Вирус убивает процесс svchost.exe и создает файлы myporno.avi.lnk [Packed.Win32.Krap.il ]

[SIZE=3][/SIZE]Вирус убивает процесс svchost.exe и создает файлы во всех расшаренных папках и флешках:
[COLOR=#ff0000]autorun.inf
myporno.avi.lnk
pornmovs.lnk
[/COLOR][COLOR=#FF0000]setup50045.lnk
[/COLOR][COLOR=#ff0000]setup50045.fon
[/COLOR]Также в системном разделе создается два файла [COLOR=#ff0000]d:\Temp\srv754.ini и srv754.tmp[/COLOR] размером 1 и 58 Кб, которые блокируются от удаления процессом spoolsv.exe. Сам процесс spoolsv.exe иногда вылетает с ошибкой.
Gridinsoft Antimalware находит вирус и удаляет его после перезагрузки, но через 10-20 минут появляется снова в том же месте.

Уважаемый(ая) [B]Bormental[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]

begin
DeleteService('eapihdrv');
QuarantineFile('D:\Temp\ehdrv.sys','');
TerminateProcessByName('d:\program files\cpu.exe');
QuarantineFile('d:\program files\cpu.exe','');
DeleteFile('d:\program files\cpu.exe','32');
DeleteFile('D:\Temp\ehdrv.sys','32');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Добрый день. Я выполнил оба скрипта, но на флешке и дальше появляются вредоносные файлы с теми же именами.
По файлу [COLOR="#0000FF"]cpu.exe[/COLOR] - это программа Cool Popup для обмена сообщениями в локальной сети, Иногда антивирусы на неё реагируют, так как она работает с локальной сетью, висит в трее и вроде как не имеет видимых окон. Прилагаю принтскрин открытых окон программы [COLOR="#0000FF"]cpu.exe[/COLOR] сделанный до запуска скрипта и скрин блокирования вредоносного (по "мнению" CureIT) файла

Выполните скрипт в AVZ:[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('globalroot\device\harddiskvolume2\temp\srv764.tmp', '');
QuarantineFile('G:\autorun.inf', '');
DeleteFile('globalroot\device\harddiskvolume2\temp\srv764.tmp', '32');
DeleteFile('G:\autorun.inf', '32');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

[URL="http://virusinfo.info/showthread.php?t=40118"][B]Сделайте лог Gmer[/B][/URL].

Добрый день. Выполнил рекомендованный скрипт и на флешке перестали появляться вредоносные файлы. Лог Gmer полностью выполнить не удалось, потому что при проверке значений реестра программа виснет. Без проверки реестра лог выполнился нормально.

Скорее всего, надо было полностью отключить антивирус, это рекомендуется при сборе логов и выполнении скриптов.

Выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('G:\autorun.inf', '32');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки сделайте такой лог.

Скачайте и запустите TDSSKiller: [url]http://support.kaspersky.ru/viruses/disinfection/5350[/url].
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

Добрый день. Большое спасибо, вредоносные файлы перестали появляться. Лог TDSSKiller прилагаю

Проверьте, на диске G: в корне файл autorun.inf есть? Если да - удалите.

Файлы autorun.inf на всех флешках созданы программой USB-Drive Protector для защиты от автозапуска вирусов, а сам втозапуск отключён с помощью AVZ. Но, всё равно, спасибо за совет :thank_you2:

Конкретно на флэшке, которая была во время работы AVZ - autorun.inf [URL="https://www.virustotal.com/ru/file/752737d23375f4623c97d58e4a449e2d44b2ff8a7883e90acba41202870df3ff/analysis/1447843733/"]вот с таким детектом[/URL]. Если такое создаёт USB-Drive Protector - я буду очень удивлён :?

Ок. Спасибо

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\temp\srv23c.tmp - [B]Packed.Win32.Krap.il[/B] ( BitDefender: Gen:Trojan.Heur.KS.6, AVAST4: Win32:Kryptik-BVR [Trj] )[/LIST][/LIST]