Вирус из письма 2ой компьютер

[COLOR=#333333]Добрый день. Перешли по ссылке из письма, и явно поймали вирус. Вовремя среагировали и компьютер не перезагрузили, поэтому обошлось только не понятной реакцией каперского (начал блочить какие-то ссылки), и запуском разных процессов явно новых. На 80% уверен что это шифровальщик. Процессы побил ссылки сразу прекратились, в автозагрузке тоже появились эти процессы (тоже удалил), хоть и удалил из автозагрузки процессы перезагружаться все равно страшно. Помогите пожалуйста.

[/COLOR][COLOR=#333333]Тема для второго компьютера. Базы на авз обновил логи переделал.

[/COLOR]

Уважаемый(ая) [B]Ivanchenko Alex[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\Sekretar.LICEY1\Local Settings\Temporary Internet Files\Content.IE5\6RFC71JI\dl[1].htm','');
QuarantineFile('C:\Documents and Settings\Sekretar.LICEY1\Application Data\rambler.ru\toolbar\mail.mp3','');
QuarantineFile('C:\Documents and Settings\Sekretar.LICEY1\Application Data\Browsers\exe.xoferif.bat','');
QuarantineFile('C:\Documents and Settings\Sekretar.LICEY1\Application Data\Browsers\exe.arepo.bat','');
DeleteFile('C:\Documents and Settings\Sekretar.LICEY1\Application Data\Browsers\exe.arepo.bat','32');
DeleteFile('C:\Documents and Settings\Sekretar.LICEY1\Application Data\Browsers\exe.xoferif.bat','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\startdrv','command');
DeleteFile('C:\Documents and Settings\Sekretar.LICEY1\Application Data\rambler.ru\toolbar\mail.mp3','32');
DeleteFile('C:\Documents and Settings\Sekretar.LICEY1\Local Settings\Temporary Internet Files\Content.IE5\6RFC71JI\dl[1].htm','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением в Вашей теме.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/url]

Все сделал.

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
[list][*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Готово.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
U1 geyekrpypdivxb; \systemroot\system32\drivers\geyekrnykvtmwv.sys [X]
R2 pysucode; C:\Documents and Settings\Sekretar.LICEY1\Local Settings\Application Data\03000200-1424881945-0500-0006-000700080009\snsk1EF.tmp [179712 2015-02-25] () [File not signed]
R2 cizydoje; C:\Documents and Settings\Sekretar.LICEY1\Application Data\03000200-1424881867-0500-0006-000700080009\jnsn1C9.tmp [95744 2015-02-25] () [File not signed]
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {00301947-36ef-11dd-9427-001b11c439c0} - fppg1.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {08599b89-319b-11db-8b48-00016cf6aa47} - G:\
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {0e4899db-9433-11dd-94cb-00016cf6aa47} - F:\pmxouz.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {1d824245-0aa7-11dd-93e0-001b11c439c0} - F:\0hct8ybw.bat
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {307da803-2cc5-11df-969a-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {35687dbd-e308-11df-97a9-001b11c439c0} - F:\RECY\avrun.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {35e99fe6-dea2-11dc-937e-001b11c439c0} - F:\tio8x6.cmd
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {3e22d6f6-6dfb-11df-96fa-001b11c439c0} - RECY\avrun.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {4163d393-2a3e-11de-9540-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {494a55ac-b3b8-11de-95f5-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {4a82c75a-ee01-11de-9651-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {549c3418-15f8-11df-9680-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {54c3d0fd-d4e2-11df-9799-001b11c439c0} - check.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {55285bea-8b8b-11dd-94be-00016cf6aa47} - F:\czvqvy.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {572a6a9e-e6b9-11dd-94f7-001b11c439c0} - F:\nshwvl.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {58ff767c-dea8-11dc-937f-001b11c439c0} - F:\ReCYClER\\explorer.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {5dfe5b93-e08c-11de-963f-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {6ff32851-4b35-11de-9571-001b11c439c0} - F:\olxnqp.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {703fa878-27e6-11de-9539-001b11c439c0} - F:\RECYCLER\S-54-6-28-3434476501-1644491937-601003330-1213\Regview.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {74f1ce05-a632-11dd-94d8-00016cf6aa47} - F:\pmxouz.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {78a86550-3572-11df-96a3-001b11c439c0} - dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {88d67b7c-c295-11dd-94eb-001b11c439c0} - F:\RESTORE\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {9360cf55-983b-11de-95d8-001b11c439c0} - RECYCLER\S-51-9-25-3434476501-1644491933-601013345-1214\BSpBT.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {9a87787e-ccf8-11de-960e-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {aa762b66-d81b-11de-962e-001b11c439c0} - F:\pljqdv.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {aca9dee8-58bd-11df-96d9-001b11c439c0} - F:\RECY\avrun.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {afc5f0a4-ba40-11df-976e-001b11c439c0} - F:\RECY\avrun.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {b0484b4b-5187-11de-957a-001b11c439c0} - bncfke.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {b7c203cd-e063-11dd-94f3-001b11c439c0} - F:\duyvte.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {be1fd030-afb0-11dd-94de-00016cf6aa47} - F:\RECY\avrun.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {bffbe01d-09d3-11dd-93df-001b11c439c0} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL autorun.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {c11ac67d-c462-11df-9781-001b11c439c0} - dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {c7f63572-fc91-11dc-93c8-001b11c439c0} - F:\d6fagcs8.cmd
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {d3c3e7b4-0d2a-11de-950f-00016cf6aa47} - F:\
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {d6d9f50b-d568-11dd-94f2-001b11c439c0} - F:\duyvte.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {e1b3c33c-9269-11db-8c11-00016cf6aa47} - F:\pmxouz.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {e90942b7-f0b4-11dc-93a2-001b11c439c0} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL auto.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {e9271395-2fec-11df-969c-001b11c439c0} - F:\dbgvby.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {f4b5c068-db2c-11df-97a1-001b11c439c0} - F:\RECYCLER\S-51-9-25-3434476501-1644491933-601013345-1214\BSpBT.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {f92b4cac-a0b3-11dd-94d4-00016cf6aa47} - F:\pmxouz.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {fde77f18-2664-11dd-940b-001b11c439c0} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL sal.xls.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {fde77f1a-2664-11dd-940b-001b11c439c0} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL sal.xls.exe
HKU\S-1-5-21-448539723-1060284298-682003330-1003\...\MountPoints2: {fde77f1b-2664-11dd-940b-001b11c439c0} - H:\USBNB.exe
C:\Windows\svchost.exe
C:\Windows\System32\amva.exe
C:\Windows\System32\amva0.dll
C:\Windows\System32\amva1.dll
C:\Windows\System32\amvo.exe
C:\Windows\System32\amvo0.dll
C:\Windows\System32\amvo1.dll
C:\Windows\System32\ht8x4.exe
C:\Windows\System32\msg1.exe
C:\Windows\System32\ntos.exe
C:\Windows\System32\sdra64.exe
C:\Windows\System32\twex.exe
C:\Windows\System32\twext.exe
C:\Windows\System32\yt8x4.exe
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделайте лог [url="http://support.kaspersky.ru/5350"]TDSSkiller[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]