Printable View
Просканировал Cureit в безопасном режиме, что то нашло удалило. В общем сам этот вирус удалил через удаление программ. АВЗ с горем пополам выполнил первый лог, после ребута авз перестал стартовать, переименовал авз.ехе запустилось, лог не создало, окно закрылось. Повторно запустить АВЗ смог еще раз переименовав его, оги сдеал. Hijak тоже после переименования запустил и создал лог
Уважаемый(ая) [B]serg_spam[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\23ZJFpHzi5g.exe','');
QuarantineFile('C:\ProgramData\svchost.exe','');
DeleteFile('C:\ProgramData\svchost.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\DProtect\eBP.dll','32');
DeleteFile('C:\Users\836D~1\AppData\Local\DProtect\eBPSD.dll','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\launch.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\lucoms.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\temp130464014.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\temp133042574.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\temp153765930.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Temp\temp130464014.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Temp\temp133042574.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Temp\temp153765930.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\23ZJFpHzi5g.exe','32');
DeleteFile('C:\Users\Администратор\rskiicuh.exe','32');
DeleteFile('C:\Windows\system32\Tasks\DealPlyUpdate','32');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',3,3,true);
ExecuteRepair(3);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Не могу запустить АВЗ.
upd: Запустил сразу после запуска системы АВЗ, прилагаю карантин и лог
Выполните в AVZ скрипт:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Windows\Tasks\Windows Update Check - 0x0ECD02AB','32');
DeleteFile('C:\ProgramData\treasure0\rhuadjqbe.exe','32');
DeleteFileMask('C:\ProgramData\treasure0','*',true);
DeleteDirectory('C:\ProgramData\treasure0');
ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.
Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Выполнил указанный Вами скрипт, прилагаю лог
Выполните в AVZ скрипт:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\ProgramData\treasure0\rhuadjqbe.exe','32');
DeleteFile('C:\Windows\Tasks\Windows Update Check - 0x0ECD02AB','32');
DeleteFileMask('C:\ProgramData\treasure0','*',true);
DeleteDirectory('C:\ProgramData\treasure0');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.
[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url], только программу скачайте [URL="http://yadi.sk/d/SWV-neIQAxrZ5"]отсюда[/URL].
Я ничего не перепутал нужный файл прислал?
Всё верно.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
offsgnsave
; C:\PROGRAMDATA\DXEBAX.EXE
addsgn 9AD062DA5582BC8DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC4648E6FCE133BD108F4E64968B30D131461649FA7DDFE97255DAF12CDD70E52F84694118 24 Trojan-Ransom.Win32.Blocker [Kaspersky]
zoo %SystemDrive%\PROGRAMDATA\DXEBAX.EXE
; C:\PROGRAMDATA\DXBRNUGRS.EXE
addsgn 9AD062DA5582A28DF42BAEB164C81205158AFCF6C9FA1F7885C3C5BC56DED7CB3EAC3B1380B08D6531392BF5461649FA7DDFE97255DAB02C2D77A42FA665501C 32 Trojan.DownLoad3.28650 [DrWeb]
zoo %SystemDrive%\PROGRAMDATA\DXBRNUGRS.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\DPROTECT\DPROTECTSVC.EXE
zoo F:\FCLEAR.VBS
delall F:\AUTORUN.INF
delref HTTP://WWW.QVO6.COM/?UTM_SOURCE=B&UTM_MEDIUM=AMT&UTM_CAMPAIGN=EXQ&UTM_CONTENT=HP&FROM=AMT&UID=HITACHIXHTS545032B9A300_110211PD3C08FYFNHEAJX&TS=1379269831
chklst
delvir
regt 5
uidel "C:\Program Files\DealPly\uninst.exe" /uninstall
exec C:\Program Files\LemurLeap\LemurLeapuninstall.exe
deltmp
restart[/code]На вопросы об удалении программ рекомендую соглашаться.
Компьютер перезагрузится.
Сделайте полный образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.
Выполнил сейчас сделаю образ, папку ZOO отправлять?
Отправляйте.
Вот образ автозапуска uVS [url]http://rghost.ru/49405714[/url], так же залил ZOO по кнопке "прислать запрошенный карантин" (131016_093913_ZOO_525e5ec1da8f9.zip)
Выполните скрипт в uVS:[CODE];uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
delref %SystemDrive%\PROGRAMDATA\TREASURE0\RHUADJQBE.EXE
delref F:\RUNTHIS.EXE
restart[/CODE]Компьютер перезагрузится.
[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url].
Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
Вот лог MBAM
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM:[/url][code]C:\Windows\System32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.[/code]
Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
Все сделал, обновки поставил кроме офиса 2007, пока нет возможности скачать для него SP3
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
Выполнил, но есть вопрос. Включил контроль учеток как по умолчанию было, поробовал установить несколько программ и кодеки k-lite, запрос на подтверждение действий не выскакивал. Это нормально?
UAC заработает после перезагрузки.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\programdata\\svchost.exe - [B]Trojan-Ransom.Win32.Blocker.cmou[/B] ( BitDefender: Trojan.GenericKDV.1328691, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\\users\\администратор\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\23zjfphzi5g.exe - [B]Trojan-Spy.Win32.Carberp.acvu[/B] ( BitDefender: Trojan.GenericKDV.1328272, AVAST4: Win32:Malware-gen )[*] \\zoo\\dxbrnugrs.exe._14d0c9197858161186a7a240b5c9b23a09f41730 - [B]Trojan-Ransom.Win32.Blocker.cmou[/B] ( BitDefender: Trojan.GenericKDV.1328691, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\dxebax.exe._cf9e857f0de8befbdcec63c4c823f72ccbc3c7ab - [B]Trojan-Ransom.Win32.Blocker.clwh[/B] ( BitDefender: Trojan.GenericKDV.1332278, AVAST4: Win32:Trojan-gen )[*] \\zoo\\fclear.vbs._c31915159191234bf89a37421c31452bf27a3d75 - [B]Worm.VBS.Autorun.kq[/B] ( DrWEB: VBS.Autoruner.91, AVAST4: VBS:AutoRun-BR [Wrm] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]