Здравствуйте. На компьютере имеется вирус, который при подключении флешки создает один ярлык всего содержимого.
[COLOR=#000000][FONT=verdana]И при открытии флешки на ней находятся не файлы, а ярлык на саму флешку, и только когда открыть этот ярлык можно найти файлы с флешки.
Помогите решить сию проблему. Логи прилагаю.[/FONT][/COLOR]
Уважаемый(ая) [B]kirillezhov[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
up.
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\cczmvcne.scr', '');
DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\cczmvcne.scr', '32');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '39133');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Скрипты выполнил, карантин отправил, файл прикладываю
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
[QUOTE=Vvvyg;1361134]Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [URL="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/URL].[/QUOTE]
готово
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
; C:\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP\CCXYYAZM.SCR
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP\CCXYYAZM.SCR
addsgn A7679BF0AA02F4024BD4C6C95B881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C0BF0C49F75C4C32EF4CAB8C015DA3BE4AC965B2FC706AB7E 9 BackDoor.Andromeda.178 [DrWeb]
; C:\DOCUMENTS AND SETTINGS\СТРОЕВАЯ\LOCAL SETTINGS\TEMP\JGFCBYXTSPOLIHEDAZVURQNMJIFEBAXI.COM
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\СТРОЕВАЯ\LOCAL SETTINGS\TEMP\JGFCBYXTSPOLIHEDAZVURQNMJIFEBAXI.COM
; C:\ATI\CATALYST.EXE
zoo %SystemDrive%\ATI\CATALYST.EXE
bl CA8DAB8E7381AC836E2728996CA4B4E9 154763
chklst
delvir
deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP
zoo D:\AUTORUN.INF
delall D:\AUTORUN.INF
deltmp
czoo
restart[/code]Компьютер перезагрузится.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Выполните скрипт в UVS:[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
adddir D:
adddir C:\ATI
crimg[/CODE]
Будет сформирован новый полный образ автозапуска uVS, прикрепите его к своему следующему сообщению.
карантин отправил, логи прикрепляю
[NOTICE]Отключите до перезагрузки антивирус[/NOTICE]
Выполните скрипт в UVS:[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
addsgn A7679BF0AA02F4024BD4C6C95B881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C0BF0C49F75C4C32EF4CAB8C015DA3BE4AC965B2FC706AB7E 9 BackDoor.Andromeda.178 [DrWeb]
sreg
chklst
delvir
zoo D:\~%XRY.INI
czoo
areg[/CODE]
После перезагрузки аналогично загрузите ZOO_ в карантин, прикрепите свежий лог выполнения скрипта и сделайте новый полный образ автозапуска uVS, если не влезет во вложения - загрузите на rghost.ru и дайте ссылку в теме.
после выполнения данного скрипта новый файл карантина ZOO_ не создался
все остальные логи прикладываю
[url]https://yadi.sk/d/XCphmjElpTej3[/url]
Загрузите систему в безопасном режиме и выполните скрипт в UVS:[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
addsgn A7679BF0AA02F4024BD4C6C95B881261848AFCF689AA7BF1A0C3C5BC50559D14704194DE5BBD625C0BF0C49F75C4C32EF4CAB8C015DA3BE4AC965B2FC706AB7E 9 BackDoor.Andromeda.178 [DrWeb]
chklst
delvir
deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\LOCAL SETTINGS\TEMP
zoo D:\AUTORUN.INF
delall D:\AUTORUN.INF
zoo D:\~%IPFPEXDNGVVVW.INI
dirzooex d:\
regt 5
czoo
restart[/CODE]
После перезагрузки - ZOO_ в карантин, лог выполнения в тему, новый образ автозапуска - на Я.Д.
файл карантина загрузил, логи прикладываю
[url]https://yadi.sk/i/-LYldfHhpU3vF[/url]
[url]https://yadi.sk/d/ybSeRT7bpU4DT[/url]
после выполнения скрипта вирус с флешки пропал. Но вопрос в следующем: у меня таких компьютеров несколько, подскажите где копать в поисках этого вируса на других компьютерах? Или поступить также и скидывать вам логи?
Это достаточно древний троян, судя по детекту многих антивирусов как Worm (червь), видимо, способен распространяться не только через внешние носители, но и по сети. Антивирусы его знают практически все, вот результаты по вашему карантину:
[url]https://www.virustotal.com/ru/file/11af3487ac462acb269d767b0ca31e88e04e7eac310b4bc24dfe3ffb5957f13a/analysis/1456398229/[/url]
[url]https://www.virustotal.com/ru/file/c4f4f288e53a7c46b600b712a672529dbc63dfeb8b52b88b6840a7f93aee5203/analysis/1456398328/[/url]
[url]https://www.virustotal.com/ru/file/c00eba71c29adafd99586cb4978e60712448217193607f469bc5f83731f6cb4e/analysis/1456398382/[/url]
В каком состоянии антивирус Касперского, и почему его проспал - вопрос к Вам, скорее.
Довольно живучий зловред, но в безопасном режиме наверняка справятся с ним и Dr. Web CureIt!, и Kaspersky Virus Remove Tool, их можно бесплатно скачать с понятно каких сайтов.
Желательно отключить на время лечения все компьютеры от сети и пролечивать также внешние носители, имевшие с ними контакт. Обязательно отключите автозапуск с HDD, сетевых дисков и со сменных носителей, это можно сделать, например, через "Мастер поиска и устранения проблем" в AVZ. На этом компьютере автозапуск уже отключен.
Если хотите лечиться и дальше здесь - на каждый компьютер - отдельная тема.
Напоминаю также, что Вам всегда рады в разделе [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL] ;)
Спасибо большое. Долго я рылся в гугле и искал как справиться с ним, но ответ нашел здесь. С другими компьютерами поступил по аналогии, запустив последний скрипт и изменив там путь. Помогло. Спасибо за помощь!
Хорошо, что так, скрипт почти универсальный для этого конкретного трояна, из-за применения сигнатуры, имя файла всё время меняется. Только имейте ввиду, что под сигнатуру могли попасть и легитимные, в т. ч. системные файлы, и результат мог быть плачевным, вплоть до краха системы >:( Скрипт проверялся для конкретной системе, где образ автозапуска делался.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
И с антивирусом разберитесь - обязан он был пресечь внедрение этого зловреда - если активен и с обновлёнными базами.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \catalyst.exe._6d93372ea11380a46a43812982df98474b56a62e - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Zusy.59002 )[*] \ccxyyazm.scr._2a4b601dfd30c4450698e0665b9f786936fd3eb9 - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Zusy.59002 )[*] c:\docume~1\alluse~1\locals~1\temp\cczmvcne.scr - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Zusy.59002 )[*] \jgfcbyxtspolihedazvurqnmjifebaxi.com._2a4b601dfd30c4450698e0665b9f786936fd3eb9 - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Zusy.59002 )[*] \~rnppxewklinhqea.ini._eb52aa5c3f28f78b2b004870fa818e8ae983689f - [B]Trojan-Dropper.Win32.Injector.jfdz[/B] ( BitDefender: Trojan.Agent.BACD )[/LIST][/LIST]