В автозапуске программы после удаления появляются опять [Trojan.Win32.Bublik.cvwu, Backdoor.Win32.Androm.fzqr ]

Вирус на компьютер был занесен на флешке, где файлы были преобразованы в ярлыки. Компьтер долго загружается, в автозагрузке появились программы которые после удаления появляются опять, после лечения Доктором Вебом программы были удалены, но появились новые программы которые ведут себя так же.

Уважаемый(ая) [B]Swaak[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]Протокол антивирусной утилиты AVZ версии 4.32
[/QUOTE]
Еще более древней версией AVZ логи не могли сделать? Актуальная версия AVZ 4.43. Логи переделываем актуальной версией AVZ.

Предущие файлы были ошибочные

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('c:\docume~1\alluse~1.win\mshldweii.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\dcin.exe','');
QuarantineFile('C:\Program Files\Common Files\bett2f00\cpcnmzzcg.exe','');
QuarantineFile('C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe','');
QuarantineFile('C:\Documents and Settings\Дом\Application Data\Update\MSupdate.exe','');
QuarantineFile('C:\Documents and Settings\Дом\Application Data\Update\Explorer.exe','');
QuarantineFile('C:\Documents and Settings\Дом\Application Data\Microsoft\Windows\Mgagas.exe','');
QuarantineFile('C:\DOCUME~1\F184~1\LOCALS~1\Temp\Adobe\Reader_sl.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1.WIN\msntm.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1.WIN\msjywdf.exe','');
DeleteFile('C:\DOCUME~1\ALLUSE~1.WIN\msjywdf.exe','32');
DeleteFile('C:\DOCUME~1\ALLUSE~1.WIN\msntm.exe','32');
DeleteFile('C:\DOCUME~1\F184~1\LOCALS~1\Temp\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Documents and Settings\Дом\Application Data\Microsoft\Windows\Mgagas.exe','32');
DeleteFile('C:\Documents and Settings\Дом\Application Data\Update\Explorer.exe','32');
DeleteFile('C:\Documents and Settings\Дом\Application Data\Update\MSupdate.exe','32');
DeleteFile('C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe','32');
DeleteFile('C:\Program Files\Common Files\bett2f00\cpcnmzzcg.exe','32');
DeleteFile('C:\WINDOWS\system32\drivers\dcin.exe','32');
DeleteFile('c:\docume~1\alluse~1.win\mshldweii.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','1689181934');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run-','1689181934');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','1689182183');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe System Incorporated','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Mgagas');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Explorer Manager');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Explorer Manager','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Manager','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft AMP');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft AMP');
RegKeyParamDel('HKEY_USERS','S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run','Microsoft AMP');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\A38973873873','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','61143');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O4 - HKCU\..\Run: [Microsoft AMP] C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe
O4 - HKCU\..\Run: [Windows Explorer Manager] C:\Documents and Settings\Дом\Application Data\Update\Explorer.exe
O4 - HKCU\..\Run: [Windows Update Manager] C:\Documents and Settings\Дом\Application Data\Update\MSupdate.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\system32\drivers\dcin.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Config Setup] C:\WINDOWS\jodrive32.exe
O4 - HKLM\..\Policies\Explorer\Run: [1689181934] C:\DOCUME~1\ALLUSE~1.WIN\msjywdf.exe
O4 - HKLM\..\Policies\Explorer\Run: [61143] c:\docume~1\alluse~1.win\mshldweii.exe
O4 - HKLM\..\Policies\Explorer\Run: [1689182183] C:\DOCUME~1\ALLUSE~1.WIN\msntm.exe
O4 - HKCU\..\Policies\Explorer\Run: [Microsoft AMP] C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe
O4 - HKUS\S-1-5-19\..\Run: [Microsoft AMP] C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [Microsoft AMP] C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [Microsoft AMP] C:\Documents and Settings\Дом\Application Data\update\swpxdxhamv.exe (User 'Default user')


[/CODE]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Загрузите GMER по одной из указанных ссылок:
[B][URL="http://www.gmer.net/download.php"]Gmer со случайным именем[/URL][/B] [I](рекомендуется)[/I], [B][URL="http://www.gmer.net/gmer.zip"]Gmer в zip-архиве[/URL][/B] [I](перед применением распаковать в отдельную папку)[/I][*][B]Временно[/B] отключите драйверы эмуляторов дисков.[*]Запустите программу (пользователям [I]Vista/Seven[/I] запускать от имени [B]Администратора[/B] по правой кнопке мыши).[*]Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите [B]No[/B].[*]После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

[LIST][*][B][COLOR="Blue"]Sections[/COLOR][/B][*][B][COLOR="Blue"]IAT/EAT[/COLOR][/B][*][B][COLOR="Blue"]Show all[/COLOR][/B][/LIST][*]Из всех дисков оставьте отмеченным только системный диск (обычно [B]C:\[/B])[*]Нажмите на кнопку [B]Scan[/B] и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите [B]OK[/B].[*]После окончания проверки сохраните его лог (нажмите на кнопку [B]Save[/B]) и вложите в сообщение.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*]Подробную инструкцию читайте в [URL="http://virusinfo.info/showthread.php?t=40118"]руководстве[/URL][/LIST]

Готово

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится 1n00nmwv.exe случайное имя утилиты (gmer)
[CODE]
1n00nmwv.exe -del service ijzsce
1n00nmwv.exe -del file "C:\WINDOWS\system32\pxeqog.dll"
1n00nmwv.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\ijzsce"
1n00nmwv.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ijzsce"
1n00nmwv.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\ijzsce"
1n00nmwv.exe -reboot
[/CODE]
И запустите сохранённый пакетный файл [b]cleanup.bat[/b].

