Вирус закрывает все проги и .exe файлы [Backdoor.Win32.Androm.ks ]

Printable View

26.09.2012, 23:05
yorigami

Вложений: 2

Вирус закрывает все проги и .exe файлы [Backdoor.Win32.Androm.ks ]

Здравствуйте! После внезапной перезагрузка компьютера, какойто вирус при старте компа да и вообще в процессе работы начал закрывать программы и писал что есть ошибка. В safe mode все прекрасно работает. Еще проверял через dr.web на наличие вирусов, тот ничего не нашел.
Сигнатура проблемы:
Имя события проблемы: APPCRASH
Имя приложения: chrome.exe
Версия приложения: 21.0.1180.89
Отметка времени приложения: 503ebf10
Имя модуля с ошибкой: StackHash_2264
Версия модуля с ошибкой: 0.0.0.0
Отметка времени модуля с ошибкой: 00000000
Код исключения: c0000005
Смещение исключения: 039f92a2
Версия ОС: 6.1.7601.2.1.0.256.1
Код языка: 2057
Дополнительные сведения 1: 2264
Дополнительные сведения 2: 2264db07e74365624c50317d7b856ae9
Дополнительные сведения 3: 875f
Дополнительные сведения 4: 875fa2ef9d2bdca96466e8af55d1ae6

[ATTACH]379130[/ATTACH]
[ATTACH]379131[/ATTACH]
26.09.2012, 23:06
Info_bot

Уважаемый(ая) [B]yorigami[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.09.2012, 23:23
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
QuarantineFile('C:\PROGRA~3\LOCALS~1\Temp\msaobqu.bat','');
DeleteFile('C:\PROGRA~3\LOCALS~1\Temp\msaobqu.bat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','10802');
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

если получится, то сделайте логи в обычном режиме.
26.09.2012, 23:42
yorigami

Вложений: 3

Вроде прислал карантин
[ATTACH]379143[/ATTACH]
[ATTACH]379139[/ATTACH]
[ATTACH]379140[/ATTACH]
27.09.2012, 00:17
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\users\nikolaj vladimirskis\appdata\roaming\oqa\kelyut.exe');
TerminateProcessByName('c:\users\nikolaj vladimirskis\appdata\roaming\hidbmnxizjnbraux.exe');
QuarantineFile('8539370851460959.exe','');
QuarantineFile('c:\users\nikolaj vladimirskis\appdata\roaming\oqa\kelyut.exe','');
QuarantineFile('c:\users\nikolaj vladimirskis\appdata\roaming\hidbmnxizjnbraux.exe','');
QuarantineFile('C:\Windows\System32\winrtsnr.txt ','');
QuarantineFile('C:\Windows\SysWOW64\winrtsnr.txt','');
QuarantineFile('C:\Program Files (x86)\Realtek\Audio\Drivers\HDADrv\00dc92c1.exe ','');
DeleteFile('C:\Windows\System32\winrtsnr.txt ');
DeleteFile('C:\Windows\SysWOW64\winrtsnr.txt');
DeleteFile('c:\users\nikolaj vladimirskis\appdata\roaming\hidbmnxizjnbraux.exe');
DeleteFile('8539370851460959.exe');
DeleteFile('C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-21-194796956-2362316436-527665681-1004\Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Windows Serviceioo');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{917A9627-D452-0AE0-FDFE-CBFA4B273443}');
RegKeyParamDel('HKEY_USERS','S-1-5-21-194796956-2362316436-527665681-1004\Software\Microsoft\Windows\CurrentVersion\Run','{917A9627-D452-0AE0-FDFE-CBFA4B273443}');
ExecuteSysClean;
ExecuteRepair(3);
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только

[CODE]c:\users\nikolaj vladimirskis\appdata\roaming\hidbmnxizjnbraux.exe (Backdoor.Bot) -> 1520 -> Действие не было предпринято.
C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe (Trojan.ZbotR.Gen) -> 3068 -> Действие не было предпринято.
Обнаруженные параметры в реестре: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|{917A9627-D452-0AE0-FDFE-CBFA4B273443} (Trojan.ZbotR.Gen) -> Параметры: "C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe" -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run|10802 (Trojan.Agent) -> Параметры: C:\PROGRA~3\LOCALS~1\Temp\msaobqu.bat -> Действие не было предпринято.
Объекты реестра обнаружены: 1
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Плохо: (http://redirectsite.net) Хорошо: (http://www.google.com) -> Действие не было предпринято.
c:\users\nikolaj vladimirskis\appdata\roaming\hidbmnxizjnbraux.exe (Backdoor.Bot) -> Действие не было предпринято.
C:\Windows\System32\winrtsnr.txt (Malware.Trace) -> Действие не было предпринято.
C:\Windows\SysWOW64\winrtsnr.txt (Malware.Trace) -> Действие не было предпринято.
C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe (Trojan.ZbotR.Gen) -> Действие не было предпринято.[/CODE]

(некоторые строчки в MBAM могут отсутствовать).

