Прошу помощи! Trojan:Win32\Vundo.gen!AW и др.

Здравствуйте! Обращаюсь к Вам за помощью как к последней инстанции!!!

14 декабря в мой ноутбук прокрался какой-то ужасный враг и уже есть некоторые последствия!
Ни антивирус, ни лечащие утилиты, ни специалист-компьютерщик по вызову, ни специалисты службы Майкрософт так и не смогли мне помочь.
Вердикт службы Майкрософт от 26 декабря - сделать ничего нельзя, система заражена и настала необходимость переустановки ОС.

Свой ноутбук HP Pavilion я купила в Канаде 4 года назад и все это время проблем с ним не возникало, меня в нем все устраивало.
На компьютре сейчас работает предустановленная англоязычная Vista Home Premium, 64-разрядная, со всеми необходимыми обновлениями, антивирус - Microsoft Security Essentials, который тоже без конца обновляется.

У меня есть возможность откатиться до "заводских" настроек Vista и потом обновиться, можно обновить ОС до Windows 7 или сделать полную установку Windows 7, купив коробочную версию продукта.
Windows 8 на мой ноутбук не станет или станет, но не полностью.
Откатиться до точки восстановления, созданой до 14.12.12, тоже не получится - такие точки не сохранились...

Я бы не хотела сейчас что-либо менять, но вот уже который день я включаю ноутбук и начинаются "сюрпризы" - новые и новые проявления того, что где-то затаился вирус...
Я все, что антивирус находит, удаляю, но, видимо, этого недостаточно...Все повторяется опять и опять...

Я сделала несколько скринов с информацией о том, что наносит вред, и, при необходимости, могу эти скрины Вам выслать дополнительно.

Т.к. у меня 64-разрядная система, то я выполнила указания для оформления заявки, начиная с пункта 2, и у меня получилось таким образом только 2 заархивированых файла. Их я и отправляю Вам с надеждой, что Вы мне подскажете и поможете, как избавиться от этой напасти...

Заранее спасибо.
С уважением, Елена

Уважаемый(ая) [B]Helen_Sh[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\TEMP\cvvg7mbd.exe','');
QuarantineFile('C:\TEMP\b67ehe09.exe','');
DeleteFile('C:\TEMP\b67ehe09.exe');
DeleteFile('C:\TEMP\cvvg7mbd.exe');
DeleteFile('C:\Windows\Tasks\f55d3jll.job');
DeleteFile('C:\Windows\Tasks\jli7.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Здравствуйте! Спасибо, что откликнулись!
Выполнила рекомендуемый скрипт, но после перезагрузки оказалось, что карантин пуст... [ATTACH=CONFIG]395448[/ATTACH]
И как выслать Вам новые логи, здесь нет функции "вставка"...
Что мне делать дальше?
С уважением, Елена

[quote="Helen_Sh;955212"]И как выслать Вам новые логи, здесь нет функции "вставка"..[/quote]
также как прикрепили предыдущие ... войдите в расширенный режим редактирования сообщения и оттуда управление вложениями.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="Helen_Sh;955212"]И как выслать Вам новые логи, здесь нет функции "вставка"..[/quote]
также как прикрепили предыдущие ... войдите в расширенный режим редактирования сообщения и оттуда управление вложениями.

Спасибо огромное, уважаемый regist, за подсказку!
Вот новые логи...

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Program Files (x86)\AIM6\aim6.exe','');
QuarantineFile('C:\TEMP\cvvg7mbd.exe','');
QuarantineFile('C:\TEMP\b67ehe09.exe','');
DeleteFile('C:\TEMP\b67ehe09.exe');
DeleteFile('C:\TEMP\cvvg7mbd.exe');
DeleteFile('C:\Windows\Tasks\f55d3jll.job');
DeleteFile('C:\Windows\Tasks\jli7.job');
DelBHO('{7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA}');
DelBHO('{dfbeb35b-444d-4f25-8d7d-eb2683c206ec}');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
DelBHO('{602ADB0E-4AFF-4217-8AA1-95DAC4DFA408}');
DelBHO('{02478D38-C3F9-4efb-9B51-7695ECA05670}');
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Сделала... Все отключила... Выполнила скрипт. Нужный файл успешно загрузился и к Вам отправлен...

Internet Explorer сегодня совсем перестал работать через запуск (хотя по ссылкам открывается). А самостоятельно включившийся минут 10 назад Касперски секюрити скан как и раньше определил каких-то 6 проблем именно с этим браузером (скрин прилагаю).

