Вирус заразил флешку и перескочил на комп. [Worm.Win32.Ngrbot.yxw, Backdoor.Win32.Androm.bmlx, Trojan-Spy.Win32.Zbot.rive ]

Printable View

30.01.2014, 17:37
Ромарио161

Вложений: 3

Вирус заразил флешку и перескочил на комп. [Worm.Win32.Ngrbot.yxw, Backdoor.Win32.Androm.bmlx, Trojan-Spy.Win32.Zbot.rive ]

[COLOR=#333333]Здравствуйте![/COLOR]
[COLOR=#333333]На флешку попал вирус, который скрыл все файлы и папки и создал ярлыки. Когда флешка была вставлена в компьютер - вирус с флешки заразил и его.
Вирус, как я понял, app.vbe. по всякому пробовал удалить, но, увы, не получилось.
[/COLOR][COLOR=#333333]Заранее огромное спасибо за помощь![/COLOR]
30.01.2014, 17:38
Info_bot

Уважаемый(ая) [B]Ромарио161[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
30.01.2014, 18:14
Никита Соловьев

[URL="http://virusinfo.info/showthread.php?t=7239"][COLOR="#ff0033"][SIZE=3][FONT=Century Gothic]Выполните скрипт в AVZ:[/FONT][/SIZE][/COLOR][/URL]

[CODE]
BEGIN
ClearQuarantine;
TerminateProcessByName('c:\users\Ромарио\appdata\roaming\808a.exe');
TerminateProcessByName('c:\users\Ромарио\appdata\roaming\c60f.exe');
TerminateProcessByName('c:\users\Ромарио\appdata\roaming\b5e7.exe');
TerminateProcessByName('c:\users\Ромарио\appdata\roaming\9016.exe');
QuarantineFile('c:\progra~3\msvbpcd.exe','');
QuarantineFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','');
QuarantineFile('C:\TEMP\Adobe\Reader_sl.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','');
QuarantineFile('c:\users\Ромарио\appdata\roaming\b5e7.exe','');
QuarantineFile('c:\users\Ромарио\appdata\roaming\c60f.exe','');
QuarantineFile('c:\program files (x86)\common files\adobe\arm\1.0\armsvc.exe','');
QuarantineFile('c:\users\Ромарио\appdata\roaming\9016.exe','');
QuarantineFile('c:\users\Ромарио\appdata\roaming\808a.exe','');
DeleteFile('c:\users\Ромарио\appdata\roaming\808a.exe','32');
DeleteFile('c:\users\Ромарио\appdata\roaming\9016.exe','32');
DeleteFile('c:\users\Ромарио\appdata\roaming\c60f.exe','32');
DeleteFile('c:\users\Ромарио\appdata\roaming\b5e7.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','32');
DeleteFile('C:\TEMP\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','32');
DeleteFile('c:\progra~3\msvbpcd.exe','32');
DeleteFile('C:\Users\Ромарио\AppData\Local\SwvUpdater\Updater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp.job','64');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1ne331');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xetcwow');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Kczqza');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','60113');
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,false);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
END.
[/CODE]

Компьютер будет перезагружен.

Используйте ссылку "[B]Прислать запрошенный карантин[/B]", которая находится над первым сообщением этой темы, чтобы прислать [B]quarantine.zip[/B].

Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.
30.01.2014, 19:13
Ромарио161

Вложений: 2

Новые отчеты
30.01.2014, 19:24
Никита Соловьев

[URL="http://virusinfo.info/showthread.php?t=7239"][COLOR="#ff0033"][SIZE=3][FONT=Century Gothic]Выполните скрипт в AVZ:[/FONT][/SIZE][/COLOR][/URL]

[CODE]
BEGIN
ClearQuarantine;
DeleteFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','32');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp.job','64');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Kczqza');
DeleteFileMask('C:\Users\Ромарио\AppData\Local\SwvUpdater','*',true);
DeleteDirectory('C:\Users\Ромарио\AppData\Local\SwvUpdater');
ExecuteSysClean;
RebootWindows(true);
END.
[/CODE]

Компьютер будет перезагружен.

Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.
30.01.2014, 19:57
Ромарио161

Вложений: 2

еще новые отчеты
30.01.2014, 20:00
Никита Соловьев

Проблема решена?
30.01.2014, 20:06
Ромарио161

да) спасибо огромное) а в папке Roaming так и остались всякие файлый похожие на то вирус(
30.01.2014, 20:09
Никита Соловьев

[URL="http://virusinfo.info/showthread.php?t=115256"]Сделайте отчет программы RSIT.[/URL] Давайте посмотрим, что осталось неактивное.
30.01.2014, 20:11
Ромарио161

а все) пропали) спасибо большое) скажите, на каждом компьютере все по разному делать? а то есть еще парочку таких, но не под рукой.
30.01.2014, 20:14
Никита Соловьев

Для других компьютеров нужно создать отдельные темы и предоставить отчёты. Скрипты из этой темы выполнять нельзя.
30.01.2014, 20:14
Ромарио161

Вложений: 2

RSIT
30.01.2014, 20:17
Никита Соловьев

C:\Windows\tasks\AmiUpdXp.job удалите вручную. Больше никаких подозрительных файлов нет.
30.01.2014, 20:19
Ромарио161

спасибо вам огромное)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

как в будущем предохраниться от этого?
30.01.2014, 20:22
Никита Соловьев

[quote]как в будущем предохраниться от этого?[/quote]
Читайте наши рекомендации, ссылка в сообщении ниже.
30.01.2014, 20:32
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\progra~3\msvbpcd.exe - [B]Backdoor.Win32.Androm.bmlx[/B] ( BitDefender: Trojan.GenericKD.1522804, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe - [B]Backdoor.Win32.Azbreg.xzx[/B] ( BitDefender: Trojan.GenericKD.1500479, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe - [B]Trojan-Proxy.Win32.Lethic.blh[/B] ( DrWEB: Win32.HLLW.Autoruner1.30405, BitDefender: Trojan.GenericKD.1429034, AVAST4: Win32:Inject-BAI [Trj] )[*] c:\temp\adobe\reader_sl.exe - [B]Worm.Win32.Ngrbot.yxw[/B][*] c:\users\ромарио\appdata\roaming\identities\kczqza.exe - [B]Trojan-Spy.Win32.Zbot.rive[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]