Вирус app.vbe появился снова. [Trojan.Win32.Yakes.dzpz ]

Printable View

Показывать 40 сообщений этой темы на одной странице

11.02.2014, 12:55
Ромарио161

Вложений: 3

Вирус app.vbe появился снова. [Trojan.Win32.Yakes.dzpz ]

[COLOR=#333333][COLOR=#333333]Здравствуйте![/COLOR][/COLOR]
[COLOR=#333333][COLOR=#333333]На флешку попал вирус, который скрыл все файлы и папки и создал ярлыки. Когда флешка была вставлена в компьютер - вирус с флешки заразил и его. Мы с вами вылечили этот вирус, прошло недели 2 и он сейчас снова появился.
Вирус, как я понял, app.vbe. по всякому пробовал удалить, но, увы, не получилось.
[/COLOR][/COLOR][COLOR=#333333][COLOR=#333333]Заранее огромное спасибо за помощь![/COLOR][/COLOR]
11.02.2014, 12:57
Info_bot

Уважаемый(ая) [B]Ромарио161[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.02.2014, 20:50
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\ProgramData\CreativeAudio\dtdasndku.exe','');
QuarantineFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','');
QuarantineFile('C:\TEMP\Adobe\Reader_sl.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','');
TerminateProcessByName('c:\recycler\mscinet.exe');
QuarantineFile('c:\recycler\mscinet.exe','');
TerminateProcessByName('c:\users\Ромарио\appdata\roaming\2aeb.exe');
QuarantineFile('c:\users\Ромарио\appdata\roaming\2aeb.exe','');
TerminateProcessByName('c:\users\Ромарио\appdata\roaming\23f8.exe');
QuarantineFile('c:\users\Ромарио\appdata\roaming\23f8.exe','');
DeleteFile('c:\users\Ромарио\appdata\roaming\23f8.exe','32');
DeleteFile('c:\users\Ромарио\appdata\roaming\2aeb.exe','32');
DeleteFile('c:\recycler\mscinet.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','32');
DeleteFile('C:\TEMP\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Kczqza');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorpo-rated');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Security Fire-wall Manager');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xetcwow');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1ne331');
DeleteFile('C:\ProgramData\CreativeAudio\dtdasndku.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','CreativeAudio');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [Babakan] cmd.exe /k if %date:~6,4%%date:~3,2%%date:~0,2% LEQ 20131027 (exit) else (start http://dinoraptzor.org && exit)
O4 - HKLM\..\Policies\Explorer\Run: [60113] c:\progra~3\msptywe.exe[/CODE]

Обновите базы AVZ

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
12.02.2014, 10:51
Ромарио161

Вложений: 3

Новые логи

новые логи
12.02.2014, 11:28
Vvvyg

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM всё, [B]кроме[/B]:[/url][code]D:\Ромарио\KOMPAS-3D_V8_[tfile.ru]\Program Files\ASCON\KOMPAS-3D V8\Libs\FTDraw\FTSCALC.exe (Trojan.FakeAlert.DF) -> Действие не было предпринято.
D:\Ромарио\Soft\Convectors\SonicFoundry Sound Forge 6 Rus\Keygen.exe (Trojan.Dynamer) -> Действие не было предпринято.
D:\Ромарио\Soft\Convectors\SonicFoundry Sound Forge 6 Rus\SoundForge6.EXE (Trojan.Dynamer) -> Действие не было предпринято.
D:\Ромарио\Soft\Fine Reader 8\Keygen.exe (Riskware.Took.CK) -> Действие не было предпринято.
D:\Ромарио\Soft\Win Rar 362 Rus\Key\Crack\Crack.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
D:\Ромарио\Soft\Win Rar 362 Rus\Key\Unblack\Unblack.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
D:\Ромарио\Soft\Компас 8\Program Files\ASCON\KOMPAS-3D V8\Libs\FTDraw\FTSCALC.exe (Trojan.FakeAlert.DF) -> Действие не было предпринято.
D:\Ромарио\Soft\КОМПАС9\KOMPAS-3D V9\Crack\hl_mull.sys (Rootkit.Agent) -> Действие не было предпринято.
D:\Ромарио\Скачанное\CyberLink PowerDVD 11.0.2329.53 Ultra\Keygen.exe (RiskWare.Tool.HCK) -> Действие не было предпринято.[/code]

Пришлите запрошенный карантин.

