Непрерывный спам и загрузка ненужных программ на жесткий диск [Trojan.MSIL.Agent.fedb ]

Printable View

13.08.2014, 18:11
Gorgul'ja

Непрерывный спам и загрузка ненужных программ на жесткий диск [Trojan.MSIL.Agent.fedb ]

Кратко: Жесткий диск постоянно перегружается; Администратор оказался сломан и пришлось добавлять нового; Спам лезет всюду, удалил из реестра спамный раздел, который загружался раньше антивируса, теперь словно в насмешку особенно яростно атакуются сайты официальные и информационные об антивирусах. Антивирус "Avast!".
13.08.2014, 18:13
Info_bot

Уважаемый(ая) [B]Gorgul'ja[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
13.08.2014, 22:07
Vvvyg

Сделайте логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL].
14.08.2014, 13:22
Gorgul'ja

Вложений: 3

Загрузка приложений

По приложениям не архивируется, заархивировал сам по инструкции.
14.08.2014, 13:51
Vvvyg

Не надо было ничего переименовывать и паковать, AVZ сам должен был создать архивы virusinfo_syscheck.zip и virusinfo_syscheck.zip.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Sysconfig');
StopService('SuperFitch_x86');
StopService('Officecompiler');
StopService('MicrosoapFileManager');
StopService('Loadmnge32');
StopService('Host32manager');
StopService('FirewallIntegrityChecker');
StopService('dsp');
StopService('DiskAnalysis');
QuarantineFile('C:\ProgramData\Sysconfig\Sysconfig.exe','');
QuarantineFile('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86\SuperFitch_x86.exe','');
QuarantineFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler\Officecompiler.exe','');
QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager\MicrosoapFileManager.exe','');
QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32\Loadmnge32.exe','');
QuarantineFile('C:\ProgramData\Host32manager\Host32manager.exe','');
QuarantineFile('C:\ProgramData\Firewall Integrity Checker\FirewallIntegrityChecker.exe','');
QuarantineFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector\dsp.exe','');
QuarantineFile('C:\ProgramData\Disk Analysis\DiskAnalysis.exe','');
DeleteFile('C:\ProgramData\Disk Analysis\DiskAnalysis.exe','32');
DeleteFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector\dsp.exe','32');
DeleteFile('C:\ProgramData\Firewall Integrity Checker\FirewallIntegrityChecker.exe','32');
DeleteFile('C:\ProgramData\Host32manager\Host32manager.exe','32');
DeleteFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32\Loadmnge32.exe','32');
DeleteFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager\MicrosoapFileManager.exe','32');
DeleteFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler\Officecompiler.exe','32');
DeleteFile('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86\SuperFitch_x86.exe','32');
DeleteFile('C:\ProgramData\Sysconfig\Sysconfig.exe','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA','32');
DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsUpdate','32');
DeleteFile('C:\Windows\system32\Tasks\UpnCH','32');
DeleteFile('C:\Windows\system32\Tasks\VuuPCUpdate','32');
DeleteFile('C:\Windows\system32\Tasks\VuuPCUpdateLogin','32');
DelBHO('{fe063412-bea4-4d76-8ed3-183be6220d17}');
DelBHO('{ad708c09-d51b-45b3-9d28-4eba2681febf}');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
DelBHO('{11111111-1111-1111-1111-110211771193}');
DelBHO('{0FB6A909-6086-458F-BD92-1F8EE10042A0}');
DelBHO('{0E8A89AD-95D7-40EB-8D9D-083EF7066A01}');
DeleteService('VuuPCConnectivity');
DeleteService('Sysconfig');
DeleteService('SuperFitch_x86');
DeleteService('RemoteEngineService');
DeleteService('Officecompiler');
DeleteService('MicrosoapFileManager');
DeleteService('Loadmnge32');
DeleteService('Host32manager');
DeleteService('FirewallIntegrityChecker');
DeleteService('dsp');
DeleteService('DiskAnalysis');
DeleteService('BrowserDefendert');
DeleteService('bonanzadealslivem');
DeleteService('bonanzadealslive');
DeleteFileMask('C:\ProgramData\Sysconfig','*',true);
DeleteFileMask('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86','*',true);
DeleteFileMask('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler','*',true);
DeleteFileMask('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager','*',true);
DeleteFileMask('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32','*',true);
DeleteFileMask('C:\ProgramData\Host32manager','*',true);
DeleteFileMask('C:\ProgramData\Firewall Integrity Checker','*',true);
DeleteFileMask('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector','*',true);
DeleteFileMask('C:\ProgramData\Disk Analysis','*',true);
DeleteDirectory('C:\ProgramData\Sysconfig');
DeleteDirectory('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86');
DeleteDirectory('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler');
DeleteDirectory('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager');
DeleteDirectory('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32');
DeleteDirectory('C:\ProgramData\Host32manager');
DeleteDirectory('C:\ProgramData\Firewall Integrity Checker');
DeleteDirectory('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector');
DeleteDirectory('C:\ProgramData\Disk Analysis');
BC_ImportDeletedList;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Скачайте утилиту [URL=http://oldtimer.geekstogo.com/OTL.exe]OTL by OldTimer[/URL]. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

