Перестали запускаться программы [Backdoor.Win32.Androm.dfo, Trojan.Win32.Yakes.pbko ]

Printable View

17.02.2016, 13:07
foxconn

Перестали запускаться программы [Backdoor.Win32.Androm.dfo, Trojan.Win32.Yakes.pbko ]

Добрый день.
Открыл архив. После чего перестали запускаться некоторые программы (icq, sippoin, nod32).
Если запускать программы, то они либо выдают ошибку либо просто не грузятся. Автозагрузка очистилась (видимо вирусом)
В диспетчере стали появляться странные процессы. Например Zelo.exe в количестве 20 штук.
17.02.2016, 13:08
Info_bot

Уважаемый(ая) [B]foxconn[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
17.02.2016, 13:27
mrak74

Здравствуйте !!!

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\user\appdata\roaming\update\explorer.exe','');
QuarantineFile('C:\Users\user\appdata\roaming\c731200','');
QuarantineFile('C:\Users\user\AppData\Roaming\WindowsUpdate\Live.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\WindowsUpdate\Updater.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\Windows Live\ugoxxtgcie.exe','');
DeleteFile('C:\Users\user\AppData\Roaming\Windows Live\ugoxxtgcie.exe','32');
DeleteFile('C:\Users\user\appdata\roaming\update\explorer.exe','32');
DeleteFile('C:\Users\user\appdata\roaming\windowsupdate\live.exe','32');
DeleteFile('C:\Users\user\appdata\roaming\windowsupdate\updater.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live Installer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Live','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Live Installer','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Installer','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Live');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
17.02.2016, 14:34
foxconn

Готово
17.02.2016, 14:50
mrak74

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL] (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]O4 - HKCU\..\Run: [Windows Update Installer] C:\Users\user\AppData\Roaming\WindowsUpdate\Updater.exe
O4 - HKCU\..\Run: [Windows Live Installer] C:\Users\user\AppData\Roaming\WindowsUpdate\Live.exe
O4 - HKCU\..\Run: [Windows Live] C:\Users\user\AppData\Roaming\Windows Live\ugoxxtgcie.exe
O4 - HKCU\..\Policies\Explorer\Run: [Windows Live] C:\Users\user\AppData\Roaming\Windows Live\ugoxxtgcie.exe[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL] (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\user\AppData\Roaming\Windows Live\ugoxxtgcie.exe','');
QuarantineFile('C:\Users\user\appdata\roaming\c731200','');
QuarantineFile('C:\Users\user\appdata\roaming\update\explorer.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\WindowsUpdate\Live.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\WindowsUpdate\Updater.exe','');
DeleteFile('C:\Users\user\appdata\roaming\windowsupdate\updater.exe','32');
DeleteFile('C:\Users\user\appdata\roaming\windowsupdate\live.exe','32');
DeleteFile('C:\Users\user\appdata\roaming\update\explorer.exe','32');
DeleteFile('C:\Users\user\appdata\roaming\c731200','32');
DeleteFile('C:\Users\user\AppData\Roaming\Windows Live\ugoxxtgcie.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Live');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live Installer');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
17.02.2016, 16:18
foxconn

Готово
18.02.2016, 08:44
mrak74

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
18.02.2016, 10:50
foxconn

Запускал start.exe от имени администратора.
Пункт "Запустить под текущим пользователем" выдает "Ошибка 2".
18.02.2016, 12:01
mrak74

Сделайте лог в безопасном режиме, загрузившись через F8 [url]http://windows.microsoft.com/ru-ru/windows/start-computer-safe-mode#start-computer-safe-mode=windows-7[/url]
18.02.2016, 14:01
foxconn

Получилось
18.02.2016, 15:34
mrak74

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWSUPDATE\LIVE.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWSUPDATE\LIVE.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWSUPDATE\MOBSYNC.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWSUPDATE\MOBSYNC.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWS LIVE\UGOXXTGCIE.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWS LIVE\UGOXXTGCIE.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWSUPDATE\UPDATER.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINDOWSUPDATE\UPDATER.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\THEMES\IKXGXO.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\THEMES\IKXGXO.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\C731200
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\C731200
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\UPDATE\EXPLORER.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\UPDATE\EXPLORER.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\UPDATE\UPDATE.EXE
deldir %SystemDrive%\USERS\USER\APPDATA\ROAMING\UPDATE
deltmp
restart
czoo[/CODE]

Сделайте новый полный образ автозапуска uVS.

P.S. В соответствии с инструкцией [B]Как выполнить скрипт в uVS[/B]

6. Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)

Не забудьте загрузить архив ZOO по ссылке прислать запрошенный карантин.
18.02.2016, 16:26
foxconn

Программы стали запускаться
18.02.2016, 16:57
mrak74

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\MICROSOFT\WINDOWS\TEMPORARY INTERNET FILES\CONTENT.IE5\Y81KWN24\AA_V3[1].EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GHBMNNJOOEKPMOECNNNILNNBDLOLHKHI\1.1_0\GOOGLE*ДОКУМЕНТЫ ОФЛАЙН
restart[/CODE]

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Проблема решена ?
18.02.2016, 17:07
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]45[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\user\appdata\roaming\c731200 - [B]Worm.Win32.Ngrbot.aywx[/B][*] c:\users\user\appdata\roaming\c731200 - [B]HEUR:Trojan.Win32.Generic[/B][*] c:\users\user\appdata\roaming\c731200 - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Encoder.514 )[*] c:\users\user\appdata\roaming\update\explorer.exe - [B]Worm.Win32.Ngrbot.aywx[/B][*] c:\users\user\appdata\roaming\update\explorer.exe - [B]HEUR:Trojan.Win32.Generic[/B][*] c:\users\user\appdata\roaming\windows live\ugoxxtgcie.exe - [B]Trojan.Win32.Bublik.efeb[/B][*] c:\users\user\appdata\roaming\windows live\ugoxxtgcie.exe - [B]Trojan.Win32.Bublik.eexz[/B][*] c:\users\user\appdata\roaming\windowsupdate\live.exe - [B]Trojan.Win32.Bublik.efec[/B][*] c:\users\user\appdata\roaming\windowsupdate\live.exe - [B]Trojan.Win32.Bublik.efds[/B][*] c:\users\user\appdata\roaming\windowsupdate\updater.exe - [B]HEUR:Trojan.Win32.Generic[/B][*] \c731200._612b5c2d48770b127dd83cd1d7db09b9decb8d20 - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Encoder.514 )[*] \explorer.exe._612b5c2d48770b127dd83cd1d7db09b9decb8d20 - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Encoder.514 )[*] \ikxgxo.exe._612b5c2d48770b127dd83cd1d7db09b9decb8d20 - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Encoder.514 )[*] \live.exe._95a08d4ba8c4c7e3a71539cfe9d46a1ec61de9b8 - [B]Trojan.Win32.Yakes.pbko[/B][*] \mobsync.exe._303663801c178148473b504ac0f2b491e545fd38 - [B]Backdoor.Win32.Androm.dfo[/B][*] \ugoxxtgcie.exe._aa365ffd2aca2bc10d57aa997454f9d90b9b0074 - [B]Trojan.Win32.Bublik.efec[/B][*] \update.exe._612b5c2d48770b127dd83cd1d7db09b9decb8d20 - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Encoder.514 )[*] \updater.exe._612b5c2d48770b127dd83cd1d7db09b9decb8d20 - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.Encoder.514 )[/LIST][/LIST]