Файлы на флешке стали ярлыками [Trojan-Dropper.Win32.Agent.hjne ]

Printable View

14.05.2013, 12:29
Niceb0y

Вложений: 3

Файлы на флешке стали ярлыками [Trojan-Dropper.Win32.Agent.hjne ]

Если вставить любую флешку в компьютер, то все папки становятся скрытыми, и создаются их ярлыки. Так же вылетало окошко "вставьте диск в устройство \device\harddisk1\dr2".
Пробовал удалять все ярлыки с флеш носителя, и файлы, которых раньше не было (с не понятным именем расширением .exe), приводил к нормальному виду (восстанавливал все атрибуты) все документы, но после повторного изъятие, все опять становилось ярлыками. Так же удалял все .exe(шники) в папке "C:\Users\"имя пользователя"\AppData\Roaming", но после перезагрузки они вновь появлялись.
14.05.2013, 12:31
Info_bot

Уважаемый(ая) [B]Niceb0y[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
14.05.2013, 12:44
mrak74

Здравствуйте !!!

[URL="http://virusinfo.info/content.php?r=136-pravila"]Правила[/URL]
[QUOTE]* Обязательно нужно запускать данные программы с правами администратора. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому необходимо нажать правой кнопкой на программу, выбрать пункт "Запустить от имени администратора" (Run as administrator), ввести пароль администратора в появившемся окошке и нажать кнопку "OK".[/QUOTE]

Пофиксите в HijackThis:
[CODE]O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\Windows\yndrive32.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\Windows\yndrive32.exe[/CODE]
Выполните скрипт в AVZ:
[CODE]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\windows\yndrive32.exe');
TerminateProcessByName('c:\users\КГПУ\appdata\roaming\feba.exe');
TerminateProcessByName('c:\users\КГПУ\appdata\roaming\7ef0.exe');
QuarantineFile('c:\windows\yndrive32.exe','');
QuarantineFile('C:\Users\КГПУ\AppData\Roaming\ScreenSaverPro.scr','');
QuarantineFile('c:\users\КГПУ\appdata\roaming\feba.exe','');
QuarantineFile('c:\users\КГПУ\appdata\roaming\7ef0.exe','');
DeleteFile('C:\Windows\yndrive32.exe');
DeleteFile('c:\users\КГПУ\appdata\roaming\feba.exe');
DeleteFile('c:\users\КГПУ\appdata\roaming\7ef0.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
14.05.2013, 13:18
Niceb0y

Вложений: 2

повторные логи
14.05.2013, 13:53
regist

AVZPM - отключите.

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\КГПУ\AppData\Roaming\ScreenSaverPro.scr','');
DeleteFile('C:\Users\КГПУ\AppData\Roaming\ScreenSaverPro.scr');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Screen Saver Pro 3.1');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]
14.05.2013, 14:32
Niceb0y

Вложений: 1

карантин отправил, и вот полный образ автозапуска uVS
14.05.2013, 15:02
mrak74

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.77.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delall %SystemDrive%\USERS\КГПУ\APPDATA\ROAMING\583D.EXE
delall %SystemDrive%\USERS\КГПУ\APPDATA\ROAMING\DAF5.EXE
delall %SystemDrive%\USERS\КГПУ\APPDATA\ROAMING\MICROSOFT\OJEOEC.EXE
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-13259\PROXZY129.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-13259\PROXZY129.EXE
delall %SystemDrive%\USERS\КГПУ\APPDATA\ROAMING\SCREENSAVERPRO.SCR
zoo %SystemRoot%\YNDRIVE32.EXE
delall %SystemRoot%\YNDRIVE32.EXE
restart[/CODE]

Сделайте новый лог uVS.
15.05.2013, 06:43
Niceb0y

Вложений: 1

Прошу прощения за долгий ответ, был не за компьютером.
Выполнил скрипт в uVS, отправил, только архива не было, создавал сам.
Ну и новый лог того же uVS

Ну вроде бы проблема ушла, спасибо Вам большое за оказанную помощь, и за быстрые ответы!!! Ресурс обрадовал :clapping:
Единственный вопрос, есть еще один компьютер с подобным вирусом, это мне создавать отдельную тему я так понимаю?
15.05.2013, 08:14
mrak74

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.77.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref %SystemDrive%\USERS\КГПУ\APPDATA\ROAMING\MICROSOFT\OJEOEC.EXE
regt 5
restart[/CODE]

Скрипт добъет остатки от вируса и отключит автозапуск со съемных носителей, при наличии такого вируса это не помешает.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[quote="Niceb0y;1001704"]Единственный вопрос, есть еще один компьютер с подобным вирусом, это мне создавать отдельную тему я так понимаю?[/quote]
Да, создавать новую тему.
15.05.2013, 13:28
Niceb0y

Выполнил новый скрипт, все замечательно, огромное вам спасибо! Только с нашим интернетом выкачать обновления к сожалению не удастся.
Создал новую тему с аналогичной проблемой, но уже на другом компьютере.
15.05.2013, 13:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\кгпу\\appdata\\roaming\\feba.exe - [B]Worm.Win32.Luder.agsu[/B] ( BitDefender: Trojan.GenericKD.982895, AVAST4: Win32:Kryptik-LQL [Trj] )[*] c:\\users\\кгпу\\appdata\\roaming\\screensaverpro.scr - [B]Worm.Win32.Luder.agsu[/B] ( BitDefender: Trojan.GenericKD.982895, AVAST4: Win32:Kryptik-LQL [Trj] )[*] c:\\users\\кгпу\\appdata\\roaming\\7ef0.exe - [B]Trojan-Dropper.Win32.Agent.hjne[/B] ( BitDefender: Trojan.GenericKDV.945845, AVAST4: Win32:Downloader-SYZ [Trj] )[*] c:\\windows\\yndrive32.exe - [B]Trojan-Dropper.Win32.Agent.hjne[/B] ( BitDefender: Trojan.GenericKDV.945845, AVAST4: Win32:Downloader-SYZ [Trj] )[*] \\zoo\\yndrive32.exe._8d7d3cca3b827f25b11d6774249f40de96da0ecd - [B]Trojan-Dropper.Win32.Agent.hjne[/B] ( BitDefender: Trojan.GenericKDV.945845, AVAST4: Win32:Downloader-SYZ [Trj] )[/LIST][/LIST]