Вчера антивирус ESET Smart 5 сообщил, что есть вирус, но удалить его не смог (оперативная память =GuardMailRu.exe (3480), угроза - модифицированный Win32/Spy.Zbot.ZR троянская программа).
А началось всё с того, что перестал запускаться браузер мозила. А вот потом антивирус выдал такой вирус. Вроде никуда не заходила и не скачивала. Сегодня переустановила мозилу - вроде пока нормально.
Помогите пожалуйста.
Уважаемый(ая) [B]Виктория2013[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Users\Виктор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\7cunUsZvMEI.exe','');
QuarantineFile('C:\Program Files\musicbar Toolbar\rubar.dll','');
QuarantineFile('C:\Users\Виктор\AppData\Roaming\Mosoy\isxay.exe','');
QuarantineFile('C:\Users\Виктор\AppData\Roaming\Ilti\kumoq.exe','');
DeleteFile('C:\Users\Виктор\AppData\Roaming\Ilti\kumoq.exe');
DeleteFile('C:\Users\Виктор\AppData\Roaming\Mosoy\isxay.exe');
DeleteFile('C:\Program Files\musicbar Toolbar\rubar.dll');
DeleteFile('C:\Users\Виктор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\7cunUsZvMEI.exe');
DelBHO('{eea44af7-25cf-4b88-9fa7-8511bbb3ef2a}');
DelCLSID('{7A05BDCB-8F81-45C5-B9EC-3764E6FC1439}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{D29CCAFE-4409-F5AA-7BFD-1DD7F98A9B86}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{5B073CDE-5A6C-7A46-709E-E044B7CEB0E4}');
DeleteFileMask('C:\Program Files\musicbar Toolbar','*',true);
DeleteFileMask('C:\Users\Виктор\AppData\Roaming\Mosoy','*',true);
DeleteFileMask('C:\Users\Виктор\AppData\Roaming\Ilti','*',true);
DeleteDirectory('C:\Program Files\musicbar Toolbar');
DeleteDirectory('C:\Users\Виктор\AppData\Roaming\Ilti');
DeleteDirectory('C:\Users\Виктор\AppData\Roaming\Mosoy');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]
[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.
- Повторите логи АВЗ.
- [URL="http://virusinfo.info/showthread.php?t=49691&highlight=RSIT"]Сделайте лог RSIT[/URL]
эээ... я не очень поняла - какие логи повторить???? То, что я делала в самом начале и прислала в первом сообщении?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Вот...
- Установите [URL="http://windows.microsoft.com/ru-RU/windows7/learn-how-to-install-windows-7-service-pack-1-sp1"]SP1[/URL] ([COLOR="#FF0000"]может потребоваться активация[/COLOR]), [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]
mediaget сами устанавливали?
- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
mediaget установился, когда устанавливала с флэшки мегафон модем.... Я не знаю для чего он нужен. Ещё у меня установился FLV плеер, перед тем как я сохраняла HiJackThis. Этот плеер мне нужен? (я знаю - наверно глупый вопрос ))) ). Но я боюсь удалять не нужные программки.
[quote="Techno;968419"]- Сделайте лог полного сканирования MBAM.[/quote]
Выполните это. С программами потом разберемся.
Блиииин!!!! Опяяяять!!!! Стала устанавливать обновления через центр обновления, вроде обновилось эта SP. НО!!! Перегрузила комп и
1) всё время виснуть стал. С горем пополам загрузила
2) Антивирус опять кричит про троянскую программу! Но сейчас в скобках цифры другие - оперативная память =GuardMailRu.exe (3388 ), угроза - модифицированный Win32/Spy.Zbot.ZR троянская программа
Почему опяяяяять? :(:(:(:(:(:(
Компьютер пока сканируется
Выполните скрипт в AVZ:
[CODE]begin
QuarantineFile('C:\Users\Виктор\AppData\Roaming\A4B52E.exe','');
QuarantineFile('c:\program files\mail.ru\guard\guardmailru.exe','');
QuarantineFile('C:\Users\Виктор\AppData\Local\{DA6994BC-F559-C034-4895-1D04AA5DE6D5}\.exe','');
QuarantineFile('C:\Users\Виктор\AppData\Roaming\D79100\D79100.exe','');
QuarantineFile('C:\Users\Виктор\AppData\Roaming\Luih\olak.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
Лог MBAM где который у Вас запрашивали ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Дождитесь окончания сканирования MBAM после его окончания прикрепите лог MBAM, далее проделайте всё остальное вышеуказанное.
А мне надо удалять эти объекты в данной программке после сканирования?
Долго сканировала программа, поэтому не могла и прислать
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
вот прислала
[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL] всё, [B]кроме[/B]:
[CODE]C:\distrib\NERO8\Ahead.Nero.v8.3.2.1.Keymaker.Only-EMBRACE\keygen.exe (Trojan.Agent) -> Действие не было предпринято.