[B]Scan All Users[/B]
[B]Include 64Bit Scans[/B] - в случае 64-разрядной системы;
Output: [B]Minimal Output[/B];
File Scans: [B]Use Company-Name WhiteList[/B] и [B]Skip Microsoft Files[/B];
[B]Lop Check[/B];
[B]Purity Check[/B].

В окне [B]File Age[/B] установите [B]30 days[/B]
Остальные параметры оставьте по умолчанию.
Скопируйте текст
[CODE]%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%CommonProgramFiles%\*.*[/CODE]
в окно [B]Custom Scans/Fixes [/B] и нажмите [B][COLOR="#0000CD"]Run Scan[/COLOR][/B].

После окончания сканирования программа создаст два файла: OTL.TXT и EXTRAS.TXT, упакуйте их в архив ZIP или RAR и прикрепите их к своему следующему сообщению в теме.
14.08.2014, 19:32
Gorgul'ja

Вложений: 1

Сделал, надеюсь правильно.
14.08.2014, 19:44
Vvvyg

Ок, жду лог OTL.
14.08.2014, 20:16
Gorgul'ja

Вложений: 1

Сделал в "OTL by OldTimer"
14.08.2014, 20:44
regist

LoviVideo - вам знакомо?

VuuPC Packages - если есть в установленных программах деинсталируйте. Программы от mail.ru если не используете тоже.

Выполните скрипт в AVZ

[CODE]begin
ExecuteRepair(3);
ExecuteRepair(4);
RebootWindows(false);
end.[/CODE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
14.08.2014, 22:47
Vvvyg

Отключите до перезагрузки антивирус, запустите OTL (в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора[/B]), скопируйте скрипт ниже в окно [B]Custom Scans/Fixes[/B], закройте все браузеры и нажмите [B][COLOR="#FF0000"][SIZE=4]Run Fix[/SIZE][/COLOR][/B][CODE]:processes

:OTL
SRV - (Guard.Mail.ru) -- C:\Program Files\Mail.Ru\Guard\GuardMailRu.exe File not found
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\..\SearchScopes\{3E0C9769-C75E-4D54-9BA8-ACE7DDE006DD6B4}: "URL" = http://startru.net/?q={searchTerms}&utm_medium=cse&utm_source=afo6&utm_campaign=bp&utm_content=11-11
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\..\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633}: "URL" = http://webalta.ru/search?q={searchTerms}&from=IE
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1004\SOFTWARE\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www.delta-search.com/?affID=122471&babsrc=HP_ss&mntrId=C665BCAEC596918D
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1004\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://www.delta-search.com/?q={searchTerms}&affID=122471&babsrc=SP_ss&mntrId=C665BCAEC596918D
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1004\..\SearchScopes\0D444DE227BD4EFCDACE1B8F46A01F00: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1269415&CUI=UN33829765232096953&UM=1
[2013.06.09 23:26:46 | 000,000,000 | ---D | M] ("CouponDropDown Plugin") -- C:\Users\111\AppData\Roaming\mozilla\Firefox\Profiles\nahd6ha2.default\extensions\a9528187-9e1d-47f0-8785-a2aee4da22a2@82b0648f-3df8-4fbb-bfb1-b8aa08d473a7.com
[2013.06.09 23:26:46 | 000,000,000 | ---D | M] (No name found) -- C:\Users\111\AppData\Roaming\mozilla\Firefox\Profiles\nahd6ha2.default\extensions\a9528187-9e1d-47f0-8785-a2aee4da22a2@82b0648f-3df8-4fbb-bfb1-b8aa08d473a7.com\chrome\content\extensionCode
[2012.03.13 00:34:56 | 000,000,412 | ---- | M] () -- C:\Users\111\AppData\Roaming\mozilla\firefox\profiles\nahd6ha2.default\searchplugins\webalta-search.xml
File not found (No name found) -- C:\USERS\Р”РЁРЈР°\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\NAHD6HA2.DEFAULT\EXTENSIONS\{6221D3F4-D69D-46E5-B989-B5FDE79C2247}.XPI
O4 - HKLM..\Run: [HFALoader] C:\Program Files\Hamster Soft\Hamster Lite Archiver\HamsterArc.exe -loader File not found
O4 - HKU\S-1-5-21-3593483874-728133789-3019071530-1000..\Run: [b0da6267226c171e64e775cfa130a1d416670b0cf956e52b] iexplore.exe File not found
[2012.10.07 16:50:20 | 000,000,000 | ---D | M] -- C:\Users\111\AppData\Roaming\Rublik
[2012.03.08 17:00:04 | 000,000,000 | ---D | M] -- C:\Users\111\AppData\Roaming\TicnoTemp
[2013.01.31 16:51:34 | 000,000,000 | ---D | M] -- C:\Users\Алена\AppData\Roaming\Zona
[2013.06.08 20:17:46 | 000,000,000 | ---D | M] -- C:\Users\Анатолий\AppData\Roaming\BabSolution
[2013.06.08 20:17:20 | 000,000,000 | ---D | M] -- C:\Users\Анатолий\AppData\Roaming\Babylon
[2013.11.20 15:30:44 | 000,000,000 | ---D | M] -- C:\Users\Анатолий\AppData\Roaming\0C1I1L1R1J0M1P0I1G
@Alternate Data Stream - 151 bytes -> C:\ProgramData\TEMP:41ADDB8A
@Alternate Data Stream - 136 bytes -> C:\ProgramData\TEMP:A064CECC

