Здравствуйте! Столкнулся с проблемой - ярлыки на флешке! Копал копал в инете решение, в итоге пришел к тому что вирус со шлешки удалить могу, но он остался на компе. Вирус удаляется только после остановки хост-процесса в папке SysWOW64. помогите, вот логи
Уважаемый(ая) [B]Дядя_Боря[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
ExecuteAVUpdate;
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\Борис\appdata\local\temp\adobe\reader_sl.exe','');
QuarantineFile('C:\Users\Борис\AppData\Roaming\Update\MSupdate.exe','');
QuarantineFile('C:\Users\Борис\AppData\Roaming\Identities\Eyrirm.exe','');
QuarantineFile('C:\Users\Борис\AppData\Roaming\Identities\aecpm\aecpm.exe','');
QuarantineFile('C:\Users\9532~1\AppData\Local\Temp\Adobe\Reader_sl.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-61512311\7da854sa1.exe','');
QuarantineFile('C:\ProgramData\CreativeAudio\mwvaztybt.exe','');
DeleteFile('C:\PROGRA~3\msyjfphs.exe','32');
DeleteFile('C:\ProgramData\CreativeAudio\mwvaztybt.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-61512311\7da854sa1.exe','32');
DeleteFile('C:\Users\9532~1\AppData\Local\Temp\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Users\Борис\AppData\Roaming\Identities\aecpm\aecpm.exe','32');
DeleteFile('C:\Users\Борис\AppData\Roaming\Identities\Eyrirm.exe','32');
DeleteFile('C:\Users\Борис\AppData\Roaming\Update\MSupdate.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC','64');
DeleteFile('C:\Users\Борис\appdata\local\temp\adobe\reader_sl.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','573249123');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CreativeAudio');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Eyrirm');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
- [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]
отправил карантинку и сделал образ...что дальше?
Дальше прикрепите новые логи в вашей теме. Если лог uVS окажется очень большим загрузите его сюда [url]http://www.rghost.ru[/url] , а ссылку напишите в своем следующем сообщении.
вот лог uVS
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
что дальше то ребят???? Комп продолжает заражать! Вирусы вижу в AppData - Rouming! семь экзишных монстров!
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.83 BETA 10 [http://dsrt.dyndns.org]
;Target OS: NTv6.2
BREG
addsgn 1AAF609A5583528CF42B254E3143FE8E608277F608C27C0BE823B096D3AE614F563348172A68BD4CB899F08A7B374C6964ABE64F77DF23355970992F879F2306 8 Worm.Win32.Ngrbot
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6177711\7DA77SA1.EXE
zoo %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-61208711\ZY126D0107.EXE
bl 428DB90F9AE70DFE8701658F96F102B7 65024
bl B80A4D5318AAA505FC00020DEB46C8F2 65024
zoo %SystemDrive%\USERS\БОРИС\APPDATA\ROAMING\C731200
bl 753303B69976678887A8D605925D8CFF 134144
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-615643\61BF266.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-60345611\7D234SA1.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-61345611\7D854SA1.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-60193611\7DA5SA1.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6177711\7DA77SA1.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-61512311\7DA854SA1.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6011411\7DZ15SA1.EXE
delall %SystemDrive%\USERS\БОРИС\APPDATA\ROAMING\IDENTITIES\EYRIRM.EXE
addsgn 1A924F9A5583528CF42B254E3143FE84C91EF9F6895B636AC4C3F679D9938DC7661B9564C8DC18C5D17F7B16F386B30582565DFAAF254F155867D128F4C6CBE5 8 Trojan.Win32.Yakes.fjwm [Kaspersky]
zoo %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO\HEMXCCAPE.EXE
bl E9A09951CB8F3564E03B893C94630FA9 264704
delall %SystemDrive%\USERS\9532~1\APPDATA\LOCAL\TEMP\KUTYLDS.EXE
delall %SystemDrive%\RECYCLER\MSCINET.EXE
delall %SystemDrive%\USERS\БОРИС\APPDATA\ROAMING\UPDATE\MSUPDATE.EXE
delall %SystemDrive%\PROGRA~3\MSYJFPHS.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-60173511\Z511DU0.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-60173511\Z666DU0.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-61208711\ZY126D0107.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6201011\ZY26010.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-62071011\ZY260107.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6208711\ZY26D0107.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6124511\ZY5126D0.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6100001\ZY60068606.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-601011\ZY6010.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6110100101\ZY65446.EXE
delref HTTP://MAIL.RU/CNT/10445?GP=PROFITRAF6
delref HTTP://MAIL.RU/CNT/7993/
zoo %SystemDrive%\USERS\БОРИС\DESKTOP\ВИРУС.BAT
chklst
delvir
deltmp
czoo
restart[/CODE]
Сделайте новый образ автозапуска следующим образом:
[LIST=1][*]Закройте все программы, [B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО.[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE];uVS v3.82 script [http://dsrt.dyndns.org]
adddir %SystemDrive%\USERS\БОРИС\APPDATA\ROAMING
crimg
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы.[*]После этого в папке с программой будет создан образ автозапуска название, которого имеет формат [B]"имя_компьютера_дата_сканирования"[/B]. Прикрепите этот образ к следующему сообщению[*][INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][/LIST]
вот
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
точнее вот! http://rghost.ru/57117754
Этот C:\USERS\БОРИС\DESKTOP\ВИРУС.BAT файл удалите. Что с проблемой?
тишина пока!))) спасибо вроде как))))
[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://virusinfo.info/soft/tool.php?tool=SecurityCheck"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\creativeaudio\mwvaztybt.exe - [B]Trojan.Win32.Yakes.fiwc[/B] ( BitDefender: Gen:Variant.Symmi.44382, AVAST4: Win32:Crypt-REF [Trj] )[*] c:\users\борис\appdata\local\temp\adobe\reader_sl.exe - [B]Worm.Win32.Ngrbot.agdh[/B][*] c:\users\борис\appdata\roaming\identities\eyrirm.exe - [B]Worm.Win32.Ngrbot.afyz[/B] ( BitDefender: Trojan.GenericKD.1766022, AVAST4: Win32:Injector-BWU [Trj] )[*] c:\users\9532~1\appdata\local\temp\adobe\reader_sl.exe - [B]Worm.Win32.Ngrbot.agdh[/B][*] \hemxccape.exe._280ff8a7ca85ce91d5ab16405e90be8c5af2f7bc - [B]Trojan.Win32.Yakes.fjwm[/B] ( BitDefender: Trojan.GenericKD.1775571, AVAST4: Win32:Malware-gen )[/LIST][/LIST]