Подмена файлов запуска браузеров .exe на .bat [Trojan.BAT.Starter.gp ]

Printable View

11.01.2016, 10:51
ilf1984

Вложений: 2

Подмена файлов запуска браузеров .exe на .bat [Trojan.BAT.Starter.gp ]

Здравствуйте.
Сегодня заметил, что ярлыки запуска браузеров [COLOR=#333333]Mozilla и IE[/COLOR] заменены и ведут на файлики [COLOR=#333333]с расширением .bat и именем[/COLOR] типа vRFThfiOjvL4.bat
Если удалить сам браузер, а так же скрытые файлы .bat на системном диске и в папках браузеров, а затем снова установить браузер то все работает нормально, но только до первой перезагрузки. После перезагрузки ярлыки снова подменяются, антивирусники при этом никак не реагируют. При запуске браузеров из корневой папки все работает нормально.
Прошу помочь!
11.01.2016, 10:52
Info_bot

Уважаемый(ая) [B]ilf1984[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.01.2016, 16:52
regist

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

- сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
11.01.2016, 17:46
ilf1984

Вложений: 2

ссылка на [URL="http://virusinfo.info/virusdetector/report.php?md5=3A2574FF6C45F680DBFC337F17E016F7"]файл[/URL]
11.01.2016, 18:38
regist

1) PDF Reader Packages - деинсталируйте.

2) - [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

3) Закройте все программы, [url=http://virusinfo.info/showthread.php?t=130828][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ClearQuarantine;
QuarantineFile('C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
QuarantineFile('C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Войти в Интернет.lnk', '');
QuarantineFile('C:\Users\355\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk', '');
QuarantineFile('C:\Users\355\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk', '');
QuarantineFile('C:\Users\355\Desktop\firefox - Ярлык.lnk', '');
QuarantineFile('C:\Users\355\AppData\Local\Mail.Ru\Mail.Ru.lnk', '');
QuarantineFile('C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk', '');
QuarantineFile('C:\ProgramData\gJuuOlQGNaoJmq\DtBbzXvpHgGZd5.bat', '');
QuarantineFile('C:\Users\355\AppData\Local\rQiZXaJBnSTtvMi\FZHvYZjfI0.bat', '');
QuarantineFile('C:\ProgramData\xDtttn\TcLxkUAHEIsaoVi4.bat', '');
QuarantineFile('C:\ProgramData\LyENxylcDtFBHl\RYIdoTaQ0.bat', '');
QuarantineFile('C:\ProgramData\ytrUiFQxtGBnGz\fKGTty4.bat', '');
QuarantineFileF('C:\ProgramData\gJuuOlQGNaoJmq', '*', true, '', 0, 0);
QuarantineFileF('C:\Users\355\AppData\Local\rQiZXaJBnSTtvMi', '*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\xDtttn', '*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\LyENxylcDtFBHl', '*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\ytrUiFQxtGBnGz', '*', true, '', 0, 0);
DeleteFile('C:\ProgramData\gJuuOlQGNaoJmq\DtBbzXvpHgGZd5.bat', '');
DeleteFile('C:\Users\355\AppData\Local\rQiZXaJBnSTtvMi\FZHvYZjfI0.bat', '');
DeleteFile('C:\ProgramData\xDtttn\TcLxkUAHEIsaoVi4.bat', '');
DeleteFile('C:\ProgramData\LyENxylcDtFBHl\RYIdoTaQ0.bat', '');
DeleteFile('C:\ProgramData\ytrUiFQxtGBnGz\fKGTty4.bat', '');
DeleteFileMask('C:\ProgramData\gJuuOlQGNaoJmq', '*', true);
DeleteFileMask('C:\Users\355\AppData\Local\rQiZXaJBnSTtvMi', '*', true);
DeleteFileMask('C:\ProgramData\xDtttn', '*', true);
DeleteFileMask('C:\ProgramData\LyENxylcDtFBHl', '*', true);
DeleteFileMask('C:\ProgramData\ytrUiFQxtGBnGz', '*', true);
DeleteDirectory('C:\ProgramData\gJuuOlQGNaoJmq');
DeleteDirectory('C:\Users\355\AppData\Local\rQiZXaJBnSTtvMi');
DeleteDirectory('C:\ProgramData\xDtttn');
DeleteDirectory('C:\ProgramData\LyENxylcDtFBHl');
DeleteDirectory('C:\ProgramData\ytrUiFQxtGBnGz');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

4) - Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Войти в Интернет.lnk
C:\Users\355\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
C:\Users\355\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\355\Desktop\firefox - Ярлык.lnk
C:\Users\355\AppData\Local\Mail.Ru\Mail.Ru.lnk
C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\Users\355\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDF Reader\PDF Reader.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PDF Reader\Uninstall.lnk
[/CODE]
12.01.2016, 09:08
ilf1984

Вложений: 2

Логи
12.01.2016, 10:43
regist

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.
12.01.2016, 12:08
ilf1984

Вложений: 1

удалил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

переустановил браузеры. больше о вирусе ничего не напоминает. Спасибо!!:clapping:
12.01.2016, 12:27
regist

Программы от Yandex если использовали, то восстановите их из карантина и желательно переустановить.

Что с проблемой?
13.01.2016, 10:21
ilf1984

Проблема устранена.
Огромное СПАСИБО!
13.01.2016, 20:13
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
13.01.2016, 20:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\gjuuolqgnaojmq\dtbbzxvphggzd5.bat - [B]Trojan.BAT.Starter.gp[/B][*] c:\programdata\xdtttn\tclxkuaheisaovi4.bat - [B]Trojan.BAT.Starter.gp[/B][*] c:\users\355\appdata\local\rqizxajbnsttvmi\fzhvyzjfi0.bat - [B]Trojan.BAT.Starter.gp[/B][/LIST][/LIST]