Блокировка Аваста и выскакивающее окошко iexplorer.exe [Trojan-Spy.Win32.SpyEyes.aqyn, Trojan.Win32.Yakes.fxpn ]

Printable View

10.09.2014, 16:44
ermolay_s

Вложений: 2

Блокировка Аваста и выскакивающее окошко iexplorer.exe [Trojan-Spy.Win32.SpyEyes.aqyn, Trojan.Win32.Yakes.fxpn ]

Здравствуйте!

Принесли мне ноут, старенький, с WindowsXP и кучей проблем и вирусов. Поковырявшись, решил очистить ноут от вирусов с помощью CureIt b восстановить систему с дистрибутива, что и сделал.
На данный момент обстановка на ноуте такая:
Снова в безопасном режиме сделал полную зачистку с помощью CureIt (более 10 вирусов обезврежено).
Бывший установленный Avast не включается, блокируется.
Блокируется выход на сайт Avast с любого браузера. На другие сайты зайти могу.
Блокируется установку (догрузку) антивируса Avast.
Каждые пол минуты на доли секунды появляется окошко с текстом (успел заскриншотить): "iexplore.exe - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства."

Буду очень благодарен за помощь!
10.09.2014, 16:45
Info_bot

Уважаемый(ая) [B]ermolay_s[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.09.2014, 18:33
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\Common Files\CreativeAudio\eivmuxhgk.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Update\MSupdate.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Identities\sjbma\sjbma.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\msudrwkb.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\msnxf.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\Adobe\Reader_sl.exe','');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\xkim6.exe');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\xkim6.exe','');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\mz758.exe');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\mz758.exe','');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\lqtsb.exe');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\lqtsb.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\lqtsb.exe','32');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\mz758.exe','32');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\xkim6.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\Adobe\Reader_sl.exe','32');
DeleteFile('C:\DOCUME~1\ALLUSE~1\msnxf.exe','32');
DeleteFile('C:\DOCUME~1\ALLUSE~1\msudrwkb.exe','32');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Identities\sjbma\sjbma.exe','32');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Update\MSupdate.exe','32');
DeleteFile('C:\Program Files\Common Files\CreativeAudio\eivmuxhgk.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CreativeAudio');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CreativeAudio');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Update');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3368530294');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','4176838991');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
10.09.2014, 21:33
ermolay_s

Вложений: 2

Карантин выслал.
сделать логи MBAM не представляется возможным, блокируется установка программы. Кроме того блокируется работа всех браузеров, пишу с другого ноута. Логи AVZ и HiJack создал, только, пардон за тупость, не могу понять как их прикрепить к сообщению, не вижу значок вложения :(

разобрался, прикрепил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

вероятно оно не нужно, но на всякий случай инфа по карантину:

Файл сохранён как 140910_165801_virus_541083190b461.zip
Размер файла 1046134
MD5 c63a338029de961ce2b18df553e2f938
10.09.2014, 21:44
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
10.09.2014, 22:58
ermolay_s

Вложений: 1

окошко iexlourer.exe теперь не закрывается, их собирается немало... К тому же появились такие-же pev.3XE, IPCONFIG.exe. Мозилка, оказывается, жива (хром и опера почили, как писал ранее).

Прикладываю ComboFix.txt

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

pev.3XE, IPCONFIG.exe с тем же текстом: "обнаружена ошибка..."
10.09.2014, 23:09
thyrex

Выполните скрипт в AVZ
[code]begin
ExecuteREpair(9);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

File::
c:\program files\Common Files\CreativeAudio\tjiujsnjb.exe
c:\docume~1\ALLUSE~1\msudrwkb.exe
c:\documents and settings\Администратор\Application Data\Identities\Kbloly.exe
C:\DOCUME~1\9335~1\LOCALS~1\Temp\Adobe\Reader_sl.exe
C:\Documents and Settings\Администратор\Application Data\Update\MSupdate.exe
C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-13124081\b824439.exe
c:\docume~1\9335~1\locals~1\temp\waaup.exe

Driver::

Folder::

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CreativeAudio"=-
"Kbloly"=-
"a62399"=-
"a682399"=-
"Adobe System Incorporated"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CreativeAudio"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]
"3368530294"=-

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://savepic.org/5315621m.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте новый лог AVZ

Попробуйте сделать лог МВАМ (отметьте для сканирования только диск С)
11.09.2014, 01:25
ermolay_s

Вложений: 3

MBAM заработала. Лог в файле mbam.txt. А Мозилка тоже крякнула как и остальные браузеры. Окошки, вроде, не выскакивают. При завершении работы ComboFix пропал рабочий стол, остался только фоновый рисунок. Рабочий стол через горячие клавиши -> диспетчер задач -> эксплорер.экзе вызывается.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Да, еще, при копировании на флешку комп файл прячет, создает ярлык, и вставляет еще файлы с нечитаемыми именами...
11.09.2014, 01:43
mike 1

