Помогите в C:\WINDOWS\system32 создаются exe файлы с числовым наименованием

Printable View

03.02.2011, 09:19
andrew_za

Вложений: 3

Помогите в C:\WINDOWS\system32 создаются exe файлы с числовым наименованием

C:\WINDOWS\system32 создаются exe файлы с числовым наименованием (12.exe, 37.exe ...) через некоторое время пропадает сеть и USB-модем прекращает работу
На компьютере установлен Eset Smart Security но он ничего не видит. Проверял Dr.Web CureIt определял как зараженные удалял но после перезагрузки снова появляются.[B][URL="http://www.google.ru/url?sa=t&source=web&cd=5&ved=0CDYQFjAE&url=http%3A%2F%2Fwww.freedrweb.com%2Ffeedback%2Fview%2F%3Fpage%3D44&rct=j&q=dw%20curit&ei=c0dKTcXrBMPHswbcqeCMDw&usg=AFQjCNFSKXAsHd_dxLQXU4VlT1Kyjz5pYg&cad=rja"]
[/URL][/B]
03.02.2011, 09:47
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\DW\DW.EXE','');
QuarantineFile('C:\WINDOWS\system32\sqlncli.dll','');
DelCLSID('{12LOP3S8-1VRX-81VS-JKL6-61OP5G7774441}');
QuarantineFile('C:\KALBA\MAAFENA\LAXOURY.exe','');
QuarantineFile('C:\WINDOWS\Installer\40eca.msi','');
QuarantineFile('C:\Program Files\Sonork\bin\srkhook.dll','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\WINDOWS\system32\12.exe','');
QuarantineFile('C:\WINDOWS\system32\73.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\73.exe');
DeleteFile('C:\WINDOWS\system32\58.exe');
DeleteFile('C:\WINDOWS\system32\37.exe');
DeleteFile('C:\WINDOWS\system32\12.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('C:\KALBA\MAAFENA\LAXOURY.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Прокси Ваши? - [CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.228.5:3128
[/CODE]
03.02.2011, 10:10
andrew_za

архив отправил, да прокси моя
03.02.2011, 10:24
olejah

Сделайте новые логи.
03.02.2011, 11:45
andrew_za

модем так же и отключается после перезагрузки работает =(
03.02.2011, 11:56
olejah

Это логи из первого сообщения. Нужны новые.

Перед этим -

- Установите все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.

Без обновлений не справимся с червём.
03.02.2011, 15:19
andrew_za

.
03.02.2011, 15:27
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\53.exe');
TerminateProcessByName('c:\windows\system32\82.exe');
TerminateProcessByName('c:\windows\ggdrive32.exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\86.exe');
DeleteFile('C:\WINDOWS\system32\85.exe');
DeleteFile('C:\WINDOWS\system32\82.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\WINDOWS\system32\62.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\43.exe');
DeleteFile('C:\WINDOWS\system32\32.exe');
DeleteFile('C:\WINDOWS\system32\27.exe');
DeleteFile('C:\WINDOWS\system32\15.exe');
DeleteFile('C:\WINDOWS\system32\11.exe');
DeleteFile('C:\WINDOWS\system32\05.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

[B]L:\autorun.inf[/B] - авторан знаком?

- Сделайте новые логи АВЗ
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
04.02.2011, 15:27
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - [B]Trojan.Win32.Pincav.aybo[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Worm.Generic.320472, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Malware-gen )[/LIST][/LIST]