Пострадали от IM-Worm.Win32.Chydo.ccq, Trojan.WIn32/Killav и кучки червей. [IM-Worm.Win32.Chydo.ccq, Trojan.Win32.Vilsel.ofn ]

Здравствуйте уважаемые безопасники.
В сети, около 40 компов, разгулялись троянцы антивирусы переодически натыкаются на:
IM-Worm.Win32.Chydo.ccq,
not-a-virus:HEUR:AdWare.Script.Generic,
HEUR:Trojan.WinLNK.StartPage.ab.
Trojan.WIn32/Killav
Trojan.WIn32/Popupper
Trojan.WIn32/Dynamer!ac
и др.
Проявление в крайне высокой загрузки оперативы и цп процессами svchost и system, появление в папках файлов rar, exe, bat, scr и др.
Компы в основном очень древние, подавляюще WinXP, поэтому со штатными антивирусами и системными обновлениями очень туго, хотя на более мощных отражающей способности KFA и WinDefender, не хватает. Сканирование kvrt, krd, cureit, drveb, avz, malvarebytes, windows defender отлавливает практически только безобидные кряки.
Есть компы которые крайне нежелательно отключать от сети более чем на 2 часа, всю сеть одновременно положить практически нереально.
Помогите, что можно предпринять, высылаю логи по каждому компу.
Комп №6 При копировании с него pdf по сети на других ругаются антивири

Уважаемый(ая) [B]progersa[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Сделайте лог [url="https://virusinfo.info/showthread.php?t=218706&p=1480220&viewfull=1#post1480220"]МВАМ[/url]

Ситуация аналогичная машине [URL="https://virusinfo.info/showthread.php?t=219718&p=1485458#post1485458"]https://virusinfo.info/showthread.php?t=219718&p=1485458#post1485458[/URL]
Сворачивание в панель mb3-setup-legacywos-3.5.1.2522-1.0.365-1.0.5292.exe и mb3-setup-consumer-3.5.1.2522-1.0.391-1.0.6007.exe запуск аналогичных процессов с расширением tmp, абракадабра в процессах после завершения запускающаяся под другим именем и exe в доступных на запись шарах.
[ATTACH=CONFIG]672780[/ATTACH]

В первых логах этого нет, так что давайте лог МВАМ

MBAM вроде установился но не дает запуститься, высылаю новый автолог
В файлообменнике сайта уже нету места, поэтому прикрепил лог ссылкой или нужно создавать новый аккаунт?
[URL="https://cloud.mail.ru/public/7LJb/ZG49bsAKF"]https://cloud.mail.ru/public/7LJb/ZG49bsAKF[/URL]

Старые вложения удалите через Мой кабинет - Вложения.

Здесь тоже в скрипте будет отключен автозапуск файлов со всех устройств, кроме CD/DVD-привода.

