Создаются ярлыки на флешке и файлы становятся скрытыми [Worm.Win32.AutoRun.eyml ]

Printable View

22.04.2013, 08:49
SugaRock

Вложений: 3

Создаются ярлыки на флешке и файлы становятся скрытыми [Worm.Win32.AutoRun.eyml ]

Здравствуйте! Очень срочно нужна помощь. На флешке стали создаваться ярлыки папок, а сами папки становятся невидимыми. С помощью bat-файла возможно сделать папки видимыми, но не надолго, и ярлыки так и не удаляются. В свойствах ярлыков прописан запуск файла OUxpjrRrBqXWwru.exe через cmd. Также на флешке появилась папка Trashes. Также блокируется доступ на сайт F-secure.
Проверка Cure IT, AVZ, NOD никаких результатов не дала.
Очень надеюсь на вашу помощь!

[ATTACH]415652[/ATTACH]

[ATTACH]415653[/ATTACH]

[ATTACH]415654[/ATTACH]
22.04.2013, 08:50
Info_bot

Уважаемый(ая) [B]SugaRock[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.04.2013, 09:41
mrak74

Здравствуйте !!!

Выполните скрипт в AVZ:
[CODE]begin
ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\1\ms.exe','');
QuarantineFile('C:\WINDOWS\system32\80.exe','');
QuarantineFile('C:\WINDOWS\system32\58.exe','');
QuarantineFile('C:\WINDOWS\system32\50.exe','');
QuarantineFile('C:\WINDOWS\system32\46.exe','');
QuarantineFile('C:\WINDOWS\system32\34.exe','');
QuarantineFile('C:\WINDOWS\system32\31.exe','');
QuarantineFile('C:\WINDOWS\system32\20.exe','');
QuarantineFile('C:\WINDOWS\system32\08.exe','');
QuarantineFile('C:\WINDOWS\system32\04.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\hostsn.exe','');
QuarantineFile('C:\Documents and Settings\1\Application Data\ScreenSaverPro.scr','');
QuarantineFile('C:\Documents and Settings\1\Application Data\Microsoft\Mxyeyq.exe','');
DeleteFile('C:\Documents and Settings\1\Application Data\Microsoft\Mxyeyq.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\hostsn.exe');
DeleteFile('C:\WINDOWS\system32\04.exe');
DeleteFile('C:\WINDOWS\system32\08.exe');
DeleteFile('C:\WINDOWS\system32\20.exe');
DeleteFile('C:\WINDOWS\system32\31.exe');
DeleteFile('C:\WINDOWS\system32\34.exe');
DeleteFile('C:\WINDOWS\system32\46.exe');
DeleteFile('C:\WINDOWS\system32\50.exe');
DeleteFile('C:\WINDOWS\system32\58.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\Documents and Settings\1\ms.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Mxyeyq');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]
22.04.2013, 10:54
SugaRock

Вложений: 2

Вот логи, карантин отправил.

Сюда карантин случайно прикрепил, извиняюсь!

[ATTACH=CONFIG]415668[/ATTACH]

[ATTACH=CONFIG]415669[/ATTACH]
22.04.2013, 15:16
Vvvyg

[QUOTE=SugaRock;995469]Вот логи, карантин отправил.

Сюда карантин случайно прикрепил, извиняюсь![/QUOTE]Так удалите вложение!
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM всё, кроме:[/url][code]C:\Program Files\Microsoft Office\activator.exe (PUP.Hacktool) -> Действие не было предпринято.[/code]
[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url].
Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]
23.04.2013, 04:19
SugaRock

Вложений: 3

Всё сделал как вы сказали.

