trojan.muldrop и последствия [not-a-virus:RiskTool.Win32.BitCoinMiner.hon, Trojan.WinLNK.StartPage.a ]

Printable View

29.12.2013, 19:48
b0Rn

trojan.muldrop и последствия [not-a-virus:RiskTool.Win32.BitCoinMiner.hon, Trojan.WinLNK.StartPage.a ]

[ATTACH]454310[/ATTACH]
[ATTACH]454311[/ATTACH]
[ATTACH]454312[/ATTACH]
сначала лечил дрвебом liveusb, дальше cureitом
результат, кажется, есть, но хотелось бы полностью избавиться
29.12.2013, 19:50
Info_bot

Уважаемый(ая) [B]b0Rn[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
29.12.2013, 20:33
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('H:\autorun.inf','');
QuarantineFile('C:\Users\Awesome\appdata\roaming\searchindexer\moduleinno.exe','');
QuarantineFile('C:\Users\Awesome\appdata\roaming\searchindexer\desktopsearchservice.exe','');
QuarantineFile('C:\Windows\system32\cam2_sv.exe','');
QuarantineFile('E:\bfmejybodf.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\bfmejybodf.bat','');
QuarantineFile('C:\Program Files\Internet Explorer\iexplore.url','');
QuarantineFile('blywhclezhbrunsd.exe','');
DeleteFile('blywhclezhbrunsd.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tzicjafulpfr');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('D:\bfmejybodf.bat');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\bfmejybodf.bat');
DeleteFile('H:\autorun.inf');
DeleteFile('C:\Program Files\Internet Explorer\iexplore.url','32');
DeleteFile('D:\bfmejybodf.bat','32');
DeleteFile('D:\autorun.inf','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('E:\bfmejybodf.bat','32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('D:\autorun.inf');
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(10);
ExecuteRepair(17);
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=290-virus-detector][B]тут[/B][/url]. Ссылку на результат проверки напишите в сообщении здесь.
29.12.2013, 21:41
b0Rn

[url]http://virusinfo.info/virusdetector/report.php?md5=B0EEA04F3D8E3149DFD546C50B539647[/url]

[ATTACH]454322[/ATTACH]
[ATTACH]454321[/ATTACH]
29.12.2013, 21:43
b0Rn

[ATTACH]454323[/ATTACH]
[ATTACH]454324[/ATTACH]

[url]http://virusinfo.info/virusdetector/report.php?md5=B0EEA04F3D8E3149DFD546C50B539647[/url]
30.12.2013, 00:00
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('C:\Users\Awesome\appdata\roaming\searchindexer\','*', true,'',0 ,0);
QuarantineFile('C:\Users\Awesome\appdata\roaming\searchindexer\desktopsearchservice.exe','');
QuarantineFile('C:\Users\Awesome\appdata\roaming\searchindexer\moduleinno.exe','');
QuarantineFile('C:\Program Files\Google\Chrome\Application\chrome.url','');
DeleteFile('C:\Program Files\Google\Chrome\Application\chrome.url','32');
DeleteFile('C:\Users\Awesome\appdata\roaming\searchindexer\moduleinno.exe','32');
DeleteFile('C:\Users\Awesome\appdata\roaming\searchindexer\desktopsearchservice.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://sindex.biz/?company=3[/CODE]

+ если не знакомо, то также пофиксить
[CODE]O4 - Startup: Startup.pif = ?
O4 - Global Startup: Startup.pif = ?[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

C:\Windows\system32\cam2_sv.exe - [COLOR="#FF0000"]not-a-virus:Monitor.Win32.Cameras.c[/COLOR] сами это ставили?
E:\Загрузки\Multi Password Recovery v1.2.4\ - наверно вам знакомо?
30.12.2013, 13:35
b0Rn

[ATTACH]454381[/ATTACH]
[ATTACH]454382[/ATTACH]

[QUOTE]C:\Windows\system32\cam2_sv.exe - not-a-virus:Monitor.Win32.Cameras.c сами это ставили?
E:\Загрузки\Multi Password Recovery v1.2.4\ - наверно вам знакомо?[/QUOTE]
да, я их сам ставил

логи MBAM сделать не получилось, выкидывает синий экран
30.12.2013, 14:28
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
DeleteFileMask('C:\Users\Awesome\appdata\roaming\searchindexer\', '*', true);
DeleteDirectory('C:\Users\Awesome\appdata\roaming\searchindexer\',' ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[quote="b0Rn;1075209"]логи MBAM сделать не получилось, выкидывает синий экран[/quote]
попробуйте загрузить windows в безопасном режиме и так сделать.
30.12.2013, 14:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\google\chrome\application\chrome.url - [B]Trojan.WinLNK.StartPage.a[/B][*] c:\program files\internet explorer\iexplore.url - [B]Trojan.WinLNK.StartPage.a[/B][*] c:\users\awesome\appdata\roaming\searchindexer\desktopsearchservice.exe - [B]Trojan.Win32.Miner.aan[/B] ( BitDefender: Trojan.GenericKDV.1093551, AVAST4: Win32:Malware-gen )[*] c:\users\awesome\appdata\roaming\searchindexer\moduleinno.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.hon[/B][*] c:\windows\system32\cam2_sv.exe - [B]not-a-virus:Monitor.Win32.Cameras.c[/B] ( DrWEB: Program.CamSpy, BitDefender: Trojan.Generic.5579505, NOD32: Win32/Spy.Agent.NUZ trojan, AVAST4: Win32:Malware-gen )[*] d:\bfmejybodf.bat - [B]Worm.Win32.Agent.adx[/B] ( DrWEB: Trojan.MulDrop1.48542, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] e:\bfmejybodf.bat - [B]Worm.Win32.Agent.adx[/B] ( DrWEB: Trojan.MulDrop1.48542, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[/LIST][/LIST]