Папки-ярлыки на съемных носителях [Trojan.Win32.Jorik.Tedroo.cia, Trojan.Win32.Jorik.IRCbot.wdk ]

Printable View

06.01.2013, 09:10
Евгений Харченко

Вложений: 3

Папки-ярлыки на съемных носителях [Trojan.Win32.Jorik.Tedroo.cia, Trojan.Win32.Jorik.IRCbot.wdk ]

Здравствуйте, проблема заключается в том, что при подключении к ноутбуку любых съемных носителей все папки, имеющиеся на них, скрываются и создаются ярлыки ссылающиеся на папку RECYCLED с *.exe файлом, который наверняка прописался в компьютере, т.к. попытки открыть эти самые ярлыки предпринимались. Проверка Касперским ничего не дала
06.01.2013, 09:13
Info_bot

Уважаемый(ая) [B]Евгений Харченко[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
06.01.2013, 11:04
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Microsoft\Yfdodm.exe','');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Microsoft\Yfdodm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Yfdodm');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
06.01.2013, 14:07
Евгений Харченко

Вложений: 4

Повторные логи
06.01.2013, 15:49
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Documents and Settings\Admin\Application Data\1D.exe', 'MBAM: Trojan.ChinAd');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\13.exe', 'MBAM: Trojan.ChinAd');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\14.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\15.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\16.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\1B.exe', 'MBAM: Trojan.ChinAd');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\1C.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\1E.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\1F.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\20.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\8.exe', 'MBAM: Trojan.ChinAd');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\B.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\C.exe', 'MBAM: Trojan.Bublik');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\D.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Рабочий стол\флека\KINGSTON (F)\RECYCLED\d1ff3a37.exe', 'MBAM: Trojan.Ransom');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\24.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\25.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\26.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\27.exe', 'MBAM: Trojan.Agent');
DeleteFile('C:\Documents and Settings\Admin\Application Data\1D.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\13.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\14.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\15.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\16.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\1B.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\1C.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\1E.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\1F.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\20.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\8.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\B.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\C.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\D.exe');
DeleteFile('C:\Documents and Settings\Admin\Рабочий стол\флека\KINGSTON (F)\RECYCLED\d1ff3a37.exe');
DeleteFile('D:\Downloads\Архивы\avz4\avz4\Quarantine\2013-01-06\avz00001.dta');
DeleteFile('D:\Downloads\Архивы\avz4\avz4\Quarantine\2013-01-06\avz00002.dta');
DeleteFile('D:\Downloads\Архивы\avz4\avz4\Quarantine\2013-01-06\avz00003.dta');
DeleteFile('C:\Documents and Settings\Admin\Application Data\24.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\25.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\26.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\27.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новый лог МВАМ
06.01.2013, 17:08
Евгений Харченко

Вложений: 1

Как-то так
06.01.2013, 21:37
thyrex

Что с проблемой?
07.01.2013, 14:20
Евгений Харченко

Теперь на флешке вместо RECYCLED создается папка .Trashes, с файлом расширения *.com В каталоге d&s/admin/application data периодически появляются exe-файлы обнаруживающиеся МБАМом. Включил Касперского, он заблокировал несколько загрузок подобных этой: http://146.185.246.89/brenw7.exe (различались только файлы загрузок), якобы инициированных windows/system32/mspaint.exe
07.01.2013, 16:06
thyrex

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
07.01.2013, 22:27
Евгений Харченко

После повторного сканирования Касперским из d&s/admin/application data был удален, видимо, настоящий исполнительный файл вируса, снявший конспирацию, после чего проблема исчезла. Спасибо за ваши труды и своевременную поддержку
07.01.2013, 22:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]69[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\application data\\b.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011 )[*] c:\\documents and settings\\admin\\application data\\c.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011 )[*] c:\\documents and settings\\admin\\application data\\d.exe - [B]Trojan.Win32.Jorik.Nrgbot.ene[/B] ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\application data\\microsoft\\yfdodm.exe - [B]Trojan-Ransom.Win32.Foreign.scu[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KDV.775314, AVAST4: Win32:Trojan-gen )[*] c:\\documents and settings\\admin\\application data\\1b.exe - [B]Trojan.Win32.Jorik.Tedroo.cia[/B] ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Gen:Variant.Kazy.123235, AVAST4: Win32:Jorik-RX [Trj] )[*] c:\\documents and settings\\admin\\application data\\1c.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011 )[*] c:\\documents and settings\\admin\\application data\\1e.exe - [B]Trojan.Win32.Jorik.Nrgbot.ene[/B] ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\application data\\1f.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011 )[*] c:\\documents and settings\\admin\\application data\\13.exe - [B]Trojan.Win32.Jorik.Tedroo.cia[/B] ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Gen:Variant.Kazy.123235, AVAST4: Win32:Jorik-RX [Trj] )[*] c:\\documents and settings\\admin\\application data\\14.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011 )[*] c:\\documents and settings\\admin\\application data\\15.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011 )[*] c:\\documents and settings\\admin\\application data\\16.exe - [B]Trojan.Win32.Jorik.Nrgbot.ene[/B] ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\application data\\20.exe - [B]Trojan.Win32.Jorik.Nrgbot.ene[/B] ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\application data\\24.exe - [B]Trojan-Ransom.Win32.PornoAsset.bolq[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KD.822310 )[*] c:\\documents and settings\\admin\\application data\\25.exe - [B]Trojan-Ransom.Win32.PornoAsset.bolq[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KD.822310 )[*] c:\\documents and settings\\admin\\application data\\26.exe - [B]Trojan-Ransom.Win32.PornoAsset.bolq[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KD.822310 )[*] c:\\documents and settings\\admin\\application data\\27.exe - [B]Trojan-Ransom.Win32.PornoAsset.bolq[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KD.822310 )[*] c:\\documents and settings\\admin\\application data\\8.exe - [B]Trojan.Win32.Jorik.Tedroo.cia[/B] ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Gen:Variant.Kazy.123235, AVAST4: Win32:Jorik-RX [Trj] )[*] c:\\documents and settings\\admin\\рабочий стол\\флека\\kingston (f)\\recycled\\d1ff3a37.exe - [B]Trojan-Ransom.Win32.Foreign.scu[/B] ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KDV.775314, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-106669\\w68v12.exe - [B]Trojan.Win32.Jorik.Nrgbot.ene[/B] ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )[/LIST][/LIST]