Внимание: Компьютер перезагрузится!

Сделайте новый лог gmer.

Был создан файл и запущен [B]cleanup.bat[/B], выдало ошибкуAn error 0x000000002 occured during the deletion of file: "C\windows\system32\pxeqog.dll": не найден указанный файл. После нажатия "ОК" программа отработала, но перезагрузки не произошло. Рабочий стор стал желтого цвета. При попытке перегрузиться был ответ "недостаточно прав". Была произведена принудительная перезагрузка.
После выполнения прошлых скринов компьютер самостоятельно не выключался, приходилось выключать через кнопку питания.

Новый лог GMER сделайте.

Новый лог GMER

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://www.dropbox.com/s/fv5udu0pse3a82g/FRST_canned.png?dl=1[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]https://www.dropbox.com/s/bw0sjh213n7646i/FRST.png?dl=1[/img]

Результаты FRST.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]HKLM\...\Policies\Explorer\Run: [Microsoft Driver Setup] => C:\WINDOWS\system32\drivers\dcin.exe No File
HKLM\...\Policies\Explorer\Run: [Microsoft Config Setup] => C:\WINDOWS\jodrive32.exe No File
HKLM\...\Policies\Explorer\Run: [1689181934] => C:\DOCUME~1\ALLUSE~1.WIN\msjywdf.exe No File
HKLM\...\Policies\Explorer\Run: [61143] => c:\docume~1\alluse~1.win\mshldweii.exe No File
HKLM\...\Policies\Explorer\Run: [1689182183] => C:\DOCUME~1\ALLUSE~1.WIN\msntm.exe No File
SearchScopes: HKU\S-1-5-21-299502267-113007714-839522115-1003 -> {3D41F773-C2A2-4541-8F58-DF94FA1311D3} URL = http://search.yahoo.com/search?ei=utf-8&FR=chr-vmn&type=oovoo2_0yach&q={searchTerms}
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\A38973873873" /f
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool ([B]D:\Программы\Антивирус AVZ[/B] в Вашем случае).
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Деинсталлируйте J2SE Runtime Environment 5.0 Update 6 и Java(TM) 6 Update 29 - это древние версии со множеством критических уязвимостей, которыми пользуются трояны для проникновения в систему.

Если Java вообще нужна для каких- либо приложений, игр - установите [URL="http://www.java.com/ru/download/manual.jsp"]Java 7 Update 71[/URL].

Перезагрузка началась, но потом зависла, компьютер пришлось выключать принудительно через кнопку пуск.

Антивирус отключали, как просил?

Удалите папку C:\FRST со всем содержимым.

Посмотрите, в папках:[CODE]C:\Documents and Settings\Дом\Application Data\wdfkqltdtllknmudcag
C:\Program Files\Common Files\iknjlbjd
C:\Documents and Settings\Дом\Application Data\c731200
C:\ecfpyqehh[/CODE]
что-то нужное есть?

[QUOTE]System errors:
=============
Error: (01/15/2015 03:03:26 PM) (Source: 0) (EventID: 9) (User: )
Description: \Device\Ide\IdePort1

Error: (01/15/2015 03:03:25 PM) (Source: 0) (EventID: 9) (User: )
Description: \Device\Ide\IdePort1

Error: (01/15/2015 03:03:24 PM) (Source: 0) (EventID: 9) (User: )
Description: \Device\Ide\IdePort1[/QUOTE]
Походе, проблемы с HDD, или контроллером, из-за этого может и не перезагружается штатно.

Антивирус отключен.
Папки
C:\Documents and Settings\Дом\Application Data\wdfkqltdtllknmudcag - пустая
C:\Program Files\Common Files\iknjlbjd - пустая
C:\Documents and Settings\Дом\Application Data\c731200 - файл присутствует
C:\ecfpyqehh в папке две папки S-1-5-21-0243556031-888888379-781862338-1861771 с файлами hieXlS89.exe, с Winsds2.exe по Winsds7.exe,
и S-1-5-21-0243556031-888888379-781862338-186176712 с файлами dv54rh7bn8r.exe и dv54rhbn8r.exe

Выполните в AVZ скрипт:[CODE]begin
QuarantineFileF('C:\ecfpyqehh', '*.exe', true,'', 0, 0, '', '', '');
QuarantineFile('C:\Documents and Settings\Дом\Application Data\c731200','');
DeleteFile('C:\Documents and Settings\Дом\Application Data\c731200','32');
DeleteFileMask('C:\ecfpyqehh','*',true);
DeleteDirectory('C:\Documents and Settings\Дом\Application Data\wdfkqltdtllknmudcag');
DeleteDirectory('C:\Program Files\Common Files\iknjlbjd');
DeleteDirectory('C:\ecfpyqehh');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Карантин отправлен

Кажется, всё зачистили. Проблемы остались?

Спасибо, кажется нет. Единственное когда проверяет AVZ пишет Пункт 9 "Подмена диспетчера задач" и Пункт 7 нестандартный диспетчер задач TASKMAN.EXE. Это критично?