Здравствуйте! Помогите пожалуйста удалить вирус Trojan.Win.32.Agent2.byu

Уже около 2х месяцев у меня проблемы с ноутом и интернетом, недели 2 назад не могла зайти на одноклассники и в контакт - почистила файл Host с левыми адресами, а также временами сильно виснет ноут и программы не отвечают или блокируется иногда доступ к программам или файлам. Раз 5 уже проверялась с AVZ4 - пишет вредоносных программ не обнаружено, подозрений 6 - Trojan.Win.32.Agent2.byu в папке System Restore UI.O.etl . Все удаляю, но через некоторое время все опять повторяется - я уже знаю, когда начинаются проблемы с интернетом (останавливается или отключается или бывает большой исходящий траффик) я нахожу на диске С папку с тысячами файлов с расширением .ZZZ (иногда оно плодится до 1G и более) сегодня опять проверилась с AVZ и удалила все тоже самое. но боюсь что все повторится как было уже не раз. Вот все файлы по инструкции :

Уважаемый(ая) [B]TEYA HFLJCNM[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[b]TEYA HFLJCNM[/b], Пофиксите в HJ только

[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = Preserve
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=ru_ru&c=81&bd=Pavilion&pf=laptop
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.2:8080
O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{453E237D-378C-44BB-9096-5440ABC4AC33}: NameServer = 8.26.56.26,156.154.70.22
O17 - HKLM\System\CCS\Services\Tcpip\..\{B054B7ED-019B-4930-941C-8210280E411A}: NameServer = 8.26.56.26,156.154.70.22
O17 - HKLM\System\CCS\Services\Tcpip\..\{D3C21668-2F7A-45EF-811D-5585BC06A1F0}: NameServer = 8.26.56.26,156.154.70.22
O20 - AppInit_DLLs:
[/CODE]

+ [URL="http://virusinfo.info/showthread.php?t=121767"]Сделайте полный образ автозапуска uVS[/URL]

Все сделала, скажите это этот вирус или что-то еще?

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Ничего себе какая пакость у меня еще живет:O Удалить это все?

[b]TEYA HFLJCNM[/b], Выполните скрипт в AVZ

[CODE] begin
DeleteFileMask('C:\Program Files\ololo', '*', true);
DeleteDirectory('C:\Program Files\ololo');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]

Что с проблемой?

Доброе утро! Сделала как Вы сказали (но в МВАМ ничего не удаляла) и он опять активизировался((( опять появились 2 папки на диске С с файлами .ZZZ (там происходит движение, почти весь диск С заполнен из свободных 3GB осталось только 500MB) и тормозит ноут (и папки открываются медленно, skype.exe и моbile.exe запускаются с торможением) почистила CCleaner и все исчезло опять (это уже не в первый раз такое происходит - активизируется и потом все исчезает((

Установите все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]


- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Затем повторите лог MBAM

Сейчас запустила МВАМ на проверку и он все время извещает о попытке доступа на вредоносный сайт 213.186.116.18 исходящий port 82804 или 52969 chrome.exe

[quote="TEYA HFLJCNM;900721"]Сейчас запустила МВАМ на проверку[/quote]
если он снова найдёт эту папку удалите.

+ Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]

Все сделала

Что с проблемой?

Пока не ясно, немного подтормаживает ноут, но уже лучше, но диск С красный опять, я давно уже обращаю на это внимание, что я ничего не добавляю на него, а у него изменяется объем, такое началось. когда вирус появился и когда активизируется, он может за день несколько раз менять объем, но никаких обновлений и программ не добавляется на него, сегодня он тоже был 3,2 GB свободного места, а сейчас 2,19 - я не закачивала столько обновлений и программ, только то что Вы рекомендовали, но они столько не весят и большую часть из них я только заменила на обновленные.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Выше я добавляла новые отчеты, которые предложил сделать другой парень.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Из-за того что он заполняется я уже регулярно чищу его CCleaner - так что лишнего на нем нет) но чистки хватает буквально на полдня или меньше(( я конечно не специалист - но мне кажется , что так не должно быть.

если проблема осталась,
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Все сделала

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::

File::


Driver::

Folder::

RegLockDel::
[HKEY_USERS\S-1-5-21-1228483107-2281945084-1354953221-1000\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A0268E5B-BEA4-B70A-678F-0CDF0A3BD7F8}*]
"jafenfhonfoagdnaepab"=-
"jakekfchbbhaadgdkbeo"=-
"jakekfchbbhaadgdkbao"=-
"hageofbggnofabed"=-

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Не дает разрешения, только на диск D. Что делать?

[quote="TEYA HFLJCNM;900796"]Не дает разрешения, только на диск D. Что делать?[/quote]
сохраните в корень диска D.

Извините, что прибавляю вам работы, но в этот раз я забыла отключить инет и антивирус и завис ноут. Можно ли еще раз повторить те же самые действия?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Combоfix завис(

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

И еще вот такая странная папка образовалась на диске С - 32788R22FWJFW - пустая

[quote="TEYA HFLJCNM;900814"]И еще вот такая странная папка образовалась на диске С - 32788R22FWJFW[/quote]
это нормально.
[quote="TEYA HFLJCNM;900814"]Можно ли еще раз повторить те же самые действия?[/quote]
да. Отключите антивирус и повторно выполните скрипт. Новый лог, который создаться после выполнения скрипта прикрепите к сообщению.

Я сделала все по инструкции, вчера прождала 6 часов , но проверка так и не закончилась, и сегодня повторила, но проверка точно также длилась долго - может ли длится проверка более 6 часов или что-то не работает правильно?

1. Файл c:\program files\install_flash_player.exe запакуйте с паролем virus и загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

2. В командной строке выполните:
[CODE]netsh int ip reset c:\resetlog.txt[/CODE]

3. Повторите лог ComboFix.