[ATTACH=CONFIG]415753[/ATTACH]

[ATTACH=CONFIG]415754[/ATTACH]

[ATTACH=CONFIG]415755[/ATTACH]
23.04.2013, 08:05
Vvvyg

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url][code];uVS v3.77.10 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

; C:\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\MICROSOFT\MXYEYQ.EXE
addsgn 925277AA116AC1CC0B34554E3341F788B9AE7C3776052EB8D5FA19C9AB90371F4BAC1F523E021E8A2FD3EC96831749ACFE1CEC21051DB32F2D75A4BF5796B2E3 16 Worm.Win32.AutoRun.eyml [Kaspersky]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\MICROSOFT\MXYEYQ.EXE
zoo E:\DEL.BAT
delall E:\DEL.BAT
; C:\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\SCREENSAVERPRO.SCR
chklst
delvir
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216017FF}
deltmp
restart[/code]Компьютер перезагрузится.
[NOTICE]Данный скрипт удалит Java, т. к. в установленной версии имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Если Java нужна, т.е. без неё не работают какие-либо сайты, онлайн-игры и т. п., скачайте и установите [URL="http://www.java.com/ru/download/manual.jsp"]Java 7 Update 21[/URL]. Для большинства сайтов Java не нужна и является потенциальной дырой в безопасности.[/NOTICE]
Упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата [B].ZIP[/B] с паролем [B]virus[/B] и отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в окошке с датой под главным меню установите галочку и дату 21.04.2013. Далее - "Файл" -> "Добавить в список все исполняемые файлы в каталогах не старше указанной даты...", после того, как список будет создан - Файл" -> "Сохранить полный образ автозапуска". Прикрепите файл с образом к своему следующему сообщению (если нет места для вложений - на rghost.ru и ссылку).
23.04.2013, 09:10
SugaRock

Вложений: 1

Огромнейшее Вам спасибо за помощь!:)

ZOO загрузил.

[ATTACH=CONFIG]415774[/ATTACH]
23.04.2013, 09:31
regist

192.168.0.1:3128 - сами прописывали ?

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.77.10 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\MICROSOFT\MXYEYQ.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\MICROSOFT\MXYEYQ.EXE
; C:\WINDOWS\SYSTEM32\36.EXE
addsgn 925277EA056AC1CC0B74414E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 8 Backdoor.Win32.Azbreg.ucc [Kaspersky]

zoo %Sys32%\36.EXE
; C:\WINDOWS\SYSTEM32\06.EXE
zoo %Sys32%\06.EXE
; C:\WINDOWS\SYSTEM32\40.EXE
zoo %Sys32%\40.EXE
; C:\WINDOWS\SYSTEM32\47.EXE
zoo %Sys32%\47.EXE
; C:\WINDOWS\SYSTEM32\50.EXE
zoo %Sys32%\50.EXE
; C:\WINDOWS\SYSTEM32\57.EXE
zoo %Sys32%\57.EXE
; C:\WINDOWS\SYSTEM32\84.EXE
zoo %Sys32%\84.EXE
; C:\WINDOWS\SYSTEM32\85.EXE
zoo %Sys32%\85.EXE
bl B4A6BC4097EC2300BDD3AABBF2569E8B 59904
; C:\WINDOWS\SYSTEM32\44.EXE
addsgn 925277AA026AC1CC0B34464E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 8 Backdoor.Win32.Azbreg.ubw [Kaspersky]

zoo %Sys32%\44.EXE
bl 085F286A6F2C31943AFF11F301684B74 41984
chklst
delvir
restart
[/CODE]

сделайте новый лог uVS
23.04.2013, 10:13
SugaRock

Вложений: 1

192.168.0.1:3128 - да, это сам.

Карантин прислал.
Java заново установил, так как необходима для работы бухгалтерской программы.

[ATTACH=CONFIG]415777[/ATTACH]
23.04.2013, 10:27
Vvvyg

[QUOTE=SugaRock;995728]192.168.0.1:3128 - да, это сам.
Java заново установил, так как необходима для работы бухгалтерской программы. [/QUOTE]Так установите последний билд, ссылку на загрузку я выше дал.

