Самовосстанавливающийся вирус, который удаляет все содержимое флешек [Trojan.Win32.Bublik.evwq, Trojan.Win32.Scar.prlz ]

Добрый день. Столкнулся с такой проблемой вирус на любой вставленной флешке делает скрытыми все файлы и делает ярлыки с теми же именами, но с ссылками на вирусы. А через пару минут вообще удаляет все содержимое флешки и записывает на нее папку с вирусом f86eb730.exe. который после удаления тут же восстанавливается. Не помогает запрет на запись. удаление из автозагрузок приводит к тому что он тут же сам туда обратно добавляется.

Уважаемый(ая) [B]Portyzan[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\mobsync.exe', '');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\Updater.exe', '');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Live.exe', '');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Updater.exe', '');
QuarantineFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\mobsync.exe', '');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Windows Live\xgydarqywg.exe', '');
QuarantineFile('c:\documents and settings\admin\application data\{55D167AF-C67F-F36C-B3C6-ED2A50EDCC76}\f86eb730.exe', '');
QuarantineFile('c:\documents and settings\localservice\application data\{55D167AF-C67F-F36C-BACE-416359E5603F}\f86eb730.exe', '');
QuarantineFile('D:\autorun.inf', '');
DeleteFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\mobsync.exe', '32');
DeleteFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\Updater.exe', '32');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Live.exe', '32');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Updater.exe', '32');
DeleteFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\mobsync.exe', '32');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Windows Live\xgydarqywg.exe', '32');
DeleteFile('c:\documents and settings\admin\application data\{55D167AF-C67F-F36C-B3C6-ED2A50EDCC76}\f86eb730.exe', '32');
DeleteFile('c:\documents and settings\localservice\application data\{55D167AF-C67F-F36C-BACE-416359E5603F}\f86eb730.exe', '32');
DeleteFile('D:\autorun.inf', '32');
DeleteFile('C:\Documents and Settings\Admin\Рабочий стол\рабочий стол\Скачать dogovor-o-sovmestnoy-meditsinskoy-deyatelnosti.exe.url');
DeleteFileMask('c:\documents and settings\admin\application data\windowsupdate', '*', true);
DeleteFileMask('c:\documents and settings\localservice\application data\windowsupdate', '*', true);
DeleteFileMask('c:\documents and settings\admin\application data\windows live', '*', true);
DeleteFileMask('c:\documents and settings\admin\application data\{55d167af-c67f-f36c-b3c6-ed2a50edcc76}', '*', true);
DeleteFileMask('c:\documents and settings\localservice\application data\{55d167af-c67f-f36c-bace-416359e5603f}', '*', true);
DeleteDirectory('c:\documents and settings\admin\application data\windowsupdate');
DeleteDirectory('c:\documents and settings\localservice\application data\windowsupdate');
DeleteDirectory('c:\documents and settings\admin\application data\windows live');
DeleteDirectory('c:\documents and settings\admin\application data\{55d167af-c67f-f36c-b3c6-ed2a50edcc76}');
DeleteDirectory('c:\documents and settings\localservice\application data\{55d167af-c67f-f36c-bace-416359e5603f}');
ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-B3C6-ED2A50EDCC76}.job" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-BACE-416359E5603F}.job" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Installer', 'command');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live Installer');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Sync Center');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'Windows Live');
RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live Installer');
RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Sync Center');
RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live');
RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'Windows Live');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

Спасибо, с флешки больше ничего не удаляется и файлы скрытыми не становятся, а файла, который восстанавливался постоянно, больше нет. Лог прилагаю. Скажите пожалуйста, а если у меня еще есть несколько компьютеров с похожими проблемами мне нужно новые посты делать или в этой теме можно другие логи скидывать, или данный скрипт можно применить и на другие зараженные компьютеры?

Выполните в AVZ скрипт:[CODE]begin
DeleteFile('C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-B3C6-ED2A50EDCC76}.job','32');
DeleteFile('C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-BACE-416359E5603F}.job','32');
end.[/CODE]
По другим компьютерам создавайте отдельные темы.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\application data\{55d167af-c67f-f36c-b3c6-ed2a50edcc76}\f86eb730.exe - [B]Trojan.Win32.Scar.prlz[/B][*] c:\documents and settings\localservice\application data\windowsupdate\mobsync.exe - [B]Trojan.Win32.Bublik.evwq[/B][/LIST][/LIST]