Ошибка [Backdoor.Win32.Androm.xcj, Backdoor.Win32.Azbreg.usf ]

[FONT=arial]Доброго времени суток! Помогите пожалуйста решить мою проблему.
[COLOR=#333333]При вставке дисков, USB выходит ошибка со следующим содержанием:[/COLOR]
[COLOR=#333333]
svchost.exe - диск отсутствует[/COLOR]

[COLOR=#333333]в устройстве нет диска. вставьте диск в устройство \Device\Harddisk1\DR4[/COLOR]
[COLOR=#333333]за ней следуют еще несколько[/COLOR]
[COLOR=#333333]в устройстве нет диска. вставьте диск в устройство \Device\Harddisk2\DR5[/COLOR]
[COLOR=#333333]в устройстве нет диска. вставьте диск в устройство \Device\Harddisk3\DR6[/COLOR]
[COLOR=#333333]в устройстве нет диска. вставьте диск в устройство \Device\Harddisk4\DR7[/COLOR][/FONT]

Уважаемый(ая) [B]LoginzaID: 106783439[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\users\Илья\appdata\roaming\cc16.exe');
QuarantineFile(' C:\Users\Илья\AppData\Roaming\CC16.exe.gonewiththewings','');
QuarantineFile('c:\users\Илья\appdata\roaming\cc16.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15555590\cafef9.exe','');
QuarantineFile('C:\Users\Илья\AppData\Roaming\Microsoft\Qvsgsw.exe','');
QuarantineFile('C:\Users\Илья\AppData\Roaming\Microsoft\Rvsgsx.exe','');
QuarantineFile('C:\Users\Илья\AppData\Roaming\Microsoft\Xvsgsd.exe','');
QuarantineFile('C:\Users\Илья\AppData\Roaming\ScreenSaverPro.scr','');
QuarantineFile('C:\Windows\Temp\TS_88FD.tmp','');
DeleteFile(' C:\Users\Илья\AppData\Roaming\CC16.exe.gonewiththewings');
DeleteFile('c:\users\Илья\appdata\roaming\cc16.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15555590\cafef9.exe');
DeleteFile('C:\Users\Илья\AppData\Roaming\Microsoft\Qvsgsw.exe');
DeleteFile('C:\Users\Илья\AppData\Roaming\Microsoft\Rvsgsx.exe');
DeleteFile('C:\Users\Илья\AppData\Roaming\Microsoft\Xvsgsd.exe');
DeleteFile('C:\Users\Илья\AppData\Roaming\ScreenSaverPro.scr');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ca40229dd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Qvsgsw');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Rvsgsx');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Xvsgsd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Screen Saver Pro 3.1');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[LIST=1][*]Скачайте [B][URL="http://dsrt.dyndns.org/uvsfiles.htm"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. [*]Закройте все программы, [B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО.[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите правой кнопкой мыши и скопируйте следующий скрипт в буфер обмена:
[CODE];uVS v3.81 script [http://dsrt.dyndns.org]

adddir %SystemDrive%\USERS\Илья\AppData\Roaming\
crimg
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы.[*]После этого в папке с программой будет создан образ автозапуска название, которого имеет формат [B]"имя_компьютера_дата_сканирования"[/B]. Прикрепите этот образ к следующему сообщению[*][INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*]Подробнее читайте в руководстве[/LIST]

скрипт из uVS

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.80.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\TEMP.BIN
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\TEMP.BIN
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\TEMP.BIN
bl F9DF74F65D8181CA8807BDE6103CE206 151040
addsgn A7679B1991AAC74F833CEFB14FF59EED648AFFCBF90F5E78AEFEC17511D65A7147F68257B558E5286980AF9222F708FA7ED2649A14DAB3215D82E52FC40B3E13 8 Backdoor.Win32.Androm.xst [Kaspersky]

sreg

delall %SystemDrive%\PROGRA~2\MOZILLA\PQQONGI.EXE
chklst
delvir

restart
areg[/CODE]

сделайте новый образ автозапуска.

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

скрипт из uVS 2 + лог полного сканирования МВАМ.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только

[CODE]Обнаруженные ключи в реестре: 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NewProduct 1.00 (Backdoor.Agent.CoGen) -> Действие не было предпринято.
Обнаруженные папки: 1
C:\Program Files\Company\NewProduct (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\ProgramData\Mozilla\pqqongi.exezsyxsca.tmp (Trojan.Downloader) -> Действие не было предпринято.
C:\Users\Илья\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\99IRQAUI\n[1].api (Spyware.Zbot.ED) -> Действие не было предпринято.
C:\Users\Илья\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\99IRQAUI\n[2].api (Spyware.Zbot.ED) -> Действие не было предпринято.
C:\Users\Илья\AppData\Roaming\temp.bin (Worm.Dorkbot) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\Uninstall.ini (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\al99999.pp (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\al99999.vbs (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\all2.vbs (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\hhhh.txt (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\koollapsa.bat (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\slonik.po (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\Uninstall.exe (Backdoor.Agent.CoGen) -> Действие не было предпринято.[/CODE]

Перезагрузите компьютер и сделайте новый лог MBAM

+ сделайте новый образ автозапуска uVS как сделать написано [URL="http://virusinfo.info/showthread.php?t=140877&p=1012704&viewfull=1#post1012704"]внизу поста №3[/URL]

MBAM+uVS новый

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] всё кроме

[CODE]Обнаруженные процессы в памяти: 1
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> 452 -> Действие не было предпринято.
Обнаруженные файлы: 5
C:\Windows\kmsem\KMService.exe (Trojan.FakeAlert) -> Действие не было предпринято.[/CODE]

сделайте новый лог MBAM

+ прикрепите лог uVS [quote="regist;1012704"]8. После этого в [B]папке с программой будет создан образ автозапуска[/B] название, которого имеет формат "[B]имя_компьютера[/B]_дата_сканирования". Прикрепите этот образ к следующему сообщению[/quote]

лог uVS
"имя_компьютера_дата_сканирования"
не хочет приклепляться. Можно как то удалить остальные файлы из менеджера, для освобождения памяти?