Перезагрузите систему и сделайте новый лог полного сканирования МВАМ.
12.02.2014, 13:33
Ромарио161

Вложений: 1

новый лог полного сканирования МВАМ

новый лог полного сканирования МВАМ
12.02.2014, 14:22
Vvvyg

[NOTICE]Удалите Malwarebytes Anti-Malware, его использование в качестве антивируса с постоянной защитой не рекомендуется, особенно совместно с другими защитными продуктами.[/NOTICE]

Скачайте утилиту [URL=http://oldtimer.geekstogo.com/OTL.exe]OTL by OldTimer[/URL]. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

[B]Scan All Users[/B]
[B]Include 64Bit Scans[/B] - в случае 64-разрядной системы;
Output: [B]Minimal Output[/B];
File Scans: [B]Use Company-Name WhiteList[/B] и [B]Skip Microsoft Files[/B];
[B]Lop Check[/B];
[B]Purity Check[/B].

В окне [B]File Age[/B] установите [B]30 days[/B]
Остальные параметры оставьте по умолчанию.

Скопируйте текст:
[CODE]%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%ALLUSERSPROFILE%\ntuser.pol
%SystemRoot%\System32\GroupPolicy\Machine\Registry.pol[/CODE]

в окно [B]Custom Scans/Fixes [/B] и нажмите [B][COLOR="#0000CD"]Run Scan[/COLOR][/B].

По окончании сканирования программа создаст в той же папке, где находится она сама, два файла: [B]OTL.txt[/B] и [B]Extras.txt[/B]. Упакуйте их в архив и прикрепите к своему следующему сообщению.
12.02.2014, 14:46
Ромарио161

Вложений: 1

логи otl

логи otl
12.02.2014, 15:30
Vvvyg

Отключите до перезагрузки антивирус, запустите OTL ([b]В случае, если у Вас Windows Vista или 7, программу нужно запускать от имени администратора, через контекстное меню (правой клавишей мыши по файлу) "Запуск от имени администратора"![/b]), скопируйте скрипт ниже в окно [B]Custom Scans/Fixes[/B], закройте все браузеры и нажмите [B][COLOR="#FF0000"]Run Fix[/COLOR][/B][CODE]:OTL
O4 - HKU\S-1-5-21-3937136908-3373937320-2712404057-1000..\Run: [Kczqza] C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run: 60113 = c:\progra~3\mshgaoh.exe
[2014.02.12 00:06:55 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\AB81.exe
[2014.02.11 23:47:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\7BF5.exe
[2014.02.11 23:25:30 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\BCE4.exe
[2014.02.11 23:04:06 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\266C.exe
[2014.02.11 22:42:38 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\7E36.exe
[2014.02.11 22:22:07 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\B73D.exe
[2014.02.11 22:00:27 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\E1C0.exe
[2014.02.11 21:17:10 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\3F22.exe
[2014.02.11 20:56:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\F053.exe
[2014.02.11 20:35:01 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\A7DD.exe
[2014.02.11 20:13:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\90DC.exe
[2014.02.11 19:51:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\6D22.exe
[2014.02.11 19:07:10 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\3B50.exe
[2014.02.11 18:46:03 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\E7FE.exe
[2014.02.11 18:24:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\C6D3.exe
[2014.02.11 18:02:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\A22F.exe
[2014.02.11 17:18:56 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\22BB.exe
[2014.02.11 16:56:46 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\DA13.exe
[2014.02.11 16:35:02 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\F137.exe
[2014.02.11 16:13:04 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\D4FB.exe
[2014.02.11 15:30:23 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\C421.exe
[2014.02.11 15:08:24 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\A43E.exe
[2014.02.11 14:46:42 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\C2A4.exe
[2014.02.11 14:25:00 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\E691.exe
[2014.02.11 14:02:42 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\7AD2.exe
[2014.02.11 13:40:27 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\1B5E.exe
[2014.02.11 13:18:39 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\26AF.exe
[2014.02.11 12:56:50 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\2F83.exe
[2014.02.11 12:17:42 | 000,300,544 | ---- | C] (Intel Pentium 4) -- C:\Users\Ромарио\AppData\Roaming\5C52.exe
[2014.01.30 11:57:06 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\MediaPlayerV1
[2014.01.30 11:58:21 | 000,000,396 | RHS- | M] () -- C:\ProgramData\ntuser.pol

