Вирус создает файлы на флешке, отключает службы защиты. [Worm.Win32.Ngrbot.agnc ]

Здравствуйте.
Компьютер заражен вирусом через флешку. На ней при подсоединении к компьютеру вместо находящихся на ней файлов появляются их ярлыки и exe-файл с названием из строчных и прописных латинских букв, название всегда разное. Этот файл быстро исчезает. Если открыть ярлык, открывается программа cmd с записью "Скопировано файлов: 1", а также сама папка. Еще на флешке появляется ярлык папки System_Volume_Informaton. После того, как начали появляться ярлыки на флешке, на компьютере стали отключаться службы Брэндмауэр Windows и Центр обеспечения безопасности. Пожалуйста, скажите, что можно с этим сделать.
В инструкции по оформлению запроса о помощи сказано, что с 64-битной системой не надо выполнять п. 1. Значит ли это, что нужно только 2 файла логов?

Уважаемый(ая) [B]Беслан Салихов[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Users\q\AppData\Roaming\Identities\Vdckcf.exe','');
QuarantineFile('C:\Users\q\AppData\Local\Temp\kusadtylds.exe','');
QuarantineFile('C:\Users\q\AppData\Local\Temp\Adobe\Reader_sl.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4491894\b4519911.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4187714\v287941.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413341394\v2341.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v211941.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v2111941.exe','');
QuarantineFile('C:\ProgramData\CreativeAudio\jtkyyvgiu.exe','');
QuarantineFile('C:\PROGRA~3\mslgcnm.exe','');
DeleteFile('C:\PROGRA~3\mslgcnm.exe','32');
DeleteFile('C:\ProgramData\CreativeAudio\jtkyyvgiu.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v2111941.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v211941.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413341394\v2341.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4187714\v287941.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4491894\b4519911.exe','32');
DeleteFile('C:\Users\q\AppData\Local\Temp\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Users\q\AppData\Local\Temp\kusadtylds.exe','32');
DeleteFile('C:\Users\q\AppData\Roaming\Identities\Vdckcf.exe','32');
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Буква диска, относящаяся к флэшке, какая?

Буква Е.

Карантин загрузите.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] (UVS).

Вставьте заражённую флэшку и [url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming
crimg[/code]

В папке с UVS будет автоматически создан образ автозапуска и упакован в архив с расширением [B].7Z[/B] с именем вида COMP_2014-08-14_14-40-40 (ИмяКомпьютера_Дата_Время.7Z). Прикрепите этот файл к своему следующему сообщению.

Карантин загрузил.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming

zoo C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413114\V210141.EXE
addsgn 1A1E249A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 16 Trojan/Win32.Caphaw.1 [AhnLab-V3]

; C:\PROGRAMDATA\MSLGCNM.EXE
; C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413114\V21041.EXE
addsgn 1ADE229A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 8 Trojan/Win32.Caphaw.2 [AhnLab-V3]

zoo C:\USERS\Q\APPDATA\ROAMING\B3FC.EXE
zoo E:\CSUUNBD.EXE
addsgn 1ABE239A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 16 Trojan/Win32.Caphaw.3 [AhnLab-V3]

zoo C:\USERS\Q\APPDATA\ROAMING\34C4.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\3F84.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\4937.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\B7AA.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\BCD6.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\C731200
zoo C:\USERS\Q\APPDATA\ROAMING\C830.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\D8CA.EXE

chklst
delvir

delref %SystemDrive%\USERS\Q\APPDATA\ROAMING\IDENTITIES\VDCKCF.EXE
delref %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO\JTKYYVGIU.EXE
deldirex %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413114
deldir %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO

deltmp
czoo
restart[/code]Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Снова выполните скрипт из сообщения #5, получившийся [B]новый[/B] (смотрите по дате) полный образ автозапуска uVS загрузите на rghost.ru и дайте ссылку в теме.

Архив ZOO_... не появился, только папка ZOO, но она вроде пустая. Отправил ее согласно инструкции.
[url]http://rghost.ru/57465163[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин (если будет)

[CODE];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

BREG
zoo %SystemDrive%\USERS\Q\APPDATA\ROAMING\C731200
delall %SystemDrive%\USERS\Q\APPDATA\ROAMING\C731200
zoo NNKZCPSAQW.EXE
delall NNKZCPSAQW.EXE
bl 5A67C20C9885E71C6E3C89FA6083AF08 133632
zoo %SystemDrive%\PROGRAMDATA\MSLGCNM.EXE
delall %SystemDrive%\PROGRAMDATA\MSLGCNM.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-418713714\V12873941.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41873714\V2873941.EXE
delall %SystemDrive%\USERS\Q\APPDATA\ROAMING\IDENTITIES\VDCKCF.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delall %SystemDrive%\USERS\Q\APPDATA\LOCAL\TEMP\ADOBE\READER_SL.EXE
deltmp
czoo
restart[/CODE]

сделайте новый образ автозапуска.

[url]http://rghost.ru/57467246[/url]

Выполните скрипт в uVS:[CODE];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

; C:\PROGRAMDATA\MSLGCNM.EXE
addsgn 1A1E249A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 16 Trojan/Win32.Caphaw [AhnLab-V3]

adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming

;------------------------autoscript---------------------------

sreg

chklst
delvir

delref %SystemDrive%\USERS\Q\APPDATA\LOCAL\TEMP\KUSADTYLDS.EXE
delref %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO\NDTCRVGIU.EXE
deltmp

areg

;-------------------------------------------------------------[/CODE]

После перезагрузки - новый образ автозапуска + добавьте во вложения к теме логи выполнения скриптов UVS - текстовые файлы, имя состоит из даты и времени выполнения, упакуйте их в архив и сюда.

+ забыл вам сразу написать. Обязательно смените все пароли, после лечения смените ещё раз.

Скрипт нужно выполнить со вставленной флешкой?

диск E это флешка? Тогда ответ да.

Да, диск Е - флэшка. Стоит ли это сделать с каждой зараженной флешкой? Их две штуки.

Сделайте пока с одной.

[url]http://rghost.ru/57468109[/url]

Выполните скрипт с подлючённой флешкой (той что вставляли при создание образа) карантин пришлите

[CODE];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

BREG
bl B0305EA7B1BF2654305B299C70804392 197632
zoo E:\CSUUNBD.EXE
delall E:\CSUUNBD.EXE
czoo
restart[/CODE]

Сделайте свежий лог uVS.

Отправил карантин

Лог нужен как написано в посте [url]http://virusinfo.info/showthread.php?t=164904&p=1148844&viewfull=1#post1148844[/url]
пока сделайте с этой же флешкой (убедимся, что её полностью очистили), потом посмотрим вторую.