Вирус Эбола. [email protected] [Trojan.Win32.Yakes.hfpt ]

Printable View

Показывать 40 сообщений этой темы на одной странице

15.11.2014, 16:17
undea_d

Вирус Эбола. [email protected] [Trojan.Win32.Yakes.hfpt ]

Выполнено согласно инструкции [url]http://virusinfo.info/content.php?r=136-pravila[/url]

AVZ - virusinfo_syscure.zip архива нет (Если у Вас 64-разрядная или серверная операционная система, выполнять п.1 данного раздела не следует. Переходите сразу к п.2. )
15.11.2014, 16:18
Info_bot

Уважаемый(ая) [B]undea_d[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
15.11.2014, 16:54
mike 1

Здравствуйте!

[QUOTE]
Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/QUOTE]
Обновите базы AVZ.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\PROGRA~3\mspqylk.exe','');
DeleteFile('C:\PROGRA~3\mspqylk.exe','32');
RegKeyResetSecurity('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3436257673');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
15.11.2014, 17:28
undea_d

Все что было выше сделано
+
два новых файла
15.11.2014, 18:05
mike 1

Выполните еще раз скрипт из 3 сообщения. Потом сделайте новые логи.
15.11.2014, 19:07
undea_d

[QUOTE=mike 1;1188337]Выполните еще раз скрипт из 3 сообщения. Потом сделайте новые логи.[/QUOTE]

Сделал все по новой(и дрвеб отключен и админские права есть).
Здесь пишу с другго компьютера, не с зараженного.
15.11.2014, 19:46
mike 1

AVZ перед выполнением скрипта из 3 сообщения так запускали?

[ATTACH=CONFIG]510825[/ATTACH]
15.11.2014, 19:48
undea_d

[QUOTE=mike 1;1188391]AVZ перед выполнением скрипта из 3 сообщения так запускали?

[ATTACH=CONFIG]510825[/ATTACH][/QUOTE]

Да конечно. и 2 и 3 раз все проделывал как по правилам
15.11.2014, 19:52
mike 1

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
15.11.2014, 19:55
undea_d

[QUOTE=mike 1;1188396][LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST][/QUOTE]

По своему незнанию, когда только столкнулся с этой проблемой, сразу проверил автозагрузку и оттуда удалил авто запуск с темповский файлов, в названиях которых было ebola. Поторопился?
15.11.2014, 20:18
mike 1

[QUOTE=undea_d;1188397]По своему незнанию, когда только столкнулся с этой проблемой, сразу проверил автозагрузку и оттуда удалил авто запуск с темповский файлов, в названиях которых было ebola. Поторопился?[/QUOTE]
Там скорее всего была сама картинка, которая загружалась при старте Windows.
15.11.2014, 20:23
undea_d

[QUOTE=mike 1;1188408]Там скорее всего была сама картинка, которая загружалась при старте Windows.[/QUOTE]

Да, поэтому и полез туда. Вот лог от поста выше. Комп заражен серьезно. Почти все doc. jpeg. и т.п.
16.11.2014, 01:34
mike 1

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.83 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
breg

addsgn 1A9A549A5583348CF42BC4BD0CC0CB4525628DD789FA9C1D61C34EC958ED44180B56C3201C3F99A14AA5849F1F952C067D89001A78DAB075A43240E882FADC8C 8 Trojan.Win32.Yakes.hecw

zoo %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
bl 5032361529F21606737F453F572CFF71 92672
delall %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
zoo %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\KB03282760.EXE
unload %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\KB03282760.EXE
delall %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\KB03282760.EXE
chklst
delvir

czoo
restart
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.
16.11.2014, 10:57
undea_d

[QUOTE=mike 1;1188536][LIST=1][*]отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST][/QUOTE]

отправил

[QUOTE]Сделайте новый лог uVS.[/QUOTE]

сделал
16.11.2014, 12:40
mike 1

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.83 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
zoo %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
addsgn 1A9A549A5583348CF42BC4BD0CC0CB4525628DD789FA9C1D61C34EC958ED44180B56C3201C3F99A14AA5849F1F952C067D89001A78DAB075A43240E882FADC8C 8 Trojan.Win32.Yakes.hecw

bl 5032361529F21606737F453F572CFF71 92672
delall %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
czoo
restart
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.
16.11.2014, 13:07
undea_d

Загрузил+выкладываю новый лог
16.11.2014, 13:25
mike 1

[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.83 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
breg

sreg
zoo %SystemRoot%\SYSWOW64\NETHOST.EXE
delall %SystemRoot%\SYSWOW64\NETHOST.EXE
bl 5032361529F21606737F453F572CFF71 92672
delall %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
regt 20
czoo
areg
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.[/LIST]

Сделайте новый лог uVS.
16.11.2014, 17:32
undea_d

и то и то
16.11.2014, 19:51
mike 1

Скачайте ComboFix [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]здесь[/url] и сохраните в корень диска С.

1. [color=red]Внимание![/color] Обязательно закройте все браузеры, [URL="http://virusinfo.info/showthread.php?t=130828"]временно выключите антивирус, firewall и другое защитное программное обеспечение[/URL]. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите [b]combofix.exe[/b], когда процесс завершится, скопируйте текст из [b]C:\ComboFix.txt[/b] и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe
16.11.2014, 20:07
undea_d

Убивал дрвеб согласно ссылки, но combofix все равно ругался.

лог файл во вложении

Показывать 40 сообщений этой темы на одной странице