cmd.exe при загрузке [Trojan.VBS.Qhost.al ]

Printable View

27.12.2012, 22:43
olezya

windows/system32/cmd.exe при загрузке [Trojan.VBS.Qhost.al ]

Доброго времени суток
При загрузке появляется окно windows/system32/cmd.exe в котором написано операция успешно завершена
Через некоторое время загружается сайт рекламный.

Думала, что связано с pluginb.exe. Нашла в инете инфу и удалилу в папке Windows
Но cmd.exe по-прежнему запускается как и сайт

Помогите, пожалуйста
27.12.2012, 22:45
Info_bot

Уважаемый(ая) [B]olezya[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.12.2012, 23:01
Nikkollo

Нам нужны логи по правилам:
[url]http://virusinfo.info/pravila.html[/url]
30.12.2012, 20:15
olezya

спасибо за ответы
С наступающим Новым годом!
Высылаю файлы
31.12.2012, 03:44
Nikkollo

Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\PROGRA~1\SEARCH~1\Datamngr\DATAMN~1.EXE','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msaaybve.scr','');
DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msaaybve.scr');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','11614');
DeleteFile('C:\PROGRA~1\SEARCH~1\Datamngr\DATAMN~1.EXE');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DATAMNGR');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.

Сделайте логи RSIT:
[url]http://virusinfo.info/showthread.php?t=115256&p=859292#post859292[/url]
и приложите.
31.12.2012, 11:27
olezya

отправляю файлы

спасибо за помощь
31.12.2012, 13:29
Techno

[B]C:\Windows\Win32.bat[/B] - знакомо?

Тулбары какие не устанавливали сами - удалите через установку/удаление программ.
[CODE]DefaultTabBHO
Searchqu Toolbar
DataMngr[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [Win32] C:\Windows\Win32.bat
O4 - HKLM\..\Policies\Explorer\Run: []
O4 - HKLM\..\Policies\Explorer\Run: [11614] C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msaaybve.scr[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
31.12.2012, 17:37
olezya

Спасибо за помощь
Win32.bat не знаю, что это...
31.12.2012, 17:46
Techno

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL] всё, [B]кроме[/B]:
[CODE]HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

C:\Documents and Settings\Admin\Мои документы\програми\Swish\Swishzone.com-RES-Patch.exe (RiskWare.Tool.HCK) -> Действие не было предпринято.
C:\Program Files\ZET 9\zetupd.exe (Backdoor.Bot) -> Действие не было предпринято.
C:\Program Files\Total Commander\Utilites\SFX Tool\Upack.exe (Malware.Packer.Gen) -> Действие не было предпринято.
C:\Program Files\UkrGIS\Украина,Киев\1.1\Atlas.exe (Malware.Gen) -> Действие не было предпринято.
C:\WINDOWS\notepad.exe (Trojan.Agent) -> Действие не было предпринято.[/CODE]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="olezya;955375"]Win32.bat не знаю, что это...[/quote]
Удалите...
31.12.2012, 19:19
olezya

у меня проблемка
программу удалила - заново пустила проверку-увеличилось количество вирусов
31.12.2012, 19:43
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFileF('C:\Program Files\d_1\','*', true,'',0 ,0);
QuarantineFile('C:\WINDOWS\notepad.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\fieryads.dat', 'MBAM: Adware.FieryAds');
QuarantineFile('C:\WINDOWS\system32\ieunitdrf.inf', 'MBAM: Malware.Trace');
QuarantineFile('C:\WINDOWS\system32\drivers\etc\hоsts', 'MBAM: Hijack.Trace');
QuarantineFile('C:\Program Files\d_1\1_\qqqqq.bat', 'MBAM: Trojan.Downloader');
QuarantineFile('C:\Program Files\d_1\1_\1.vbs', 'MBAM: Trojan.Downloader');
QuarantineFile('C:\Program Files\d_1\1_\2.vbs', 'MBAM: Trojan.Downloader');
QuarantineFile('C:\Program Files\d_1\1_\k1.txt', 'MBAM: Trojan.Downloader');
QuarantineFile('C:\Program Files\lpd\8\pppa.bat', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\lpd\8\11.vbs', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\lpd\8\71.vbs', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\lpd\8\omg.txt', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\111234\09091\12wgr5yhh.vbs', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\111234\09091\45h56h56h.vbs', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\111234\09091\ad3g3gf.bat', 'MBAM: Trojan.StartPage.ooo');
QuarantineFile('C:\Program Files\111234\09091\so1.txt', 'MBAM: Trojan.StartPage.ooo');
DeleteFile('C:\Documents and Settings\Admin\Application Data\fieryads.dat');
DeleteFile('C:\WINDOWS\system32\ieunitdrf.inf');
DeleteFile('C:\WINDOWS\system32\drivers\etc\hоsts');
DeleteFile('C:\Program Files\d_1\1_\qqqqq.bat');
DeleteFile('C:\Program Files\d_1\1_\1.vbs');
DeleteFile('C:\Program Files\d_1\1_\2.vbs');
DeleteFile('C:\Program Files\d_1\1_\k1.txt');
DeleteFile('C:\Program Files\lpd\8\pppa.bat');
DeleteFile('C:\Program Files\lpd\8\11.vbs');
DeleteFile('C:\Program Files\lpd\8\71.vbs');
DeleteFile('C:\Program Files\lpd\8\omg.txt');
DeleteFile('C:\Program Files\111234\09091\12wgr5yhh.vbs');
DeleteFile('C:\Program Files\111234\09091\45h56h56h.vbs');
DeleteFile('C:\Program Files\111234\09091\ad3g3gf.bat');
DeleteFile('C:\Program Files\111234\09091\so1.txt');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте новый лог MBAM
31.12.2012, 20:35
olezya

файл
31.12.2012, 21:44
regist

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] всё кроме

[QUOTE]HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

C:\WINDOWS\notepad.exe (Trojan.Agent) -> Действие не было предпринято.[/QUOTE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Повторите сканирования MBAM и приложите новый лог.
05.01.2013, 13:01
olezya

мои файлы
05.01.2013, 14:53
Techno

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Сделайте лог [B]полного[/B] сканирования MBAM.
05.01.2013, 15:49
olezya

[QUOTE=Techno;956566]- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.[/QUOTE]

Это заходит в Интернет и?
05.01.2013, 16:07
Techno

[quote="olezya;956584"]Это заходит в Интернет и?[/quote]
Скачивайте обновления и устанавливайте.
05.01.2013, 16:45
olezya

влияют ли они на нелецензионую винду?
05.01.2013, 17:11
Techno

Возможно потребуется повторная активация...
05.01.2013, 17:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]51[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\docume~1\\alluse~1\\locals~1\\temp\\msaaybve.scr - [B]Trojan-Downloader.Win32.Andromeda.fsd[/B][*] c:\\program files\\111234\\09091\\ad3g3gf.bat - [B]Trojan.VBS.Qhost.al[/B][/LIST][/LIST]