Китайские вирусы блокируют работу на ПК [HEUR:Trojan.Win32.Generic ]

Здравствуйте!

Родственники попросили глянуть их ноут на предмет вирусов, был в ужасе. Что смог - почистил им утилитами. Но на работоспособность в хорошем смысле ничего не повлияло.
Замечено, что в трее постоянно висит что-то на китайском языке и периодически вылазит в самостоятельное окошко. Так же заблокирована Опера, просто не запускается (ставил новые версии через флешку). Более-менее работает Мозилла, но каждый раз она без спроса пытается установить кучу каких-то приложений/плагинов. На рабочем столе множество ярлыков от программ и приложений, которые явно никто специально не устанавливал. И всё это никак и ничем не удаляется. Еще заметил, что практически ничего невозможно скачать через доступные браузеры, все утилиты АВЗ и хиджак перекидывал через флешку.
Прикрепляю в скрепку логи.
Будем благодарны за помощь!

Уважаемый(ая) [B]ovonel[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelCLSID('{11292110-6F8D-4D56-863C-44902A1E7880}');
DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{1B2639A9-EE25-4AE7-A2E3-B308F08125C4}');
DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
DeleteService('BDSafeBrowser');
DeleteService('BDMWrench');
DeleteService('BDDefense');
DeleteService('BDArKit');
DeleteService('BDAntiExp');
DeleteService('bd0004');
DeleteService('bd0003');
DeleteService('bd0002');
DeleteService('bd0001');
DeleteService('BDSGRTP');
DeleteService('BDMRTP');
DeleteService('BDKVRTP');
DeleteService('BaiduHips');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnSvc.exe','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduSG\1.3.0.663\BaiduProtect.exe','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDAntiExp.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDDefense.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDSafeBrowser.sys','32');
DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDSWShellExt.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnTray.exe','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDShellExt.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduSdTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
DeleteFile('C:\Users\MAV\AppData\Local\Baidu\Baidu\1.3.1.157\Baidu.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','BaiduClient');
DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\WebMonBHO.dll','32');
DeleteFile('C:\Program Files\Baidu\BaiduSd\1.8.0.1255\WebGuardBHO.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи в обычном, а не безопасном режиме

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

После выполнения скрипта в АВЗ ряд функций восстановлен. Та же опера работает, через браузеры идет скачка, файлы теперь можно удалять в коризну, из трея китайцы ушли. Но ссleaner все равно показывает их как установленные программы и деинсталляция не помогает, только от этого появляются какие-то новые окошки с иероглифами.

Переделали логи, карантин отправили.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

сделано

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

File::
c:\windows\system32\drivers\BDEnhanceBoost.sys

Driver::
bd0003
bd0004
BDAntiExp
BDMWrench
BaiduHips
BDArKit
BDDefense
BDKVRTP
BDMRTP
BDSafeBrowser
BDSGRTP
BDEnhanceBoost
BDMNetMon

Folder::
c:\program files\Baidu

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://savepic.org/5315621m.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

обновленный лог комбо

c:\windows\system32\drivers\BDEnhanceBoost.sys удалите

Что в папке c:\programdata\KB9829853-x86 ?

[QUOTE=thyrex;1199685]c:\windows\system32\drivers\BDEnhanceBoost.sys удалите

Что в папке c:\programdata\KB9829853-x86 ?[/QUOTE]

1. удалено

2. без понятий. что-то неизвестное - virustotal показывает, что таки зловред
[url]https://www.virustotal.com/uk/file/dc9648799cf6ee9c473e19ed08b588640870bbe52108bd77abd7c569bf751c6e/analysis/1418562549/[/url]

Запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

После этого папку удалите

Выслано, пароль от архива - virus

Удаляйте папку

Готово!

Что с проблемой?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \windows6.1-kb9829853-x86.svc - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.48629, AVAST4: Win32:Crypt-RNN [Trj] )[/LIST][/LIST]