Файлы типа 60АС.ехе и ярлыкм вместо папок [Trojan.Win32.Jorik.IRCbot.wdk, Trojan.Win32.Jorik.Tedroo.cjy ]

В общем суть в заголовке: при подключении съемных носителей к ноутбуку на них все файлы становятся ярлыками, также в папке Roaming куча экзешников со странными названиями типа 3F8D.ехе т.п. При выходе в интернет антивирус (Avast) постоянно что-то блокирует.

Уважаемый(ая) [B]Levin249[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\d4ac.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\d4ac.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\8ca.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\8ca.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\487a.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\487a.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\3411.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\3411.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\2cfd.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\2cfd.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\235d.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\235d.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\159.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\159.exe','');
TerminateProcessByName('c:\users\kseniya\appdata\roaming\1161.exe');
QuarantineFile('c:\users\kseniya\appdata\roaming\1161.exe','');
DeleteFile('c:\users\kseniya\appdata\roaming\1161.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\159.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\235d.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\2cfd.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\3411.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\487a.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\8ca.exe');
DeleteFile('c:\users\kseniya\appdata\roaming\d4ac.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wi68');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','t4q');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','nepro0xz');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','nepdro0xz');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSSMARTMON1');
DeleteFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gkkqkw');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Скрипт выполнил логи прикрепляю. В папке roaming стало еще больше таких файлов (2BC8.exe, 46BF.exe и т.д.)

[FONT=Century Gothic][COLOR="#ff3333"][SIZE=3]> Выполните скрипт в AVZ:[/SIZE][/COLOR][/FONT]

[CODE]
begin
ClearQuarantine;
if not IsWOW64 then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe','');
QuarantineFile('C:\Users\Kseniya\AppData\Roaming\2E6B.exe','mbam');
QuarantineFile('C:\Users\Kseniya\AppData\Roaming\3ACB.exe','mbam');
DeleteFile('C:\Users\Kseniya\AppData\Roaming\3ACB.exe');
DeleteFile('C:\Users\Kseniya\AppData\Roaming\2E6B.exe');
DeleteFile('C:\Users\Kseniya\AppData\Roaming\Microsoft\Gkkqkw.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gkkqkw');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine_2.zip');
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "[B]Прислать запрошенный карантин[/B]", которая находится над первым сообщением этой темы, чтобы прислать [B]quarantine_2.zip[/B].

> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

[URL="http://virusinfo.info/showthread.php?t=115256"]Сделайте отчет программы RSIT.[/URL]

[COLOR="#ff3333"]_________________[/COLOR]
[SIZE=1][URL="http://virusinfo.info/showthread.php?t=7239"]> как выполнить скрипт в AVZ[/URL][/SIZE]

При прикреплении файла quarantine_2 выскакивает сообщение, что файл уже загружен.

Установите все обновления для системы, начиная с Service Pack 1

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

К сожалению у нас в Магаданской области мы все еще платим за каждый Мб 2-3рубля>:(, в данный момент инет не позволяет установить все обновления. Без этого никак? Лог ComboFix прилагаю.

Жить с дырявой системой - значит, находится в опасности повторного заражения. Решать Вам

Что сейчас с проблемой?

Полностью с вами согласен. Т.е. SP1 безопасней? Как быть с зараженными флешками и ярлыками на них? Заранее спасибо.
Ах да, проблема вроде решена, но боюсь вставлять съемные накопители.

[quote="Levin249;980391"]Как быть с зараженными флешками и ярлыками на них? Заранее спасибо.[/quote]
Вставьте флешку, но не открывайте ее. По умолчанию никакого автозапуска в Windows 7 не происходит.
Скачайте и запустите сканер Dr.Web CureIt, просканируйте им сменный носитель, он должен исправить.

[quote="Levin249;980391"]Т.е. SP1 безопасней?[/quote]
Естественно! А для чего по-вашему Майкрософт выпускает эти пакеты обновлений? Просто так? :)
Контроль учетных записей включите, если он отключен. К уведомлениям привыкнете, а уровень защиты резко возрастает.

Спасибо огромное, отличный у вас сервис.
P.S. Cureit не обнаружил ничего на флешках. И еще вопрос: все вышеперечисленное применимо к другому домашнему компу или логи делать с него отдельно?

[CODE]Attrib /S /D -s -h[/CODE]
Скопируйте текст из рамки в блокнот и сохраните в [B]корень[/B] флешки с именем restore.bat (имя может быть любым, главное - наличие расширения .bat).

Запустите этот файл. В зависимости от кол-ва файлов и каталогов процес может занять до 10 минут.


[quote="Levin249;980415"]И еще вопрос: все вышеперечисленное применимо к другому домашнему компу или логи делать с него отдельно?[/quote]
Нет. Другой компьютер в отдельной теме.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-46689\\24naq.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-917678\\nepro0xz.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )[*] c:\\users\\kseniya\\appdata\\roaming\\d4ac.exe - [B]Trojan.Win32.Jorik.Tedroo.cjy[/B] ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )[*] c:\\users\\kseniya\\appdata\\roaming\\microsoft\\gkkqkw.exe - [B]Backdoor.Win32.Ruskill.rgr[/B] ( DrWEB: BackDoor.Bulknet.846, BitDefender: Gen:Variant.Dropper.73, AVAST4: Win32:Ruskill-HU [Trj] )[*] c:\\users\\kseniya\\appdata\\roaming\\159.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )[*] c:\\users\\kseniya\\appdata\\roaming\\235d.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )[*] c:\\users\\kseniya\\appdata\\roaming\\487a.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )[*] c:\\users\\kseniya\\appdata\\roaming\\8ca.exe - [B]Trojan.Win32.Jorik.IRCbot.wdk[/B] ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )[/LIST][/LIST]