Выполните скрипт в AVZ из папки Autologger
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\Temp\vvshkdzuneyyvybjloola.exe','');
QuarantineFile('C:\WINDOWS\system32\zvozynfwlyokdcbfd.exe','');
QuarantineFile('D:\ndqvoxjudku.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\ndqvoxjudku.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\snfpnbsiwixskigj.exe','');
QuarantineFile('C:\WINDOWS\Temp\ifzllbumcqheyyydcc.exe','');
QuarantineFile('C:\WINDOWS\Temp\gfbprjeyqgzyuwyfgihd.exe','');
QuarantineFile('C:\WINDOWS\system32\ifzllbumcqheyyydcc.exe','');
QuarantineFile('C:\WINDOWS\Temp\trmzarlevkcavwxddec.exe','');
QuarantineFile('C:\WINDOWS\system32\vvshkdzuneyyvybjloola.exe','');
QuarantineFile('C:\WINDOWS\Temp\snfpnbsiwixskigj.exe .','');
TerminateProcessByName('c:\windows\temp\vfmly.exe');
QuarantineFile('c:\windows\temp\vfmly.exe','');
TerminateProcessByName('c:\windows\temp\snfpnbsiwixskigj.exe');
QuarantineFile('c:\windows\temp\snfpnbsiwixskigj.exe','');
DeleteFile('c:\windows\temp\snfpnbsiwixskigj.exe','32');
DeleteFile('c:\windows\temp\vfmly.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ivfhxdmu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','kdtbxjymyivoea');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','znybszjsz');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','jbqxsdrepykcr');
DeleteFile('C:\WINDOWS\Temp\snfpnbsiwixskigj.exe .','32');
DeleteFile('C:\WINDOWS\system32\vvshkdzuneyyvybjloola.exe','32');
DeleteFile('C:\WINDOWS\Temp\trmzarlevkcavwxddec.exe','32');
DeleteFile('C:\WINDOWS\system32\ifzllbumcqheyyydcc.exe','32');
DeleteFile('C:\WINDOWS\Temp\gfbprjeyqgzyuwyfgihd.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','znybszjsz');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','kbpvpzmyiqbs');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ivfhxdmu');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ndqvoxjudku');
DeleteFile('C:\WINDOWS\Temp\ifzllbumcqheyyydcc.exe','32');
DeleteFile('C:\WINDOWS\system32\snfpnbsiwixskigj.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','shtxpxisag');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','tfopejr');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\ndqvoxjudku.bat','32');
DeleteFile('D:\autorun.inf','32');
DeleteFile('D:\ndqvoxjudku.bat','32');
DeleteFile('C:\WINDOWS\system32\zvozynfwlyokdcbfd.exe','32');
DeleteFile('C:\WINDOWS\Temp\vvshkdzuneyyvybjloola.exe','32');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

Отправил карантин
После чистки отработали все сканеры, у MBAMа порядка 900 подозрений включая малву, автораны из процессов вроде ушли.

В карантин МВАМ все, кроме
[CODE]PUM.Optional.LowRiskFileTypes, HKU\S-1-5-19\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\ASSOCIATIONS|LOWRISKFILETYPES, No Action By User, [6953], [251589],1.0.6059
PUM.Optional.LowRiskFileTypes, HKU\S-1-5-21-1957994488-838170752-1177238915-1004\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\ASSOCIATIONS|LOWRISKFILETYPES, No Action By User, [6953], [251589],1.0.6059
PUM.Optional.LowRiskFileTypes, HKU\S-1-5-20\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\ASSOCIATIONS|LOWRISKFILETYPES, No Action By User, [6953], [251589],1.0.6059
PUM.Optional.LowRiskFileTypes, HKU\S-1-5-18\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\ASSOCIATIONS|LOWRISKFILETYPES, No Action By User, [6953], [251589],1.0.6059

PUM.Optional.DisabledSecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|FIREWALLDISABLENOTIFY, No Action By User, [12969], [293295],1.0.6059
PUM.Optional.DisabledSecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UPDATESDISABLENOTIFY, No Action By User, [12969], [293296],1.0.6059
PUM.Optional.DisabledSecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|ANTIVIRUSDISABLENOTIFY, No Action By User, [12969], [293294],1.0.6059

RiskWare.HidCon.Drop, C:\PROGRAM FILES\MAGICLOGON\HIDCON.EXE, No Action By User, [8907], [353147],1.0.6059
RiskWare.HidCon.Drop, C:\WINDOWS\SYSTEM32\HIDCON.EXE, No Action By User, [8907], [353147],1.0.6059
[/CODE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]45[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\ndqvoxjudku.bat - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\system32\ifzllbumcqheyyydcc.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\system32\snfpnbsiwixskigj.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\system32\vvshkdzuneyyvybjloola.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\system32\zvozynfwlyokdcbfd.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\temp\gfbprjeyqgzyuwyfgihd.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\temp\ifzllbumcqheyyydcc.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\temp\snfpnbsiwixskigj.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\temp\snfpnbsiwixskigj.exe . - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\temp\trmzarlevkcavwxddec.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] c:\windows\temp\vfmly.exe - [B]Trojan.Win32.Vilsel.ofn[/B] ( BitDefender: Gen:Variant.Pykspa.1 )[*] c:\windows\temp\vvshkdzuneyyvybjloola.exe - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[*] d:\ndqvoxjudku.bat - [B]IM-Worm.Win32.Chydo.ccq[/B] ( BitDefender: Dropped:Worm.Generic.325054 )[/LIST][/LIST]