Создаются скрытые папки NEXT и MEMORY

Printable View

26.06.2009, 18:02
NightNEo

Вложений: 3

Создаются скрытые папки NEXT и MEMORY

Машина не моя, посему не могу судить сколько вирусов и какие проблемы могли возникать в ходе работы за данным компом. На системе стоит Др.Веб 4.44, если не ошибаюсь. но видимо он не сильно помогает в ловле вирусов.
На диске С есть скрытая папка С, NEXT и MEMORY. При подключении съёмных устройств ( в логах оно одно - К:\ ) на них автоматом создаются авторан, и две скрытые папки NEXT и MEMORY. Флешку чистил на своём компе с помощью АВЗ. Всё удалил. Проверил на другом компе - чисто. Вставил в этот - появились папки и авторан. Смею предположить что это вирус на компьютере.

Машина очень медленная. даже при небольшом объёме диска - суммарно не больше 40 Гб скан сбора информации/лечения занимает порядка получаса, так что по возможности - прощу избежать повторного сканирования.
26.06.2009, 18:37
gjf

[B]Вставьте все заражённые флешки, но не открывайте их в Проводнике, пока Вам не будет это разрешено.[/B]
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрволл.[/B]
[B]- [URL="http://virusinfo.info/showthread.php?t=4905"]Системное восстановление[/URL].[/B]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('msupdate');
QuarantineFile('E:\C\Settings\cl.exe','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('C:\C\Settings\cl.exe','');
QuarantineFile('C:\MEMORY\S-v-6-2009\PeAcE.exe','');
QuarantineFile('C:\WINDOWS\system32\itunesff.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\winacusb.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Vsp.sys','');
QuarantineFile('c:\windows\system32\msvcrtd.exe','');
DeleteFile('c:\windows\system32\msvcrtd.exe');
DeleteFile('C:\WINDOWS\system32\itunesff.exe');
DeleteFile('C:\MEMORY\S-v-6-2009\PeAcE.exe');
DeleteFile('C:\C\Settings\cl.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\C\Settings\cl.exe');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-24KL2R3251431');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-32KL2R3233771');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('msupdate');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
[b]- Обновите базы AVZ![/b]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

А на счёт повторного сканирования: Вы нарушили Правила получения логов (отключить восстановление системы и обновить базы). Как мы можем Вам помочь, если Вы не следуете указаниям?
Повторное сканирование - стандартная процедура, чтобы убедиться, что зараза удалена. Иной раз бывает, что сканировать приходится несколько раз в случае трудно убиваемой заразы. Так что запаситесь терпением, а мы постараемся не гонять Вас лишний раз.
26.06.2009, 21:55
NightNEo

Вложений: 3

хорошо, постараюсь впредь следовать инструкциям. про восстановление - честно забыл) базы обновил.

после выполнения скрипта - скрытые папки остались. Можно ли их удалить?

Заметил ещё одну вещь - в форуме была тема про z-connect. Как оказалось оно у меня тоже присутствует. Не уверен в достоверности информации, но было сказано что комп самопроизвольно пытался соединиться через модем. Но так как на нём присутствует ещё 3 соединения через модем, то я не уверен что то было, если и было, именно соединение z-connect. Но что странно - комп соединялся просто так. ни с того ни с сего. без какого либо прикосновения к нему, если так можно сказать.

- Очистите темп-папки, кэш проводников и корзину.

сделал через АВЗ.

Карантин пытаюсь выслать...не получается...отказывается загружать.
26.06.2009, 22:00
NightNEo

карантин выслал
26.06.2009, 22:29
gjf

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]O15 - Trusted Zone: *.p0rt2.com
O16 - DPF: {33331111-1111-1111-1111-615111193427} - http://www.www2.p0rt2.com/files/epl60bf2.cab[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteFileMask('C:\Documents and Settings\User\','*.exe',false);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Rtlnic51.sys','');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Скрытые папки можете поудалять. z-connect - тоже, далите это соединение.

Учтите, что на Ваших флешках - зараза. Если Вы хотите отключить автозапуск, таким образом предотвращая заражение от этого типа вирусов, скопируйте текст ниже в Блокнот:
[CODE]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff
"NoDriveAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ShellHWDetection\]
"Start"=dword:00000004

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000FF
"NoDriveAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"
[/CODE]

Сохраните текст как 1.reg, а затем дважды кликните на нём. Внесение информации в реестр - разрешите.

Учтите, что после выполнения этих действий отключится автозапуск, и Вам придётся впредь открывать носители и запускать автозапускаемые диски самостоятельно.

Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].

Соединение и папки удалось удалить?
26.06.2009, 22:40
NightNEo

Соединение и папки удалил. В HiJackThis пофиксил. данные в реестр занёс, но потом подумал - то есть если скажем просто игнорить автозапуск и каждый раз при вставлении флешек запускать авз и удалять с них авторан и вирусы - можно жить и с автозапуском устройств ( ну тогда правда его суть теряется, так как им всё равно не пользуешься получается ).
Скрипт не работает. Ошибка идентификатора DelFileMask 5:13
27.06.2009, 17:32
gjf

Скрипт исправил - попробуйте сейчас. И не забудьте потом про карантин.
Дело в том, что вирус на флешках при включенном автозапуске выполняется каждый раз, когда флешку вставляешь или заходишь на неё Проводником.
Если вирус новый - он не будет детектироваться антивирусом. И даже после того, как его добавят в базу при активном заражении удалить вирус может быть крайне сложно.

Поэтому я и рекомендовал отключить автозапуск. То, что какие-то демонстрационные диски или автоустановки не будут запускаться - беда малая, потому что всегда можно зайти на диск и самому запустить нужный файл. А безопасность повыситься значительно.
28.06.2009, 17:32
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\c\settings\cl.exe - [B]Trojan.Win32.Buzus.bizq[/B] ( DrWEB: Trojan.Inject.5868, BitDefender: Trojan.Buzus.DI )[*] c:\memory\s-v-6-2009\peace.exe - [B]Trojan.Win32.Buzus.bhqc[/B] ( DrWEB: Trojan.Packed.2483, BitDefender: Trojan.Inject.UX )[*] c:\windows\system32\msvcrtd.exe - [B]Backdoor.Win32.Agent.alm[/B] ( DrWEB: DDoS.BEnergy, BitDefender: Backdoor.Agent.ALM )[*] e:\c\settings\cl.exe - [B]Trojan.Win32.Buzus.bizq[/B] ( DrWEB: Trojan.Inject.5868, BitDefender: Trojan.Buzus.DI )[/LIST][/LIST]