Запустила Google Chrome. Повторные логи сделала.

Уже можно включать антивирус и файрвол?

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Сделала... Высылаю...

что с проблемой ?

В смысле, решилась ли проблема?
Да ничего не изменилось... Internet Explore не запускается... На отдельном жёстком диске появились две новые папки (RECYCLE) - одну я быстренько удалила, а вторая - неудаляемая....

А файл с которого все началось сидит в перечне программ Startup... До 24.12.12 возле него стояла "галочка"...
Я, наверное, что-то не понимаю...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Первый раз после выполнения скрипта обнаружились 3 уязвимости.
Все сделала по рекомендациям - обновила, удалила, установила опять, перезагрузила....
Второе выполнение скрипта показало, что часто используемые уязвимости не обнаружены...
Сделала полное сканирование МВАМ.

Результаты отправляю... Ситуация с браузером не меняется - он не работает... Да, во время сканирования вдруг случился какой-то сбой, вылез синий экран, потом компьютер перезагрузился (все сам, я только смотрела)... Сканирование, конечно, прервалось, пришлось начинать сначала. Вторая попытка была удачной...

Ну хоть скажите, что с моим компьютером! Жить будет?! Есть ли вирусы, есть ли результаты их разрушительной деятельности?

Спасибо преогромное, что помогаете мне и таким же пострадавшим пользователям в борьбе за здоровье наших машинок!!!
С наступающим Новым Годом! Успехов и благополучия!
С уважением, Елена

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

Пожалуйста, полный образ готов, отправляю.
Я, правда, уже совсем ничего не понимаю, что я делаю... Такие для меня непонятные вещи.... Но пока получается...

боюсь, что на этот раз вы прислали не то. Ещё раз прочитайте как делать этот лог и сделайте заново

Sorry! Новый год приближается у нас в Киеве... Стол накрываю параллельно...
Конечно, не тот... А это оно?

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.77.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.0

delref PUSHD[/CODE]

отпишитесь, что с проблемой ?

Выполнила по инструкции нужный скрипт в uVS (даже два раза ночью и сейчас), но компьютер после выполнения скрипта не стал перезагружаться и архива с префиксом ZOO так и не получается - только текстовый документ. Высылаю оба.

Вы спрашиваете, что с проблемой? А я не знаю, что Вам и ответить... А что должно было произойти от всех этих манипуляций? Если можно, пожалуйста, поясните мне это более детально.
Ведь браузер Internet Explorer так и не запускается ( при этом три значка уже организовалось на экране - два внизу на панели и один на рабочем столе). В Startup так и сидит пусть и не в активном виде файл, из-за которого все началось...

[quote="Helen_Sh;955548"]В Startup так и сидит пусть и не в активном виде файл, из-за которого все началось...[/quote]
в логах этот файл почему-то не видно ... можете удалить его сами из автозагрузки и сам файл ?

- Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]

Я не знаю как удалить этот файл.
В папке С:\User\Lena\AppData\Roaming этого файла (w23n.exe) нет вообще.
А как найти локацию HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run я не знаю...
Подскажите, пожалуйста, как это можно сделать!

Т.к. браузер Internet Explorer не работает, а Google Chrome у меня работает как-то коряво, то я сегодня установила Opera...
И приятная неожиданность - опять в папке Lena появилась специальная синяя папка Downloads

Отчёты выслать не получаеться, папка вложений переполнена... Подскажите, пожалуйста, как ее почистить....

логи RSIT где ?

[quote="Helen_Sh;955630"]А как найти локацию HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run я не знаю...
Подскажите, пожалуйста, как это можно сделать![/quote]
например у меня есть программа Ccleaner очень удобна для очистки мусора, а также через неё можно управлять автозагрузкой. Возможно у вас установлено, что-нибудь наподобие.

И у меня есть такая программка, я ее периодически использую. Сейчас попробую там найти автозагрузку и почистить...

AVZ - сервис - поиск данных в реестре.
В поле "образец" впишите w23n.exe, нажмите "пуск" после окончания сохраните reg файл с отмеченными ключами, заархивируйте и выложите сюда.
Поиск не закрывайте

В CCleaner в Tools в Startur я его нашла и удалила...
Проверила - в Startup (в System Configuration) этого файла уже нет...

После этого при поиске данных в реестре ничего похожего на мой образец не нашлось, выкладывать нечего...
Поиск не закрывала...

Логи RSIT сделала, но выслать не могу - не выходит их вложить. Менеджер вложений переполнен, а удалить из него уже ненужное у меня никак не получается...