:Commands
[purity]
[Reboot][/CODE]
Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

Выполните скрипт в AVZ:[CODE]begin
ClearQuarantineEx(True);
QuarantineFileF('C:\_OTL', '*', true,'', 0, 0, '', '', '');
DeleteFileMask('C:\_OTL','*',true);
DeleteDirectory('C:\_OTL');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
12.02.2014, 16:12
Ромарио161

Вложений: 1

лог otl

лог otl
12.02.2014, 20:19
Vvvyg

Порядок.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
12.02.2014, 20:24
Ромарио161

спасибо, уязвимости найдены не были. но еще пара вопросов:
1.в папке Roaming остался еще один файл похожий на вирус. может еще где есть...
2.вирус сейчас еще есть на телефоне. подскажите как лучше от него избавиться и не потерять данные?
12.02.2014, 20:46
Vvvyg

Поподробнее: телефон подключен, как диск по USB, и антивирус находит на нём вирус?
12.02.2014, 20:50
Ромарио161

брал телефон с собой и подключил к другому компьютеру(ноутбуку) и там тоже появился этот вирус. те же признаки.
12.02.2014, 22:03
Vvvyg

Второй компьютер лечить в отдельной теме нужно.

Скачайте программу [URL="http://yadi.sk/d/SWV-neIQAxrZ5"]Universal Virus Sniffer[/URL] UVS. Распакуйте архив полностью, например, на рабочий стол. Откройте папку с UVS и запустите файл start.exe от имени администратора через контекстное меню (правой клавишей мыши по файлу) "Запуск от имени администратора". В открывшимся окне выберите пункт "Запустить под текущим пользователем".
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v3.81.11 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

adddir C:\Users\Ромарио\AppData\Roaming
crimg[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.

Программа создаст полный образ автозапуска и упакует его в архив 7-Zip с именем, начинающимся с имени компьютера (ROMARIO в Вашем случае) и расширением .7Z, прикрепите этот файл к своему следующему сообщению (если нет места для вложений - на rghost.ru и ссылку в тему).
13.02.2014, 08:47
Ромарио161

это нужно сделать на ноутбуке?
13.02.2014, 09:23
Vvvyg

На том, на котором делались логи в этой теме. Для ноутбука заводите новую тему, логи с него туда.
13.02.2014, 10:01
Ромарио161

[url]http://rghost.ru/52396845[/url]
13.02.2014, 10:22
Vvvyg

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

offsgnsave

; C:\USERS\РОМАРИО\APPDATA\ROAMING\DA13.EXE
addsgn 1AA3419A5583C58CF42BC4BD0CC8D0452562B5E289FA2C870CBE218F905D044018E0CCC2FE6E5A3C3368678C46168EFA6BDFE872BD5CA32C2DF46CD02EB22273 24 Trojan.Win32.Yakes.dzpz [Kaspersky]

chklst
delvir

restart[/code]Компьютер перезагрузится.

Сообщите, что с проблемами.
13.02.2014, 10:30
Ромарио161

C:\USERS\РОМАРИО\APPDATA\ROAMING\DA13.EXE - все еще на месте, а так вроде все хорошо наверно.

Показывать 40 сообщений этой темы на одной странице