Китайский вирус BaiduAn, Sd

Printable View

Показывать 40 сообщений этой темы на одной странице

04.08.2014, 18:15
masterdobra

Готово: [url]https://yadi.sk/i/TpSWXuEJYmCg5[/url]
04.08.2014, 18:52
mike 1

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С. [/B][/COLOR]
[code]
KillAll::

File::

Driver::
65e05e4f550e581db7f991fb26f2c4da

Folder::
c:\users\SAM\AppData\Roaming\360mobilemgr
c:\program files (x86)\GSInput

Registry::

FileLook::

DirLook::
c:\users\SAM\AppData\Roaming\Wandoujia2

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
04.08.2014, 19:31
masterdobra

Готово: [url]https://yadi.sk/i/TpSWXuEJYmCg5[/url]
04.08.2014, 19:42
mike 1

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С. [/B][/COLOR]
[code]
KillAll::

File::

Driver::

Folder::

Registry::
[-HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\360UDiskGuard Icon Overlay]

FileLook::

DirLook::
c:\users\SAM\AppData\Roaming\WDJConnEngine
c:\users\SAM\AppData\Roaming\Wandoujia2
c:\users\SAM\AppData\Roaming\WandoujiaUsbDriver

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
04.08.2014, 21:06
masterdobra

Готово: [url]https://yadi.sk/i/TpSWXuEJYmCg5[/url]
04.08.2014, 22:21
mike 1

Эти папки знакомы?

[CODE]
c:\users\SAM\AppData\Roaming\WDJConnEngine
c:\users\SAM\AppData\Roaming\Wandoujia2
c:\users\SAM\AppData\Roaming\WandoujiaUsbDriver
[/CODE]

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
BackupRegKey('HKEY_LOCAL_MACHINE','SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall','111');
end.
[/CODE]

В папке AVZ в подпапке Backup появится файл 111 заархивируйте его и прикрепите к сообщению.
04.08.2014, 23:04
masterdobra

c:\users\SAM\AppData\Roaming\WDJConnEngine
c:\users\SAM\AppData\Roaming\Wandoujia2
c:\users\SAM\AppData\Roaming\WandoujiaUsbDriver

Нет, такие не знаю. Что с ними делать?
05.08.2014, 00:28
mike 1

Похоже от какой-то китайской программы.
05.08.2014, 01:04
masterdobra

Скрипт выполнил: [url]https://yadi.sk/d/PqFIcGrhZ6B2z[/url]

С папками пока ничего не делал. Их просто удалить нужно?
05.08.2014, 01:20
mike 1

[QUOTE=masterdobra;1144613]Скрипт выполнил: [url]https://yadi.sk/d/PqFIcGrhZ6B2z[/url]

С папками пока ничего не делал. Их просто удалить нужно?[/QUOTE]
Да думаю их можно удалить. Понаблюдайте пока за проблемой.
05.08.2014, 21:24
masterdobra

[QUOTE=mike 1;1144616]Да думаю их можно удалить. Понаблюдайте пока за проблемой.[/QUOTE]

Папки удалил. Пока наблюдая, не появится ли вновь. Спасибо за помощь!

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Вирус опять на месте. С завидным постоянством появляется заново.
Где он еще может сидеть?
06.08.2014, 01:12
mike 1

Постарайтесь вспомнить какой софт был недавно установлен.

[LIST][*]Подготовьте лог [B]OTL by OldTimer[/B], как описано на [URL="http://www.cyberforum.ru/viruses-faq/thread230018.html"]этой странице[/URL].[*]Прикрепите полученные логи [B]OTL.txt[/B] и [B]Extra.txt[/B] к своему следующему сообщению.[*]Если логи не прикрепляются [B][COLOR="Blue"]запакуйте их в архив[/COLOR][/B].[/LIST]
06.08.2014, 02:07
masterdobra

Логи по ссылке: [url]https://yadi.sk/d/Kl0m6eOHZ9Hgy[/url]

Какое ПО устанавливал, постарался вспомнить. X-lite, фактически, единственное, которое я устанавливал в это время.
Единственно, я сейчас нахожусь в Болгарии. Вирус появился через пару дней после того, как я сюда приехал. Возможно, здесь есть какая-то зацепка. Выхожу в сеть через кабель.
06.08.2014, 15:22
mike 1

[LIST][*]Запустите повторно [URL="http://oldtimer.geekstogo.com/OTL.exe"]OTL by OldTimer[/URL] или [URL="http://oldtimer.geekstogo.com/OTL.com"]OTL.com[/URL] или [URL="http://oldtimer.geekstogo.com/OTL.scr"]OTL.scr[/URL].