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
27.09.2012, 00:58
yorigami

Всеееее спасибо большое . Все впорядке )))))))

если надо будет прислать сюда какие нибудь файлы..напишите : ))
27.09.2012, 11:06
regist

[quote="yorigami;927600"]если надо будет прислать сюда какие нибудь файлы..напишите : ))[/quote]

[quote="regist;927581"]- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)[/quote]
нужны контрольные логи, чтоб убедиться, что не осталось заражения.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ жду [quote="regist;927581"]Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.[/quote]
27.09.2012, 21:40
yorigami

Вложений: 2

[ATTACH]379236[/ATTACH]
[ATTACH]379235[/ATTACH]
вот как просили ..щя карантин вышлю

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

блин отсылать карантин почему то не хочет....пишет что такой же файл уже был загружен ; (
27.09.2012, 22:45
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Hidbmnxizjnbraux.exe','');
QuarantineFile('C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe','');
QuarantineFileF('C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa','*', true,'',0 ,0);
QuarantineFile('C:\PROGRA~3\LOCALS~1\Temp\msaobqu.bat','');
QuarantineFile('C:\Users\UpdatusUser\M-500-7469-9976-4678\winmgr.exe','');
DeleteFile('8539370851460959.exe');
DeleteFile('C:\PROGRA~3\LOCALS~1\Temp\msaobqu.bat');
DeleteFile('C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Hidbmnxizjnbraux.exe');
DeleteFile('C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-21-194796956-2362316436-527665681-1004\Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Windows Serviceioo');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','10802');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Hidbmnxizjnbraux.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Hidbmnxizjnbraux.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-21-194796956-2362316436-527665681-1004\Software\Microsoft\Windows\CurrentVersion\Run','{917A9627-D452-0AE0-FDFE-CBFA4B273443}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis некоторые строчки могут отсутствовать

[CODE]O4 - HKLM\..\Run: [Hidbmnxizjnbraux.exe] "C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Hidbmnxizjnbraux.exe"
O4 - HKCU\..\Run: [Hidbmnxizjnbraux.exe] "C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Hidbmnxizjnbraux.exe"
O4 - HKLM\..\Policies\Explorer\Run: [10802] C:\PROGRA~3\LOCALS~1\Temp\msaobqu.bat
O4 - HKUS\S-1-5-21-194796956-2362316436-527665681-1004\..\Run: [{917A9627-D452-0AE0-FDFE-CBFA4B273443}] "C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa\kelyut.exe" (User 'UpdatusUser')
O4 - HKUS\S-1-5-21-194796956-2362316436-527665681-1004\..\Run: [Microsoft Windows Serviceioo] 8539370851460959 (User 'UpdatusUser')
[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ посмотрите что у вас в папке
[CODE]C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa[/CODE]
28.09.2012, 00:36
yorigami

Вложений: 2

[ATTACH]379256[/ATTACH]
[ATTACH]379257[/ATTACH]
В программе HijackThis пофиксил то что вы указали.
Папка : C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa ПУСТА ;)
Карантин по прежнему не могу отослать, пишет : Ошибка загрузки. Данный файл уже был загружен
28.09.2012, 11:15
regist

[quote="yorigami;927821"]Папка : C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa ПУСТА[/quote]
удалите её вручную, файл C:\Users\UpdatusUser\M-500-7469-9976-4678\winmgr.exe проверьте на [url]http://www.virustotal.com/[/url] ссылку на результат проверки напишите.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

хвосты от вируса не хотят удаляться >:(
28.09.2012, 20:26
yorigami

Вложений: 1

папку: C:\Users\Nikolaj Vladimirskis\AppData\Roaming\Oqa удалил.
Файл C:\Users\UpdatusUser\M-500-7469-9976-4678\winmgr.exe не смог проверить так ка не нашел его.
[ATTACH]379302[/ATTACH]
28.09.2012, 20:46
regist

[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url]

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
28.09.2012, 21:23
yorigami

Большое спасибо за помощь ; ))) <3
28.09.2012, 21:33
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\progra~3\\locals~1\\temp\\msaobqu.bat - [B]Backdoor.Win32.Androm.ks[/B] ( BitDefender: Trojan.Generic.7786518 )[/LIST][/LIST]