Вирус закрывает окна, где содержатся слова про антивирус и плодит файлы с названием корневой папки [Worm.Win32.AutoRun.iea, Trojan-Ransom.Win32.Blocker.frrr ]

Printable View

27.09.2015, 23:35
bistro

Вирус закрывает окна, где содержатся слова про антивирус и плодит файлы с названием корневой папки [Worm.Win32.AutoRun.iea, Trojan-Ransom.Win32.Blocker.frrr ]

Пожалуйста, посмотрите логи авз, ее не блокирует, а хайджек к сожалению сразу закрывает после запуска, невозможно сделать лог. Что можно сделать?
27.09.2015, 23:37
Info_bot

Уважаемый(ая) [B]bistro[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.09.2015, 23:39
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Асаинова\videos\videos.pif','');
QuarantineFile('C:\Users\Асаинова\music\music.scr','');
QuarantineFile('C:\Users\Асаинова\favorites\favorites.bat','');
QuarantineFile('C:\Users\Асаинова\documents\documents.exe','');
QuarantineFile('C:\Users\Асаинова\appdata\roaming\microsoft\internet explorer\quick launch\launch.scr','');
QuarantineFile('F:\wktxotirbh.bat','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('D:\wktxotirbh.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\wktxotirbh.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\Users\Асаинова\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Startup.pif','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Startup.pif','');
DeleteService('wrnigizq');
DeleteService('tveycsqd');
DeleteService('tewodnfz');
DeleteService('rssoehdr');
DeleteService('qryyxgmk');
DeleteService('pbtjiayu');
DeleteService('nohdnohr');
DeleteService('luntazxf');
DeleteService('gamimtft');
DeleteService('cackpiad');
DeleteService('avsvsnmv');
QuarantineFile('C:\Users\F038~1\AppData\Local\Temp\dyozxjfvmzpvellln.exe .','');
QuarantineFile('C:\Windows\system32\wqfpmxshxjydlrqp.exe','');
QuarantineFile('C:\Users\F038~1\AppData\Local\Temp\xumzznldwldlwfhjnif.exe','');
QuarantineFile('C:\Users\F038~1\AppData\Local\Temp\wqfpmxshxjydlrqp.exe .','');
QuarantineFile('C:\Users\F038~1\AppData\Local\Temp\wqfpmxshxjydlrqp.exe','');
QuarantineFile('C:\Windows\system32\kibpqfexrhajvfilqmkd.exe','');
TerminateProcessByName('c:\users\f038~1\appdata\local\temp\zimlx.exe');
QuarantineFile('c:\users\f038~1\appdata\local\temp\zimlx.exe','');
TerminateProcessByName('c:\windows\kibpqfexrhajvfilqmkd.exe');
QuarantineFile('c:\windows\kibpqfexrhajvfilqmkd.exe','');
DeleteFile('c:\windows\kibpqfexrhajvfilqmkd.exe','32');
DeleteFile('c:\users\f038~1\appdata\local\temp\zimlx.exe','32');
DeleteFile('C:\Windows\system32\kibpqfexrhajvfilqmkd.exe','32');
DeleteFile('C:\Users\F038~1\AppData\Local\Temp\wqfpmxshxjydlrqp.exe','32');
DeleteFile('C:\Users\F038~1\AppData\Local\Temp\wqfpmxshxjydlrqp.exe .','32');
DeleteFile('C:\Users\F038~1\AppData\Local\Temp\xumzznldwldlwfhjnif.exe','32');
DeleteFile('C:\Windows\system32\wqfpmxshxjydlrqp.exe','32');
DeleteFile('C:\Users\F038~1\AppData\Local\Temp\dyozxjfvmzpvellln.exe .','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','neqxrzrdqzlns');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','wqfpmxshxjydlrqp');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','oepvovmxjrcd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','rkyhdnhvkvjnuzx');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','dyozxjfvmzpvellln');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','neqxrzrdqzlns');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mizlkxuldripzhijmg');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','oepvovmxjrcd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','rgqvntjtelv');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ogtbwfylzjwzfj');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Startup.pif','32');
DeleteFile('C:\Users\Асаинова\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Startup.pif','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\wktxotirbh.bat','32');
DeleteFile('D:\autorun.inf','32');
DeleteFile('D:\wktxotirbh.bat','32');
DeleteFile('F:\autorun.inf','32');
DeleteFile('F:\wktxotirbh.bat','32');
DeleteFile('C:\Users\Асаинова\appdata\roaming\microsoft\internet explorer\quick launch\launch.scr','32');
DeleteFile('C:\Users\Асаинова\documents\documents.exe','32');
DeleteFile('C:\Users\Асаинова\favorites\favorites.bat','32');
DeleteFile('C:\Users\Асаинова\music\music.scr','32');
DeleteFile('C:\Users\Асаинова\videos\videos.pif','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteREpair(8);
ExecuteREpair(10);
ExecuteREpair(17);
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
28.09.2015, 04:40
bistro

Сделано. Симптомы не изменились. Хайджек по прежнему не могу запустить.
28.09.2015, 07:25
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
28.09.2015, 07:59
bistro

Пока вирус активен, окно МВАМ тоже сразу закрывается после запуска. Что еще можно сделать?

UPD: Нашел вредоносный процесс, завершил его. Вроде запустился теперь. Скоро выложу лог MBAM.

UPD2: Нет, не получается. Вредоносный процесс снова запускается и все рубит. И даже окно поиска закрывает, если начать искать файлы с именем процесса((
28.09.2015, 16:51
thyrex

В безопасном режиме та же картина?
29.09.2015, 06:45
bistro

В безопасном просканировал. Лог большой, поэтому положил на [URL="https://yadi.sk/d/GwBT8iOHjPUbU"]яндекс-диск[/URL]
29.09.2015, 08:15
thyrex

Удалите в МВАМ все найденное
29.09.2015, 08:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\microsoft\windows\start menu\programs\startup\startup.pif - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\f038~1\appdata\local\temp\dyozxjfvmzpvellln.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\f038~1\appdata\local\temp\dyozxjfvmzpvellln.exe . - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\f038~1\appdata\local\temp\wqfpmxshxjydlrqp.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\f038~1\appdata\local\temp\wqfpmxshxjydlrqp.exe . - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\f038~1\appdata\local\temp\xumzznldwldlwfhjnif.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\f038~1\appdata\local\temp\zimlx.exe - [B]Trojan-Ransom.Win32.Blocker.frrr[/B] ( BitDefender: Gen:Variant.Pykspa.1, AVAST4: Win32:Renos-KY [Trj] )[*] c:\users\асаинова\appdata\roaming\microsoft\internet explorer\quick launch\launch.scr - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\асаинова\appdata\roaming\microsoft\windows\start menu\programs\startup\startup.pif - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\асаинова\documents\documents.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\асаинова\favorites\favorites.bat - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\асаинова\music\music.scr - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\users\асаинова\videos\videos.pif - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\windows\kibpqfexrhajvfilqmkd.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\windows\system32\kibpqfexrhajvfilqmkd.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\windows\system32\wqfpmxshxjydlrqp.exe - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] c:\wktxotirbh.bat - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] d:\wktxotirbh.bat - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[*] f:\wktxotirbh.bat - [B]Worm.Win32.AutoRun.iea[/B] ( DrWEB: Trojan.MulDrop5.14836, BitDefender: Trojan.Dropper.VIO, AVAST4: Win32:Chydo [Drp] )[/LIST][/LIST]