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Program Files\Common Files\CreativeAudio\rqmynangs.exe','');
QuarantineFile('c:\documents and settings\Администратор\Application Data\Identities\Kbloly.exe','');
DeleteFile('c:\documents and settings\Администратор\Application Data\Identities\Kbloly.exe','32');
DeleteFile('C:\Program Files\Common Files\CreativeAudio\rqmynangs.exe','32');
RegKeyParamDel('HKCU','Software\Microsoft\Windows\CurrentVersion\Run','Kbloly');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CreativeAudio');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CreativeAudio');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

В MBAM поместите в карантин все найденное.

Сделайте новые логи.
11.09.2014, 12:37
ermolay_s

Вложений: 3

Здравствуйте!
Сделал и отправил карантин, но он почему-то так и называется - карантин:

Файл сохранён как 140911_082232_quarantine_54115bc814856.zip
Размер файла 886989
MD5 77daca09254ec8c2b7db8fad023f6f2c

Сдуру запустил MBAM через Пуск, запуск не пошел. Деинсталлировал MBAM, установил заново, запустил, он обнаружил 13 объектов. Сделал лог (mbam2.txt). Сделал лог ComboFix, потом avz.

Браузеры работают, окошко iexplorer появилось только один раз, файлы на флешке не в скрытом виде, и не создаются их ярлыки. Все хорошо (или почти хорошо =)), вот только Аваст так и не запускается. Устанавливается, а запуск не происходит.
Текс сообщения:
C:\Program Files\AVAST Software\Avast\AvastUI.exe
Невозможно открыть данную программу из-за политики ограничения применения программного обеспечения....

В диспетчере задач висит процесс AvastSvc.exe, завершить его невозможно - отказано в доступе

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Ах, да, после обнаружения 13 объектов MBAM и создания лога - поместил в карантин, прошелся еще раз - все было чисто...
11.09.2014, 13:13
mike 1

Откройте AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Исправьте:
[code]
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
[/code]

Деинсталлируйте ComboFix: нажмите [b]Пуск[/b] => [b]Выполнить[/b] в окне наберите команду [b]Combofix /Uninstall[/b], нажмите кнопку "[b]ОК[/b]"

[IMG]http://s16.radikal.ru/i191/1003/6c/671e520b7c2d.jpg[/IMG]

Скачайте [url="http://oldtimer.geekstogo.com/OTC.exe"]OTCleanIt[/url], запустите, нажмите [B]Clean up[/B]

Аваст попробуйте переустановить.
11.09.2014, 17:11
ermolay_s

Все сделал по Вашим указаниям. Все в норме. Огромное спасибо за помощь!
Аваст так и не установился, не понимаю почему, да и бог с ним. Пущай хозяйка ноута Каспера покупает, или доктора Веба =)
11.09.2014, 18:17
mike 1

MBAM деинсталлируйте.

Смените пароли от почты, социальных сетей и других ресурсов.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
12.09.2014, 00:07
ermolay_s

Большое спасибо, так и сделаю, когда встречу этот ноут. Его у меня уже забрали, сентябрь наступил =). Закладку сохранил..
12.09.2014, 01:02
mike 1

Тему тогда отмечаю решенной.
12.09.2014, 01:12
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор\application data\identities\kbloly.exe - [B]Trojan.Win32.Yakes.fxpn[/B] ( BitDefender: Trojan.GenericKD.1849019 )[*] c:\documents and settings\администратор\application data\update\msupdate.exe - [B]Trojan-Proxy.Win32.Lethic.bxv[/B] ( BitDefender: Trojan.GenericKD.1850516, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\docume~1\alluse~1\msudrwkb.exe - [B]Backdoor.Win32.Androm.ever[/B] ( BitDefender: Gen:Variant.Graftor.154925 )[*] c:\docume~1\9335~1\locals~1\temp\adobe\reader_sl.exe - [B]Worm.Win32.Ngrbot.ahhp[/B] ( BitDefender: Gen:Variant.Graftor.154925, AVAST4: Win32:Malware-gen )[*] c:\program files\common files\creativeaudio\eivmuxhgk.exe - [B]Trojan-Spy.Win32.SpyEyes.aqyn[/B] ( BitDefender: Gen:Variant.Graftor.154925 )[*] c:\program files\common files\creativeaudio\rqmynangs.exe - [B]Trojan-Spy.Win32.SpyEyes.aqyn[/B] ( BitDefender: Gen:Variant.Graftor.154925 )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]