[quote="LoginzaID: 106783439;1018437"]Можно как то удалить остальные файлы из менеджера, для освобождения памяти?[/quote]
можно в личном кабинете - Вложения.

Либо просто загрузите образ сюда [url]http://rghost.ru/[/url] и дайте ссылку на скачивание.

новые логи

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.80.12 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\9561.EXE.GONEWITHTHEWINGS
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\9561.EXE.GONEWITHTHEWINGS
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\9561.EXE.GONEWITHTHEWINGS
bl 9F22D076C25F3C9FFD546131C49EC030 49152
addsgn 9252772A156AC1CC0BB4514E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5FC202ADA4D985CC8F 8 Backdoor.Win32.Azbreg.usf [Kaspersky]

; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\6D64.EXE.GONEWITHTHEWINGS
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\6D64.EXE.GONEWITHTHEWINGS
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\6D64.EXE.GONEWITHTHEWINGS
; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\SCREENSAVERPRO.SCR
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\SCREENSAVERPRO.SCR
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\SCREENSAVERPRO.SCR
bl F9DF74F65D8181CA8807BDE6103CE206 151040
addsgn A7679B1991AAC74F833CEFB14FF59EED648AFFCBF90F5E78AEFEC17511D65A7147F68257B558E5286980AF9222F708FA7ED2649A14DAB3215D82E52FC40B3E13 8 Backdoor.Win32.Androm.xst [Kaspersky]

; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\MICROSOFT\XVSGSD.EXE
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\MICROSOFT\XVSGSD.EXE
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\MICROSOFT\XVSGSD.EXE
; C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24NAQ.EXE
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24NAQ.EXE
; zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24NAQ.EXE
bl 516BB6B2D03724F9C60E1CAC9CC174F1 73728
addsgn 1A0A639A5583C58CF42B254E3143FE84C9A2FFF689592784C5C34CB1642A314CAA02F3AB7E551454077CC49FCF2361063DDF614F7126F02C4BFBB17F3B462215 23 Trojan-Ransom.Win32.Blocker.uxw

; C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15555590\CAFEF9.EXE
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15555590\CAFEF9.EXE
; zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-15555590\CAFEF9.EXE
; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\5C08.EXE.GONEWITHTHEWINGS
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\5C08.EXE.GONEWITHTHEWINGS
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\5C08.EXE.GONEWITHTHEWINGS
; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\733D.EXE.GONEWITHTHEWINGS
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\733D.EXE.GONEWITHTHEWINGS
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\733D.EXE.GONEWITHTHEWINGS
; C:\USERS\ИЛЬЯ\APPDATA\ROAMING\TEMP.BIN
zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\TEMP.BIN
; zoo %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\TEMP.BIN
delall %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\733D.EXE
delall %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\5C08.EXE
delall %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\6D64.EXE
delref %SystemDrive%\USERS\ИЛЬЯ\APPDATA\LOCAL\YANDEX\UPDATER\YUPDATE-EXECUTOR.EXE
delall %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\9561.EXE
chklst
delvir

restart[/CODE]

Повторите сканирование MBAM, если что снова будут найдены эти объекты удалите.

----------------
- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
--------------------
повторите логи.

новые логи

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.80.12 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
delall %SystemDrive%\USERS\ИЛЬЯ\APPDATA\ROAMING\MICROSOFT\XVSGSD.EXE
restart[/CODE]

что с проблемой ?

Проблема устранена. Спасибо большое!

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Скрипт выполнен. Уязвимости не обнаружены.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-15555590\\cafef9.exe - [B]Backdoor.Win32.Azbreg.usf[/B] ( BitDefender: Trojan.Generic.9157617, AVAST4: Win32:Malware-gen )[*] c:\\users\\илья\\appdata\\roaming\\cc16.exe.gonewiththewings - [B]Backdoor.Win32.Azbreg.usf[/B] ( BitDefender: Trojan.Generic.9157617, AVAST4: Win32:Malware-gen )[*] c:\\users\\илья\\appdata\\roaming\\microsoft\\rvsgsx.exe - [B]Backdoor.Win32.Androm.xcj[/B] ( BitDefender: Trojan.GenericKDV.1048018, AVAST4: Win32:Downloader-TPH [Trj] )[*] c:\\users\\илья\\appdata\\roaming\\microsoft\\xvsgsd.exe - [B]Backdoor.Win32.Androm.xrv[/B] ( BitDefender: Gen:Heur.Zygug.5, AVAST4: Win32:MalPack-G [Trj] )[*] c:\\users\\илья\\appdata\\roaming\\screensaverpro.scr - [B]Backdoor.Win32.Androm.xst[/B] ( BitDefender: Gen:Heur.Zygug.5, AVAST4: Win32:MalPack-G [Trj] )[/LIST][/LIST]