Создаются ярлыки папок и файлов на USB-флешке. Меняется атрибут на скрытый [Trojan-Ransom.Win32.Blocker.ckap, , Worm.Win32.Ngrbot.uml ]

Заражено несколько рабочих станций одним и тем же "вирусом" zurbcuveafywnys.exe, который визуально просматривается на зараженной флешке. Удаляется без проблем из флешки на не зараженном компьютере, т. е. идентификаторы папок и файлов на зараженной USB-флешке приводятся в нормальный вид без проблем. При сканировании антивирусной программой( USBGuard6.4.0.1.exe) "вирус" определяется и удаляется на не зараженном компьютере и только определяется ( не удаляется) на зараженном. Операционная система Windows XP. В безопасном режиме "вирус" на флешку не распространяется. Имеет место информация о подобной проблеме (как и о названии "вируса") на разных источниках интернета, предлагаемые решения- НЕ ВОЗДЕЙСТВУЮТ. Весь спектр лечащих антивирусных утилит от "Лаборатории Касперского", "Доктора Веба" , а также "f-secure-antivirus-2011" и ряда других позитивного результата НЕ ПРИНОСИТ. Заранее благодарен за внимание и решение моей проблемы.

Уважаемый(ая) [B]VasilijIvanovich[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
TerminateProcessByName('c:\documents and settings\dum_dum\application data\5.exe');
QuarantineFileF('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\atmmo', '*', true, ' ', 0, 0);
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr','');
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\atmmo\atmmo.exe','');
QuarantineFile('c:\documents and settings\dum_dum\application data\5.exe','');
DeleteFile('c:\documents and settings\dum_dum\application data\5.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\atmmo\atmmo.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Screen Saver Pro 3.1');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSNetTKNowiz');
DeleteFileMask('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\atmmo', '*', true, ' ');
DeleteDirectory('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\atmmo'); BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://xtreme.ws/
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O4 - HKCU\..\Run: [Screen Saver Pro 3.1] C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr
O4 - HKCU\..\Run: [MSNetTKNowiz] "c:\documents and settings\dum_dum\application data\5.exe"
O4 - HKCU\..\Policies\Explorer\Run: [Windows Update] "C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\atmmo\atmmo.exe" -shell
[/CODE]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])

По окончанию лечения рекомендуется сменить пароли на веб ресурсы.

Для трех оставшихся аналогично "проблемных" компьютеров этот скрипт по предложенному сценарию приемлемый? Или оформлению подлежит каждый комп отдельной заявки?

Нет для всех остальных компьютеров создайте новые темы в разделе Помогите. Скрипт написан только для этого компьютера.

Странно.... Скрипт не выполняется. AVZ виснет. Все ведь по инструкции... Что предпринять?

Антивирус отключали перед выполнением скрипта AVZ?

Все действия повторил еще раз после перезагрузки. ПК от интернета был отключен, локалки нет,все антивируски отключены, запуск AVZ от имени администратора. Попробую в безопасном режиме?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Может и ошибаюсь, но AVZ подвисает перед перегрузкой ПК (в процессе выполнения скрипта).

Пробуйте выполнить скрипт AVZ в безопасном режиме. Новые логи (AVZ, HiJackThis, MBAM) сделайте в обычном режиме.

Вместо предложенного профиксить "O4 - HKCU\..\Run: [MSNetTKNowiz] "c:\documents and settings\dum_dum\application data\5.exe" профиксил ----3.exe. На ------5.exe не было выявлено.

После скрипта AVZ и фикса в HiJackThis делайте новые логи AVZ, HiJackThis и MBAM

Логи после выполнения скриптов.

По логу MBAM видно заражение [url=http://virusinfo.info/showthread.php?t=15927]файловым[/url] вирусом [B]Tenga[/B]. Пожалуйста пролечитесь так [url]http://support.kaspersky.ru/viruses/rescuedisk[/url]. После этого сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Прогонял свой ПК перед обращением к Вам и Kaspersky Rescue Disk 10. Сейчас обязательно еще раз сделаю.

Хорошо.

Компьютер проверен и пролечен Kaspersky Rescure Disk 10. На USB-флешках (проверено на "здоровых") происходит заражение вирусом.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR=#000080]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('c:\docume~1\alluse~1\dxhkahl.exe','');
QuarantineFile('c:\documents and settings\dum_dum\application data\2.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-30111\h37381.exe','');
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr','');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-30111\h37381.exe','32');
DeleteFile('c:\documents and settings\dum_dum\application data\2.exe','32');
DeleteFile('c:\docume~1\alluse~1\dxhkahl.exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1960408961-1383384898-1177238915-1003\Software\Microsoft\Windows\CurrentVersion\Run','Screen Saver Pro 3.1');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1960408961-1383384898-1177238915-1003\Software\Microsoft\Windows\CurrentVersion\Run','h38181');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1960408961-1383384898-1177238915-1003\Software\Microsoft\Windows\CurrentVersion\Run','MSNetTKNowiz');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','26018');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun','221');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR=#000080]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - HKLM\..\Policies\Explorer\Run: [26018] c:\docume~1\alluse~1\dxhkahl.exe
O4 - HKUS\S-1-5-21-1960408961-1383384898-1177238915-1003\..\Run: [h38181] C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-30111\h37381.exe (User 'Dum_Dum')
[/CODE]

Сделайте новые логи AVZ

[LIST][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]32 разрядная версия windows[/URL][/B], то скачайте [URL="http://safezone.cc/random/RSIT.exe"][B]Random's System Information Tool (RSIT)[/B][/URL] или с [URL="http://images.malwareremoval.com/random/RSIT.exe"]зеркала[/URL][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]64 разрядная версия windows[/URL][/B], то необходимо скачать эту версию [URL="http://safezone.cc/random/RSITx64.exe"][B]Random's System Information Tool(RSIT)x64[/B][/URL] или с [URL="http://images.malwareremoval.com/random/RSITx64.exe"]зеркала[/URL][/LIST]
Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([B]RSIT[/B]) в корне системного диска.

Последние логи AVZ два от RSIT.

Если есть возможность закройте временно общие ресурсы.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Mzjsje.exe','');
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Czjsju.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-111715\h1oba.exe','');
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\8.exe','');
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Pzjsjh.exe','');
QuarantineFile('C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-119559\tcdail.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-129551\tprepl.exe','');
QuarantineFile('C:\WINDOWS\hpbmdl01.dat','');
QuarantineFile('C:\WINDOWS\hpbins01.dat','');
QuarantineFile('C:\WINDOWS\system32\Scrubber.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-111715\h1oba.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\8.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Pzjsjh.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\ScreenSaverPro.scr','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-119559\tcdail.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-129551\tprepl.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Czjsju.exe','32');
DeleteFile('C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Mzjsje.exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1960408961-1383384898-1177238915-1003\Software\Microsoft\Windows\CurrentVersion\Run','Czjsju');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1960408961-1383384898-1177238915-1003\Software\Microsoft\Windows\CurrentVersion\Run','Mzjsje');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','h1dljoba');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','MSNetDKNowiz');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','Pzjsjh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','Screen Saver Pro 3.1');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','tsexta');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','tsfffa');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun','221');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - HKCU\..\Run: [Mzjsje] C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Mzjsje.exe
O4 - HKCU\..\Run: [Czjsju] C:\Documents and Settings\Dum_Dum\Application Data\Microsoft\Czjsju.exe
[/CODE]

Сделайте новые логи AVZ и RSIT

Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])

Новые логи AVZ, RSIT, MBAM.