диспетчер подменен sofqti.exe , на c: и d: сидит по неудаляемому autorun.inf с пустой неудаляемой папкой nokill.. внутри.
вставляемый флешки инфицириуются autorun.inf - содержание добавлю чуть позже[ATTACH]356656[/ATTACH][ATTACH]356657[/ATTACH][ATTACH]356658[/ATTACH]
при открытии новой вкладки в mozilla firefox открывается еще одна c адресом
trip000sstory.com/index.php/travel-tips
три нолика уберите, кому интересно :)
логи прилагаю.
заранее благодарю за внимание.
Уважаемый(ая) [B]alexander4174[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
попытка приложить логи 2
на флешках создается скрытая папка givenger с revenge.exe внутри
попытки просо удалить не проходят, но авира на другом компе блокирует авторан и успешно удаляет revenger.exe
после этого папка givenger и файл autorun.inf тоже можно удалить.
содержимое autorun.inf
[QUOTE][autorun]
USEAUTOPLAY=1
shellexecute=givenger/revenge.exe
action=Open program to update using Windows Explorer
Shellghjksalfkasfojqiowufhwueiof
shell\\Explore\\command=givenger/revenge.exe
shell\Open\\command=givenger/revenge.exe
icon=givenger/revenge.exe
open=givenger/revenge.exe[/QUOTE]
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Program Files\T55\WinMate\WMService.exe','');
QuarantineFile('C:\Documents and Settings\Милена\sofqti.exe','');
DeleteFile('C:\Documents and Settings\Милена\sofqti.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".
Установите Service Pack 3(может потребоваться повторная активация):
[url]http://www.microsoft.com/downloads/ru-ru/details.aspx?familyid=5b33b5a8-5e76-401f-be08-1e1555d4f3d4[/url]
Установите все обновления безопасности, вышедшие после Service Pack 3:
[url]http://windowsupdate.microsoft.com/[/url]
Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела Диагностика правил) и приложите в теме.
SP3 сегодня не поставить.
ключи реестра, в которых прописался sofqti, наверное можно ручками подправить? что посоветуете?
ps первый скрипт выполнил, из реестра ссылки на этот файл вычищены.
обнаружился в еще одной учетной записи пользователя - спокойно удалился ручками.
приступаю к выполнению скрипта номер 2.
[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]
Файл сохранён как 120321_184918_quarantine_4f6a22ae4ea2e.zip
Размер файла 860669
MD5 6126b3250b8be481c12e92f8f95115f2
Повторный лог для контроля тоже хочу.
пожалуйста, вот логи.
есть ли возможность удалить с дисков c: и d: папки autorun.info с пустой папкой nokill.. внутри?
флешки перестали заражаться, а эти папки обычными способами не удаляются.
Подозрительного не обнаружил.
Для удаления папок попробуйте утилиту Unlocker:
[url]http://www.emptyloop.com/unlocker/[/url]
спасибо, unlocker их одолел.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\милена\\sofqti.exe - [B]Trojan.Win32.Inject.dgbn[/B] ( DrWEB: Win32.HLLW.AutorunerENT.44048, BitDefender: Gen:Variant.Kazy.60719, AVAST4: Win32:Morphex-D [Cryp] )[/LIST][/LIST]