:Files

msiexec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022F0} /quiet /qn /norestart /c
msiexec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216035FF} /quiet /qn /norestart /c

:Commands
[EMPTYTEMP]
[purity]
[Reboot][/CODE]
Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.
15.08.2014, 14:09
Gorgul'ja

Вложений: 2

Отправляю следующие вложения
15.08.2014, 19:58
Vvvyg

Запустите OTL.EXE и нажмите [B]Cleanup[/B].

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B], по окончании сканирования уберите галочки на вкладке [B]Папки[/B] и со всех пунктов, где упоминаются Mail.Ru [B]если используете программы от этого портала[/B] и MediaGet2/Media Get LLC - если пользуете этот торрент-качальщик.

Затем нажмите [B]Очистить[/B] и по окончании удаления перезагрузите систему по требованию программы.

Сообщите, что с проблемой.
16.08.2014, 22:11
Gorgul'ja

Реклама продолжает лезть. Преимущественно порнографического характера. Открываются новые страницы игровых порталов. Я, конечно могу поставить на браузеры "Adblock Plus": "chrome-extension://cfhdojbkjhnklbpkdaibdccddilifddb/options.html" - но это не решает проблемы. Очень хочется избавиться от диверсантов.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Да, и подскажите, как восстановить администратора. Неужели придется переустанавливать систему?
16.08.2014, 22:22
Vvvyg

Если есть учётная запись с правами администратора - не нужно.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
17.08.2014, 14:07
Gorgul'ja

Вложений: 1

Прикрепил "образ админитсратора". Что делать дальше?
17.08.2014, 21:32
Vvvyg

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83 BETA 16 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

exec MsiExec.exe /I{12644DC5-2271-442B-816F-8CFFD3DDDF32} /qn /quiet
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022F0} /qn /quiet
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216035FF} /qn /quiet
exec MsiExec.exe /I{D492942E-9368-48D9-BB8B-68E8E4CE2D43} /qn /quiet
exec MsiExec.exe /I{BD06D01B-EB89-4B53-8814-ADFE562D0434} /qn /quiet
exec MsiExec.exe /I{65C64E3D-539F-4B81-993B-364C6169F8F5} /qn /quiet
regt 29
deltmp
delnfr
restart
[/code]Компьютер перезагрузится.

[NOTICE]Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Обновите Java 7 до [URL="http://www.java.com/ru/download/manual.jsp"]Java 7 Update 67[/URL]. Уязвимости Java являются частой причиной взлома и заражения системы и поэтому это потенциальная дыра в безопасности.[/NOTICE]

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].
[URL="http://www.java.com/ru/download/help/plugin_cache.xml"]Очистите кэш Java[/URL].
20.08.2014, 16:11
Gorgul'ja

Всё вычистил, всё вроде бы нормально.
20.08.2014, 17:14
regist

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
20.08.2014, 17:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\disk analysis\diskanalysis.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\programdata\firewall integrity checker\firewallintegritychecker.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\programdata\host32manager\host32manager.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\programdata\sysconfig\sysconfig.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\users\default\appdata\local\microsoft\super fitch x86\superfitch_x86.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\users\default\appdata\local\microsoft\windows\default settings protector\dsp.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\users\default\appdata\local\microsoft\windows\officecompiler\officecompiler.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\users\default\appdata\roaming\microsoft\windows\loadmnge32\loadmnge32.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[*] c:\users\default\appdata\roaming\microsoft\windows\microsoap file manager\microsoapfilemanager.exe - [B]Trojan.MSIL.Agent.fedb[/B] ( BitDefender: Trojan.Generic.11380619 )[/LIST][/LIST]