[SIZE="1"]Обратите внимание, что утилиты необходимо запускать от имени [B]Администратора[/B]. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите "[B]Да[/B]".[/SIZE]
[*]В окно [B]Custom Scans/Fixes[/B] скопируйте следующую информацию:

[CODE]
:Commands
[CREATERESTOREPOINT]

:processes

:OTL
SRV - (UCBrowserSvc) -- C:\Program Files (x86)\UCBrowser\UCService.exe ()
SRV - (ZhuDongFangYu) -- C:\Program Files (x86)\360\360Safe\deepscan\ZhuDongFangYu.exe (360.cn)
SRV - (BDKVRTP) -- C:\Program Files (x86)\Baidu\BaiduSd\1.8.0.1196\BaiduSdSvc.exe (百度在线网络技术(北京)有限公司)
SRV - (BDMRTP) -- C:\Program Files (x86)\Baidu\BaiduAn\2.1.0.1154\BaiduAnSvc.exe (百度在线网络技术(北京)有限公司)
SRV - (BDSGRTP) -- C:\Program Files (x86)\Common Files\Baidu\BaiduProtect\1.2.0.46\BaiduProtect.exe (百度在线网络技术(北京)有限公司)
DRV:[b]64bit:[/b] - (360Box64) -- C:\Windows\SysNative\drivers\360Box64.sys (360.cn)
DRV:[b]64bit:[/b] - (360Hvm) -- C:\Windows\SysNative\drivers\360Hvm64.sys (360安全中心)
DRV:[b]64bit:[/b] - (360netmon) -- C:\Windows\SysNative\drivers\360netmon.sys (360.cn)
DRV:[b]64bit:[/b] - (360FsFlt) -- C:\Windows\SysNative\drivers\360FsFlt.sys (360.cn)
DRV:[b]64bit:[/b] - (360Camera) -- C:\Windows\SysNative\drivers\360Camera64.sys (360.cn)
DRV:[b]64bit:[/b] - (360AntiHacker) -- C:\Windows\SysNative\drivers\360AntiHacker64.sys (360.cn)
DRV:[b]64bit:[/b] - (BAPIDRV) -- C:\Windows\SysNative\drivers\BAPIDRV64.SYS (360.cn)
DRV:[b]64bit:[/b] - (BDArKit) -- C:\Windows\SysNative\drivers\BDArKit.sys (Baidu Technology)
DRV:[b]64bit:[/b] - (bd0003) -- C:\Windows\SysNative\drivers\bd0003.sys (Baidu)
DRV:[b]64bit:[/b] - (bd0002) -- C:\Windows\SysNative\drivers\bd0002.sys (Baidu)
DRV:[b]64bit:[/b] - (bd0001) -- C:\Windows\SysNative\drivers\bd0001.sys (Baidu)
DRV:[b]64bit:[/b] - (BDMNetMon) -- C:\Windows\SysNative\drivers\BDMNetMon.sys (Baidu)
DRV:[b]64bit:[/b] - (bd0004) -- C:\Windows\SysNative\drivers\bd0004.sys (Baidu)
FF - HKLM\Software\MozillaPlugins\@360.cn/npaxlogin: C:\Program Files (x86)\360\360Safe\Utils\npaxlogin.dll (360.cn)
O2:[b]64bit:[/b] - BHO: (SafeMon Class) - {B69F34DD-F0F9-42DC-9EDD-957187DA688D} - C:\Program Files (x86)\360\360Safe\safemon\safemon64.dll (360.cn)
O2:[b]64bit:[/b] - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - No CLSID value found.
O2 - BHO: (SafeMon Class) - {B69F34DD-F0F9-42DC-9EDD-957187DA688D} - C:\Program Files (x86)\360\360Safe\safemon\safemon.dll (360.cn)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - No CLSID value found.
O3 - HKU\S-1-5-21-2027461091-669919136-238473217-1000\..\Toolbar\WebBrowser: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - No CLSID value found.
O3 - HKU\S-1-5-21-2027461091-669919136-238473217-1000\..\Toolbar\WebBrowser: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No CLSID value found.
O4 - HKLM..\Run: [360Safetray] C:\Program Files (x86)\360\360Safe\safemon\360tray.exe (360.cn)
O4 - HKLM..\Run: [BaiduAnTray] C:\Program Files (x86)\Baidu\BaiduAn\2.1.0.1154\BaiduAnTray.exe (百度在线网络技术(北京)有限公司)
O4 - HKLM..\Run: [BaiduSdTray] C:\Program Files (x86)\Baidu\BaiduSd\1.8.0.1196\BaiduSdTray.exe (百度在线网络技术(北京)有限公司)
O18:[b]64bit:[/b] - Protocol\Handler\livecall - No CLSID value found
O18:[b]64bit:[/b] - Protocol\Handler\msnim - No CLSID value found
O18:[b]64bit:[/b] - Protocol\Handler\skype4com - No CLSID value found
O18:[b]64bit:[/b] - Protocol\Handler\wlmailhtml - No CLSID value found
O18:[b]64bit:[/b] - Protocol\Handler\wlpg - No CLSID value found
MsConfig:64bit - StartUpFolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^360safe.exe - - File not found
MsConfig:64bit - StartUpReg: [b]360safeuninst[/b] - hkey= - key= - Reg Error: Value error. File not found
[2014.08.06 01:26:14 | 000,000,000 | -HSD | C] -- C:\$360Section
[2014.08.06 01:21:24 | 000,064,840 | ---- | C] (Baidu) -- C:\Windows\SysNative\drivers\bd0003.sys
[2014.08.06 01:09:38 | 014,599,504 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\gswb_1454_7654_9514.exe
[2014.08.05 21:40:31 | 035,955,159 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\360sd_7654_9514.exe
[2014.08.05 21:37:44 | 000,000,000 | ---D | C] -- C:\ProgramData\360safe
[2014.08.05 21:36:55 | 030,411,080 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\bdsd_1454_7654_9514.exe
[2014.08.05 21:35:00 | 000,310,856 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\360FsFlt.sys
[2014.08.05 21:35:00 | 000,039,496 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\360LanProtect.sys
[2014.08.05 21:34:58 | 000,180,808 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\BAPIDRV64.SYS
[2014.08.05 21:34:56 | 000,181,320 | ---- | C] (360安全中心) -- C:\Windows\SysNative\drivers\360Hvm64.sys