C:\distrib\RATDVD V0.75.1333\ALCOHOL 120% V1.9.5.3105\PATCH_3105.EXE (RiskWare.Tool.HCK) -> Действие не было предпринято.
C:\Program Files\AudioTranscoder\plugins\ffmpeg.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Program Files\Winamp\Plugins\DFX\Apps\touch_file.exe (Adware.Agent.ZGen) -> Действие не было предпринято.
C:\Program Files\Total Commander\Plugins\arc\Default.sfx (Malware.Packer.Gen) -> Действие не было предпринято.
C:\Program Files\Total Commander\Utils\fitW\fitW.exe (Malware.Packer.Gen) -> Действие не было предпринято.
D:\Документы\Игры\master_burger_3.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
F:\distrib Люба 11 ноя 09\NERO8\Ahead.Nero.v8.3.2.1.Keymaker.Only-EMBRACE\keygen.exe (Trojan.Agent) -> Действие не было предпринято.
F:\distrib Люба 11 ноя 09\Золотой SOFT Дима\ARC\WinRar.324\Crack\setup.exe (Trojan.Agent.CK) -> Действие не было предпринято.
[/CODE]
По AVZ вот файлы...
А в МВАМ сейчас заново делаю проверку, т.к. ответа уже вчера не дождалась на работе по поводу того что удалять...
Скажите, пожалуйста, а что мне делать, когда у меня проверит компьютер и я удалю вредные файлы, кроме тех, что мне сказали оставить?
[quote="Виктория2013;969031"]Скажите, пожалуйста, а что мне делать, когда у меня проверит компьютер и я удалю вредные файлы, кроме тех, что мне сказали оставить?[/quote]
Сохранить отчет и прикрепить его здесь.
вот.... посмотрите, пожалуйста
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
При перегрузке компьютера MBAM говорит, что была попытка подсоединения к вредоносному веб-сайту
1) 91.218.38.132
2) 91.226.116.136
3) 109.196.136.152
Скажите, пожалуйста, что это за сайты? и что мне делать?
[quote="Виктория2013;969099"]При перегрузке компьютера MBAM говорит, что была попытка подсоединения к вредоносному веб-сайту
1) 91.218.38.132
2) 91.226.116.136
3) 109.196.136.152[/quote]
Это нормально.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Что с проблемами?
Сейчас сделаю и вышлю результат.
На первый мой неопытный взгляд вроде нормально всё. Комп стал нормально с первого раза загружаться. Мозила тоже. Антивирус ESET Smart 5 больше не кричит по поводу модифицированного Win32/Spy.Zbot.ZR. Спасибо.
[quote="Виктория2013;969471"]Ой - а начинать с
var
ICounter : Integer;
A00,A01,A02,A03,A04,A05,A06,A07,A08,A09,A10,A11,A1 2,A13,A14,A15,A16,A17,A18,A19,A20,A21,A22,A23,A24, A25,
A26,A27,A28,A29,A30,A31,A32,A33,A34,A35,A36,A37,A3 8,A39,A40,A41,A42,A43,A44,A45,A46,A47,DecimalSym : string;
noSP, bRU : boolean;[/quote]
Это Вы к чему и о чём ?
я разобралась... ))))
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
после повторного выполнения скрипта в avz - результат - часто используемые уязвимости не обнаружены.
Это значит уже всё хорошо?
Огромное спасибо. :):):)
Вы меня спасли!!!!!!
смените пароли ! особенно от банковских систем, если ими пользуетесь.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Ок! Спасибо!!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\виктор\\appdata\\local\\{da6994bc-f559-c034-4895-1d04aa5de6d5}\\.exe - [B]Trojan.Win32.Agent.hpez[/B] ( DrWEB: BackDoor.Siggen.28461, BitDefender: Trojan.Generic.5647526, AVAST4: Win32:MalOb-IF [Cryp] )[*] c:\\users\\виктор\\appdata\\roaming\\ilti\\kumoq.exe - [B]Trojan.Win32.Inject.fawh[/B] ( DrWEB: Trojan.MBRlock.30, BitDefender: Gen:Variant.Graftor.66700, AVAST4: Win32:LockScreen-QS [Trj] )[*] c:\\users\\виктор\\appdata\\roaming\\microsoft\\windows\\start menu\\programs\\startup\\7cunuszvmei.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.PWS.Panda.2401, BitDefender: Gen:Variant.Barys.12108, AVAST4: Win32:Crypt-OVI [Trj] )[*] c:\\users\\виктор\\appdata\\roaming\\mosoy\\isxay.exe - [B]Trojan.Win32.Inject.fawi[/B] ( DrWEB: Trojan.MBRlock.30, BitDefender: Gen:Variant.Graftor.66700, AVAST4: Win32:LockScreen-QS [Trj] )[/LIST][/LIST]