[quote="Helen_Sh;955640"]Менеджер вложений переполнен, а удалить из него уже ненужное у меня никак не получается...[/quote]Мой кабинет - Вложения

Высылаю логи RSIT

[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url]

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Логи RSIT как понимаю делали до удаления записи из автозагрузки, переделайте заново.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

1. CombiFix удалила...

2. Уязвимостей не обнаружено. Табличку-подтвержение высылаю...

3. Логи RSIT сделала еще раз (заново делается почему то только log.txt). Высылаю...

4. Отчёт AdwCleaner[R1].txt высылаю...

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Delete"[/B] и дождитесь окончания удаления.[B]Внимание: [COLOR="Red"]Для успешного удаления может потребоваться [U]перезагрузка компьютера[/U]!!![/COLOR][/B]

Попробуйте переустановить IE кроме него никаких проблем нет ?

[LIST][*]Загрузите [B]SecurityCheck by screen317[/B] [URL="http://screen317.spywareinfoforum.org/SecurityCheck.exe"]отсюда[/URL] или [URL="http://screen317.changelog.fr/SecurityCheck.exe"]отсюда[/URL] и сохраните утилиту на Рабочем столе[*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Когда увидите консоль, нажмите любую клавишу для продолжения сканирования[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]checkup.txt[/B];[*]Прикрепите файл к следующему сообщению.[/LIST]

1. Запустила повторно AdmCleaner... Получившийся лог высылаю...

2. Удалила IE 9. Установился IE 8. Ничего не поменялось. Он тоже не соединяется с сетью...
Других видимых для меня проблем в работе компьютера я не нахожу...

3. Лог checkup.txt высылаю...

Здравствуйте! Так что мне делать дальше или уже ничего не надо делать? Обо мне, наверное, забыли... Хотелось бы определенности какой-то...

Еще раз озвучьте проблемы.

Хорошо, еще раз озвучиваю:

В мой ноутбук 14 декабря через браузер Internet Explorer 9 залез вирус (на тот момент я использовала только этот браузер). Антивирирус определил этот вирус как Trojan:Win32\Vundo.gen!AW.
С большим трудом вирус был удален, но атаки продолжались буквально с каждым заходом в интернет.
Переустановила антивирус и браузер (по совету специалистов майкрософт).

Сейчас антивирус работает, а с браузером возникли проблемы - сначала перестала работать почта на отправку, ничего не получалось скачивать, а сейчас совсем перестал работать (не видит соединения с сетью).

Вот я и хотела узнать, не остался ли вирус где-то в системе и не пострадает ли от этого еще что-нибудь.
Цель - избежать переустановки ОС и восстановить нормальную работу компьютера.

Несколько дней старательно исполняла все рекомендации нескольких специалистов Virusinfo - скачивала разные программы, сканировала, выполняла скрипты, устраняла уязвимости, ну и отправляла все отчёты. И вдруг - тишина...

Я думала, что уже Вы озвучите информацию по результатам рассмотрения присланных Вам логов и всего другого, и я получу ответ на вопрос - пострадала ли система в моем компьютере от заражения или сейчас более-менее все нормально.

Вот как-то так...
С уважением, Елена

По логам сейчас все нормально.

Проблемы какие остались?

Спасибо! Вот и ясность появилась!!!
А с неработающим браузером я уже разобралась - установила другой (Opera). Работает...

Я надеюсь, что все те манипуляции, какие я с Вашей помощью проделала с компьютером, пошли ему на пользу!!!

Еще раз большое спасибо!
Всего Вам доброго!
С уважением, Елена

Добрый день!
Опять прошу помощи...

Вдруг совершенно неожиданно нормально заработал IE, а вот с Opera появились проблемы...
Вот такая картинка открывается при запуске, но ее можно обойти и дальше все работает вроде бы нормально...

Попробовала найти решение в интернете...
Много всего предлагается, но те пути для меня сложно очень выполнимые (не понимая, что я буду делать, могу что-то испортить и нарушить)
Есть также мнение, что это все-таки где-то зашифровался вирус...

Хотела бы узнать мнение специалистов Virusinfo по этому вопросу и, конечно же, возможные пути устранения этой проблемы...

С уважением, Елена

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

- [LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="Helen_Sh;956912"]Вот такая картинка открывается при запуске, но ее можно обойти и дальше все работает вроде бы нормально...[/quote]
+ попробуйте изменить домашнюю страницу.

Я это все уже проделывала... С логами все нормально...

Спасибо за совет!!! Назначила домашней страницей UKR.NET и все наладилось!!!