[2014.08.05 21:34:55 | 000,305,736 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\360Box64.sys
[2014.08.05 21:34:55 | 000,100,424 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\360AntiHacker64.sys
[2014.08.05 21:34:55 | 000,040,520 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\360Camera64.sys
[2014.08.05 21:34:55 | 000,000,000 | RHSD | C] -- C:\360SANDBOX
[2014.08.05 21:34:48 | 000,162,120 | ---- | C] (360.cn) -- C:\Windows\SysWow64\360SoftMgr.cpl
[2014.08.05 21:34:43 | 000,062,024 | ---- | C] (360.cn) -- C:\Windows\SysNative\drivers\360netmon.sys
[2014.08.05 21:34:08 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\360
[2014.08.05 21:33:44 | 029,004,912 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\qhse_7654_9514.exe
[2014.08.05 21:23:08 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\UCBrowser
[2014.08.05 21:22:41 | 065,492,592 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\qhws_7654_9514.exe
[2014.08.05 21:15:56 | 000,168,264 | ---- | C] (Baidu) -- C:\Windows\SysNative\drivers\bd0004.sys
[2014.08.05 21:15:56 | 000,041,800 | ---- | C] (Baidu) -- C:\Windows\SysNative\bd64_x64.dll
[2014.08.05 21:15:56 | 000,039,056 | ---- | C] (Baidu) -- C:\Windows\SysNative\bd64_x86.dll
[2014.08.05 21:15:48 | 000,072,008 | ---- | C] (Baidu Technology) -- C:\Windows\SysNative\drivers\BDArKit.sys
[2014.08.05 21:15:48 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Common Files\Baidu
[2014.08.05 21:15:47 | 000,108,872 | ---- | C] (Baidu) -- C:\Windows\SysNative\drivers\BDMNetMon.sys
[2014.08.05 21:15:46 | 000,215,880 | ---- | C] (Baidu) -- C:\Windows\SysNative\drivers\bd0002.sys
[2014.08.05 21:15:45 | 000,160,080 | ---- | C] (Baidu) -- C:\Windows\SysNative\drivers\bd0001.sys
[2014.08.05 21:15:43 | 000,000,000 | ---D | C] -- C:\ProgramData\baidu
[2014.08.05 21:15:37 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Baidu
[2014.08.05 21:15:33 | 048,441,696 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\ucbrowser_7654_9514.exe
[2014.08.05 21:05:49 | 037,769,920 | ---- | C] (上海展盟网络科技有限公司) -- C:\Windows\bdws_1454_7654_9514.exe
[2014.07.28 18:20:17 | 000,000,000 | ---D | C] -- C:\Windows\tasks\360Disabled
[2014.08.06 01:10:16 | 014,599,504 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\gswb_1454_7654_9514.exe
[2014.08.06 01:09:54 | 000,000,484 | ---- | M] () -- C:\Windows\tasks\UCBrowserUpdater{f55be20babdf363bc043f47e776f1d97}.job
[2014.08.06 01:09:08 | 035,955,159 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\360sd_7654_9514.exe
[2014.08.05 21:40:06 | 030,411,080 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\bdsd_1454_7654_9514.exe
[2014.08.05 21:36:45 | 029,004,912 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\qhse_7654_9514.exe
[2014.08.05 21:33:26 | 065,492,592 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\qhws_7654_9514.exe
[2014.08.05 21:22:27 | 048,441,696 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\ucbrowser_7654_9514.exe
[2014.08.05 21:15:07 | 037,769,920 | ---- | M] (上海展盟网络科技有限公司) -- C:\Windows\bdws_1454_7654_9514.exe
[2014.08.05 21:23:25 | 000,000,484 | ---- | C] () -- C:\Windows\tasks\UCBrowserUpdater{f55be20babdf363bc043f47e776f1d97}.job
[2014.07.28 15:50:42 | 000,000,001 | ---- | C] () -- C:\Windows\SysNative\drivers\360Hvm64.dat
[2014.08.05 21:23:24 | 000,000,000 | ---D | C](C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UC???) -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UC浏览器
[2014.08.05 21:23:18 | 000,000,959 | ---- | M] ()(C:\Users\Public\Desktop\UC???.lnk) -- C:\Users\Public\Desktop\UC浏览器.lnk
[2014.08.05 21:23:18 | 000,000,959 | ---- | C] ()(C:\Users\Public\Desktop\UC???.lnk) -- C:\Users\Public\Desktop\UC浏览器.lnk
[2014.08.05 21:15:55 | 000,001,152 | ---- | M] ()(C:\Users\Public\Desktop\????.lnk) -- C:\Users\Public\Desktop\百度卫士.lnk
[2014.08.05 21:15:55 | 000,001,152 | ---- | C] ()(C:\Users\Public\Desktop\????.lnk) -- C:\Users\Public\Desktop\百度卫士.lnk
[2014.08.04 01:52:25 | 000,000,000 | ---D | C](C:\ProgramData\Microsoft\Windows\Start Menu\Programs\?????) -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\光速输入法
[2014.07.28 15:56:29 | 000,000,000 | ---D | C](C:\ProgramData\Microsoft\Windows\Start Menu\Programs\????) -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\百度杀毒
[2014.07.28 15:50:16 | 000,000,000 | ---D | C](C:\ProgramData\Microsoft\Windows\Start Menu\Programs\360????) -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\360安全中心
[2014.07.28 15:41:52 | 000,000,000 | ---D | C](C:\ProgramData\Microsoft\Windows\Start Menu\Programs\????) -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\百度卫士

