Printable View
Принес флешку с универа, вставил в компьютер и увидел только ярлыки. В итоге на любой, вставленной в комп, флешке скрываются все файлы и создаются ярлыки(с папками на флешке все нормально, на них вирус никак не повлиял). При удалении ярлыка он появляется через несколько секунд. Провел полную проверку Dr.Web 9-нашел вирусов штук 40-45, но с флешками проблема осталась. Заранее спасибо за помощь.
Уважаемый(ая) [B]BeriyaDan[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\Даниил\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Информация об использовании программы.vbs','');
QuarantineFile('C:\Users\1678~1\AppData\Local\Temp\Информация об использовании программы.vbs','');
QuarantineFile('C:\Users\1678~1\AppData\Local\Temp\repack\run.exe','');
QuarantineFile('C:\Windowssystem32ctfmon.exe','');
QuarantineFileF('C:\Users\1678~1\AppData\Local\Temp\repack', '*', true, ' ', 0, 0);
DeleteFile('C:\Users\1678~1\AppData\Local\Temp\repack\run.exe','32');
DeleteFile('C:\Users\1678~1\AppData\Local\Temp\Информация об использовании программы.vbs','32');
DeleteFile('C:\Users\Даниил\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Информация об использовании программы.vbs','32');
DeleteFile('C:\Windowssystem32ctfmon.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','repacks');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Информация об использовании программы');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Информация об использовании программы');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O4 - HKLM\..\Run: [Информация об использовании программы] wscript.exe //B "C:\Users\1678~1\AppData\Local\Temp\Информация об использовании программы.vbs"
O4 - HKCU\..\Run: [Информация об использовании программы] wscript.exe //B "C:\Users\1678~1\AppData\Local\Temp\Информация об использовании программы.vbs"
O4 - HKCU\..\Run: [repacks] C:\Users\1678~1\AppData\Local\Temp\repack\run.exe
O4 - Startup: Информация об использовании программы.vbs
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])
Сделал все по инструкции. Вот логи. Полное сканирование приложу чуть позже.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Программа нашла 35 вредоносных файлов. Я удалять их не стал. Жду дальнейших указаний.
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[B][COLOR=#000080]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Даниил\Local Settings\Application Data\QIP\QIP Shot\QIPShot.exe','Rogue.Multiple');
QuarantineFile('C:\Users\Даниил\Local Settings\Application Data\QIP\QIP Shot\qsmenu.dll','Rogue.Multiple');
QuarantineFile('C:\Users\Даниил\Local Settings\Application Data\QIP\QIP Shot\PTS55F.ttf','Rogue.Multiple');
QuarantineFile('C:\Users\Даниил\Local Settings\Application Data\QIP\QIP Shot\keysmap.txt','Rogue.Multiple');
DeleteFile('C:\Users\1678~1\AppData\Local\Temp\Информация об использовании программы.vbs','32');
DeleteFile('C:\Users\Даниил\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Информация об использовании программы.vbs','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Информация об использовании программы');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Информация об использовании программы');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR=#000080]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
O4 - HKCU\..\Run: [Информация об использовании программы] wscript.exe //B "C:\Users\1678~1\AppData\Local\Temp\Информация об использовании программы.vbs"
O4 - Startup: Информация об использовании программы.vbs
[/CODE]
В MBAM удалите только это:
[CODE]
c:\windows\system32\drivers\etc\hоsts (Hijack.Trace) -> Действие не было предпринято.
[/CODE]
Остальное пока не трогайте
Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR=Blue]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
Сделайте лог UVS ([URL]http://virusinfo.info/showthread.php?t=121767[/URL])
Пока не удается выложить лог UVS.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Удалось. Жду последующих указаний.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]
[code]
;uVS v3.80.16 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
breg
delref %SystemDrive%WINDOWSSYSTEM32CTFMON.EXE
delall %SystemDrive%\USERS\1678~1\APPDATA\LOCAL\TEMP\ИНФОРМАЦИЯ ОБ ИСПОЛЬЗОВАНИИ ПРОГРАММЫ.VBS
zoo D:\STEAM\STEAMAPPS\COMMON\TERRARIA\START-SERVER.BAT
zoo H:\ЗАГРУЗКИ\RANDOMCRAFT (1).EXE
zoo H:\ЗАГРУЗКИ\JAF FOR LITE MODIFICATION V 1.2.EXE
zoo %SystemDrive%\USERS\ДАНИИЛ\APPDATA\LOCAL\QIP\QIP SHOT\NETCLIENT.DLL
chklst
delvir
deltmp
restart
[/code]
Упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата [B].ZIP[/B] с паролем [B]virus[/B] и отправьте этот файл по ссылке "[B]Прислать запрошенный карантин[/B]" над первым сообщением в теме.
Сделайте новый лог UVS. Если на форум вложение не удастся загрузить тогда загрузите на [url]http://www.rghost.ru[/url], а полученную ссылку на образ прикрепите в вашем сообщении.
Спасибо за совет. [url]http://rghost.ru/49139805[/url]
Где новый лог UVS?
Прошу прощения, вот. [url]http://rghost.ru/49145099[/url]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Логи.
Что с проблемой?
Вроде решена. Спасибо, выручили. Закрывайте тему.
[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://tools.safezone.cc/glax24/SecurityCheck/SecurityCheck.exe"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\даниил\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\информация об использовании программы.vbs - [B]Trojan-Dropper.VBS.Agent.cv[/B] ( AVAST4: VBS:Dropper-CR [Trj] )[*] c:\\users\\1678~1\\appdata\\local\\temp\\repack\\api.class - [B]not-a-virus:NetTool.Win32.Sniffer.dz[/B] ( AVAST4: Java:Malware-gen [Trj] )[*] c:\\users\\1678~1\\appdata\\local\\temp\\информация об использовании программы.vbs - [B]Trojan-Dropper.VBS.Agent.cv[/B] ( AVAST4: VBS:Dropper-CR [Trj] )[/LIST][/LIST]