Все сделала

Пункт 2 перед комбофиксом выполнили? И что он Вам написал?

Да) зашла как админ -написала команду и нажала enter и потом exit) файл скопировала на диск D) так как не давал разрешения и запаковала

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Я не скопировала, то что он написал((

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

помню в конце 2 строк - ОК!

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

а после Combofix ноут не давал подключить модем - написал что файл помечен в реестре для удаления, но после перезагрузки - нормально

Выполните в АВЗ:
[CODE]begin
clearlog;
RegSearch('HKLM', '', '195.128.182.46');
savelog('dhcp.log');
end.[/CODE]

Файл dhcp.log прикрепите к следующему сообщению.

Сделала

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск D. [/B][/COLOR]
[code]
KillAll::

File::


Driver::

Folder::

RegLockDel::
[-HKEY_USERS\S-1-5-21-1228483107-2281945084-1354953221-1000\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A0268E5B-BEA4-B70A-678F-0CDF0A3BD7F8}*]


[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

что изменилось ?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ выполните скрипт AVZ

[CODE]begin
ExecuteRepair(21);
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится

Ничего не изменилось( Combofix не делает проверку (в течении получас никаких изменений не было) - скажите если он начинает делать проверку, я увижу ее ход, чтобы я не теряла время? Скрипт AVZ делать сейчас или только после отчета Combofix?

[quote="TEYA HFLJCNM;901050"]Скрипт AVZ делать сейчас или только после отчета Combofix?[/quote]
Делайте.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Подключение к интернету напрямую или через роутер?

Напрямую - мобильный через модем

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Скрипт AVZ сделала

- [URL="http://virusinfo.info/showthread.php?t=49691&highlight=RSIT"]Сделайте лог RSIT[/URL]

Выполнила (возможно вирус появился еще ранее чем 3 месяца назад, так как проблемы начались еще раньше, а обострилось все после того, как сам закачался файл с вирусом и фото сомнительной дамы (который мы уже удалили)

Выполните в АВЗ:
[CODE]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{A2146E23-39B8-47D5-B468-25031A9903DE}','DhcpNameServer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{D3C21668-2F7A-45EF-811D-5585BC06A1F0}','DhcpNameServer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\ControlSet001\Services\Tcpip\Parameters','DhcpNameServer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{D3C21668-2F7A-45EF-811D-5585BC06A1F0}','DhcpNameServer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{A2146E23-39B8-47D5-B468-25031A9903DE}','DhcpNameServer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{D3C21668-2F7A-45EF-811D-5585BC06A1F0}','DhcpNameServer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Tcpip\Parameters','DhcpNameServer');
RegKeyDel('HKEY_USERS','S-1-5-21-1228483107-2281945084-1354953221-1000\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A0268E5B-BEA4-B70A-678F-0CDF0A3BD7F8}*');
RebootWindows(true);
end.[/CODE]


[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

Еще раз озвучьте проблемы.

Все сделала. после удаления 2х вирусов ноут работает намного лучше - программы и папки открываются быстрее, почти как раньше, но интернет все еще работает плохо - моментами работает хорошо, но в основном исходящий трафик преобладает, в 2-3 раза минимум выше входящего постоянно, а часто например исх-около 250 kbps а вх-около 6kbps, oppen office в один и тот же день может открыть доку-нт, а может сказать неверный формат (ну это может мелочи), в последнее время долго грузятся почему-то skype.exe и mobile.exe (на ноуте ничего не менялось, раньше быстро открывались) и самое главное что диск С до сих пор красный - такое началось, когда вирус появился и периодически создавал папки с тысячами файлов .ZZZ) Диск хотя бы раз в неделю чищу CCleaner, свободного места было около 3,2GB, сейчас 2,27 GB - кроме ваших программ я ничего нового не загружала (и то половина на диске D в спец папке) я и раньше вирус замечала только по сильному торможению ноута, и если не могла зайти в инет (отсоединялся) - я смотрела диск С и обнаруживала эти папки, затем чистила все ССleaner и на время инет восстанавливался. то есть сейчас все работает хорошо, за исключением того. что описала выше.

[b]TEYA HFLJCNM[/b], повторите логи RSIT

+ откройте AVZ - Сервис - Поиск данных в реестре - поищите [I]A0268E5B-BEA4-B70A-678F-0CDF0A3BD7F8[/I] если что-то нибудь найдёт сделайте экспорт в файл и прикрепите к своему сообщению.

Выполнила

Выполните скрипт

[CODE]begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyResetSecurity('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A0268E5B-BEA4-B70A-678F-0CDF0A3BD7F8}');
RegKeyDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A0268E5B-BEA4-B70A-678F-0CDF0A3BD7F8}');
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится.

проблемы остались ? диск по прежнему продолжает забиваться файлами ? и что с интернетом?

Скрипт выполнила. Запустила ССleaner поиск проблем в реестре - вот что он написал (помимо остальных) - неверные расширения файлов .ZZZ - путь ....windows\Current version\Explorer\FileExts\.ZZZ и точно также, но с расширением .ZZZZ Потом запустила очистить диск (все кроме автосохранения паролей) - зашла на диск С и увидела опять эту папку (вот ее свойства - 6,58 MG на диске 45,0 MG Файла 11539 папок 46 В разделе безопасность написано это - Запрошенная информация недоступна или не может быть отображена. Я остановила очистку диска - папка исчезла. Диск С все еще красный. Может это совпадение, но несколько раз я замечала она появляется, когда я запускаю CCleaner - поиск ошибок в реестре и очистка диска, но не всегда, было и наоборот - запускаю ССleaner только когда нахожу ее.