Создаются и пропадают папки на диске С

Printable View

22.04.2012, 01:17
strel12345

Вложений: 3

Создаются и пропадают папки на диске С

Здравствуйте уважаемые участники форума!
Проблема в следующем - самопроизвольно создаются и пропадают папки в корне диска С. Имена папок примерно такие: JqDDFMsYhC2CXnQ (скопировано в момент одного из появлений). В папке лежал файл wndsksi.inf. Сканирование антивирусами результатов не принесло. Прошу Вас помочь решить проблему. Логи прилагаю.
22.04.2012, 01:18
Info_bot

Уважаемый(ая) [B]strel12345[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.04.2012, 11:38
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\Stoleshnitca\Главное меню\Программы\Автозагрузка\23UbHt0VGT8.exe','');
DeleteFile('C:\Documents and Settings\Stoleshnitca\Главное меню\Программы\Автозагрузка\23UbHt0VGT8.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(10);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
22.04.2012, 15:38
strel12345

Вложений: 6

Скрипт выполнен.
Вот карантин и новые логи.
22.04.2012, 18:44
Techno

Программы сами ставили? И вообще, они Вам знакомы?
[CODE]ShopperReports-->C:\Program Files\ShoppingReport2\Uninst.exe
TMAgent-->C:\Program Files\Common Files\Target Marketing Agency\TMAgent\Uninstaller.exe[/CODE]
22.04.2012, 19:05
strel12345

[QUOTE=Techno;885324]Программы сами ставили? И вообще, они Вам знакомы?
[CODE]ShopperReports-->C:\Program Files\ShoppingReport2\Uninst.exe
TMAgent-->C:\Program Files\Common Files\Target Marketing Agency\TMAgent\Uninstaller.exe[/CODE][/QUOTE]
Вообще впервые вижу.
22.04.2012, 23:58
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

C:\Program Files\Offline Explorer Enterprise\Patch.exe (Malware.Packer.Gen) -> Действие не было предпринято.
C:\Program Files\PGI\win32\pgi-vf32-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
C:\Program Files\Microsoft Visual Studio 10.0\pgi-vs-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\WPA_Kill.exe (Hacktool.Wpakill) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8-Lz0\Lz0\pvf-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8-Lz0\Lz0\pvf-vs-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8.with.VS2010.Shell-Lz0\Lz0\pgi-vf32-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8.with.VS2010.Shell-Lz0\Lz0\pgi-vs-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8.X64-Lz0\Lz0\pgi-vf32-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8.X64-Lz0\Lz0\pgi-vf64-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\PGI Visual Fortran 10.8\PGI.Visual.Fortran.2010.v10.8.X64-Lz0\Lz0\pgi-vs-patch.exe (Riskware.Tool.CK) -> Действие не было предпринято.
F:\Программы\The Bat\the_bat3.x.x.exe (Trojan.Agent.CK) -> Действие не было предпринято.
F:\Программы\YU2008_PRO_v6.1.1231\Keygen\Keygen.exe (Trojan.Dropper.PGen) -> Действие не было предпринято.[/code]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Удалите вручную
[CODE]C:\JqDDFMsYhC2CXnQ
C:\WINDOWS\system32\1A2.tmp
C:\WINDOWS\system32\AE.tmp
C:\WINDOWS\system32\47B.tmp
C:\WINDOWS\system32\281.tmp
C:\plg.txt[/CODE]
23.04.2012, 06:59
strel12345

[QUOTE=thyrex;885388][url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Удалите вручную
[/QUOTE]

Удалено.
Папка перестала появляться. Как проверить, всё ли в порядке?
Вот ещё что. MBAM постоянно выдаёт предупреждение: "Была предотвращена попытка доступа к вредоносному веб-сайту". Далее идет адрес сайта (типа 89.28.21.130). Что это может быть?
23.04.2012, 09:24
Techno

[quote="strel12345;885429"]MBAM постоянно выдаёт предупреждение: "Была предотвращена попытка доступа к вредоносному веб-сайту".[/quote]
Это нормально.

Повторите все логи.
24.04.2012, 06:22
strel12345

Вложений: 6

[QUOTE=Techno;885446]Это нормально.

Повторите все логи.[/QUOTE]

Вот новые логи
24.04.2012, 11:52
Techno

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]procedure FixUpdate;
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
regkeydel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Stoleshnitca^Главное меню^Программы^Автозагрузка^23UbHt0VGT8.exe');
regkeydel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Stoleshnitca^Главное меню^Программы^Автозагрузка^Adobe Updater.lnk');
regkeydel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\^gsview32.ini');
regkeyparamdel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\system32\svchost.exe');
regkeyparamdel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\Temp\0.2108164874568591.exe');
FixUpdate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

Папку [B]C:\Documents and Settings\Stoleshnitca\Application Data\MicroST[/B] удалите вручную.

Повторите логи АВЗ и РСИТ.

Попробуйте обновить систему.

Что с проблемой?
24.04.2012, 23:20
strel12345

Вложений: 4

[QUOTE=Techno;885661]- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

Папку [B]C:\Documents and Settings\Stoleshnitca\Application Data\MicroST[/B] удалите вручную.

Повторите логи АВЗ и РСИТ.

Попробуйте обновить систему.

Что с проблемой?[/QUOTE]

thyrex, Techno огромное спасибо вам за помощь! Папки больше не появляются.

Вот логи авз и рсит.
25.04.2012, 11:01
Techno

Порядок.

Выполните в АВЗ:
[CODE]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\system32\wuauclt.exe');
executeRepair(10);
end.[/CODE]

Перезагрузитесь.

Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]