решена?
16.12.2011, 02:12
putrid

Полёт нормальный. Спасибо за помощь!

П.с. Насколько я понял, autorun на флешке запускается буквально "еще на пути к гнезду USB" и прежде, чем експлорер раздуплится что в этом файле находится. Как это можно пресечь чтобы подобное не повторялось?
16.12.2011, 03:06
Bratez

[quote="putrid;849993"]П.с. Насколько я понял, autorun на флешке запускается буквально "еще на пути к гнезду USB" и прежде, чем експлорер раздуплится что в этом файле находится. Как это можно пресечь чтобы подобное не повторялось?[/quote]
Обычно в этих целях отключают автозапуск со с'емных носителей, но судя по логам, он у вас уже отключен. Помните также, что авторан выполняется и при двойном щелчке на флэшке в папке [I]Мой компьютер[/I].
17.12.2011, 03:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\olgund\\application data\\gvqoqu.cmd - [B]Backdoor.Win32.Ruskill.eid[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.7328798, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\ecleaner.exe - [B]Trojan.Win32.Menti.jlqp[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356536, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]Trojan-Dropper.Win32.Injector.ahht[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Worm.Generic.373407, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\12.exe - [B]Trojan.Win32.Menti.jlqp[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Worm.Generic.356536, AVAST4: Win32:Malware-gen )[/LIST][/LIST]