:Services
360Hvm
360AntiHacker
360Box64
360Camera
360FsFlt
360netmon
BAPIDRV
bd0001
bd0002
bd0003
bd0004
BDArKit
BDKVRTP
BDMNetMon
BDMRTP
BDSGRTP
UCBrowserSvc
ZhuDongFangYu

:Files

:Reg

:Commands
[EMPTYTEMP]
[purity]
[Reboot][/CODE][*]Проверьте, что весь текст скрипта был скопирован / вставлен [U]верно[/U] и нажмите кнопку "[B]Run Fix[/B]"[*][B][I]Компьютер перезагрузится.[/I][/B][*]После перезагрузки откройте папку [b]"C:\_OTL\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), откройте и прикрепите его в следующее сообщение.[/LIST]
06.08.2014, 16:55
masterdobra

Готово: [url]https://yadi.sk/i/2Kiba2fWZBE8c[/url]
06.08.2014, 17:14
mike 1

Сделайте новые логи OTL
06.08.2014, 18:17
masterdobra

готово: [url]https://yadi.sk/i/fNgcwfpZZBV2Q[/url]
[url]https://yadi.sk/i/HWpnS61mZBVCd[/url]
06.08.2014, 20:44
mike 1

OTL не справляется. Сделайте новый лог Combofix. + Посмотрите в панели управления => Установка и удаление программ нет ли там:

[QUOTE]
Baidu
UC Browser
360
[/QUOTE]

Если что нибудь найдете из этого списка деинсталлируйте.
06.08.2014, 22:09
masterdobra

Готово: [url]https://yadi.sk/i/TpSWXuEJYmCg5[/url]

Деинсталировал несколько программ через Панель управления - 360 и UC
06.08.2014, 23:51
mike 1

Перед выполнением скрипта поищите в этой c:\program files (x86)\Baidu папке деинсталлятор Baidu если найдете его деинсталлируйте его, а потом выполните скрипт.

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С. [/B][/COLOR]
[code]
KillAll::

File::
c:\windows\system32\DRIVERS\bd0004.sys
c:\windows\SYSNATIVE\DRIVERS\BDMNetMon.sys
c:\program files (x86)\Baidu\BaiduAn\2.1.0.1154\BaiduAnSvc.exe

Driver::
bd0004
BDMNetMon
BDMRTP

Folder::
c:\program files (x86)\Baidu

Registry::

FileLook::

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Показывать 40 сообщений этой темы на одной странице