Вирус создает .scr .pif .rar с именем папки

[COLOR=#333333]Добрый день. Вирус создает .scr .pif .rar с именем папки в которой находится.[/COLOR]
[COLOR=#333333]сам исполняемый файл сидел в temp, реестре, в windir - был удален вручную, затем сканирование KVRT и CureIt.[/COLOR]
[COLOR=#333333]оба находят угрозы, блокируют их, удаляют, но вирус продолжает плодиться как ни в чем не бывало![/COLOR]

[COLOR=#333333]могу почти каждый день удалять по много+ rar_ов с упакованным вирусом и вордовскими документами.[/COLOR]
[COLOR=#333333]запустил автологгер и прилагаю архив созданный им.[/COLOR]


[COLOR=#333333]дополню: вирус плодится на расшаренной общей папке!! к нему могут обращаться еще как минимум 6-9 пк в день[/COLOR]

Уважаемый(ая) [B]S_L_A_V_A[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\SendTo\MyChat.lnk" -> ["C:\Users\Администратор\AppData\Local\NSS\MyChat Client\sendto.exe"]
>>> "C:\Users\Администратор\WINDOWS\ARJ.PIF" -> ["ARJ.EXE"]
>>> "C:\Users\Администратор\WINDOWS\LHA.PIF" -> ["LHA.EXE"]
>>> "C:\Users\Администратор\WINDOWS\PKUNZIP.PIF" -> ["PKUNZIP.EXE"]
>>> "C:\Users\Администратор\WINDOWS\PKZIP.PIF" -> ["PKZIP.EXE"]
>>> "C:\Users\Администратор\WINDOWS\RAR.PIF" -> ["RAR.EXE"]
>>> "C:\Users\Администратор\WINDOWS\UC.PIF" -> ["UC.EXE"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Total Commander\Информация о сборке.lnk" -> ["C:\Program Files (x86)\Total Commander\TCPPhelp.htm"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Total Commander\Полезные утилиты\Чистка реестра системы.lnk" -> ["C:\Program Files (x86)\Total Commander\Utilites\RegCleaner\WiseRegistryCleaner.exe"][/CODE]Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B])и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1002\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User 'unknown: S-1-5-21-1161148302-586986377-59143214-1002')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1005\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '332-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1018\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '335-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1021\..\Run: [ejols] = C:\Users\339-1\AppData\Local\Temp\2\ezuhewttjvyaiultcxsna.exe (file missing) (User '339-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1021\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '339-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1021\..\RunOnce: [irabmsdrv] = ezuhewttjvyaiultcxsna.exe . (file missing) (User '339-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1021\..\RunOnce: [pvbzhk] = C:\Users\339-1\AppData\Local\Temp\2\cvozukfdrbccishnung.exe . (file missing) (User '339-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1022\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '343-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1028\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '112-0')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1029\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '112-2')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1031\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '123-2')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1035\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '328-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1038\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User 'Samsung')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1039\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '226-1')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1043\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User '123-3')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1051\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User 'Admin')
O4 - HKU\S-1-5-21-1161148302-586986377-59143214-1058\..\Run: [rzhhrwgt] = izqzsgzvhpomqylpu.exe (file missing) (User 'SysAdmin')
O4 - MSConfig\startupreg: ejols [command] = C:\Users\Администратор\AppData\Local\Temp\1\ezuhewttjvyaiultcxsna.exe (HKCU) (2019/12/05) (file missing)
O4 - MSConfig\startupreg: rzhhrwgt [command] = rjblfuolyhhgluintl.exe (HKCU) (2019/12/05) (file missing)
O4 - Startup other users: C:\Users\330-1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Startup.rar[/code]
Это не источник заражения.
Ищите и лечите сетевого червя на других компьютерах с помощью KVRT или Dr. Web CureIt!, до полного излечения не подключайте систему к сети.

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]4[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]