Загрузите систему в безопасном режиме и выполните скрипт в uVS:[CODE];uVS v3.77.10 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

offsgnsave
; C:\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\SCREENSAVERPRO.SCR
addsgn 925277AA116AC1CC0B34554E3341F788B9AE7C3776052EB8D5FA19C9AB90371F4BAC1F523E021E8A2FD3EC96831749ACFE1CEC21051DB32F2D75A4BF5796B2E3 16 Worm.Win32.AutoRun.eyml [Kaspersky]

; C:\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\MICROSOFT\MXYEYQ.EXE
chklst
delvir
restart[/CODE]
После перезагрузки сделайте новый образ автозапуска. Если нет места для вложений - на rghost.ru его и ссылку сюда.
23.04.2013, 14:26
SugaRock

Карантин отправил.

Образ:
[url]http://rghost.ru/45493393[/url]
23.04.2013, 18:28
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.77.10 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\SCREENSAVERPRO.SCR
delall %SystemDrive%\DOCUMENTS AND SETTINGS\1\APPLICATION DATA\SCREENSAVERPRO.SCR
restart[/CODE]

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
24.04.2013, 07:46
SugaRock

Вложений: 1

Вот.

[ATTACH=CONFIG]415929[/ATTACH]
24.04.2013, 09:14
Vvvyg

Что с проблемой?
24.04.2013, 09:38
SugaRock

Проблема вроде бы решена, но после перезагрузки иногда возникает на флешке файл Autorrrrinf без расширения, и папка RECYCLER. И было один раз что после перезагрузки USB Disc Security обнаружил на флешке файл OUxpjrRrBqXWwru.exe, и папки снова сделались скрытыми и появились ярлыки. Но в этот раз всё легко удалялось.

И ещё, не знаю связано ли это с этим вирусом, но бывает выскакивает ошибка SVHOST и перестаёт работать соединение в местной программе Континент-АП.
24.04.2013, 10:36
Vvvyg

[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url]
Сделайте новый полный образ автозапуска uVS [URL="http://virusinfo.info/showthread.php?t=9279"]из безопасного режима системы[/URL].
24.04.2013, 22:01
mrak74

+ [URL="http://virusinfo.info/showthread.php?t=16646"][I]Инструкции и утилиты для полного удаления остатков антивирусных продуктов[/I][/URL] для удаления остатков антивируса ESET.
25.04.2013, 05:35
SugaRock

Вот лог uVS.

[url]http://rghost.ru/45534284[/url]
25.04.2013, 08:13
Vvvyg

[QUOTE=SugaRock;996083]Проблема вроде бы решена, но после перезагрузки иногда возникает на флешке файл Autorrrrinf без расширения, и папка RECYCLER. И было один раз что после перезагрузки USB Disc Security обнаружил на флешке файл OUxpjrRrBqXWwru.exe, и папки снова сделались скрытыми и появились ярлыки.[/QUOTE]Флэшка в другие компьютеры вставлялась?
И Java обновите до 21-го билда.
25.04.2013, 08:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]55[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\1\\application data\\microsoft\\mxyeyq.exe - [B]Worm.Win32.AutoRun.eyjl[/B] ( BitDefender: Gen:Variant.Kazy.166561, AVAST4: Win32:AutoRun-CZB [Trj] )[*] c:\\documents and settings\\1\\ms.exe - [B]Worm.Win32.AutoRun.eyjl[/B] ( BitDefender: Gen:Variant.Kazy.166561, AVAST4: Win32:AutoRun-CZB [Trj] )[*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\hostsn.exe - [B]Backdoor.Win32.Azbreg.ubw[/B] ( BitDefender: Gen:Variant.Kazy.166603, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\08.exe - [B]Backdoor.Win32.Azbreg.ubw[/B] ( BitDefender: Gen:Variant.Kazy.166603, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\31.exe - [B]Backdoor.Win32.Azbreg.ubw[/B] ( BitDefender: Gen:Variant.Kazy.166603, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\46.exe - [B]Backdoor.Win32.Azbreg.ubw[/B] ( BitDefender: Gen:Variant.Kazy.166603, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\50.exe - [B]Backdoor.Win32.Azbreg.ubw[/B] ( BitDefender: Gen:Variant.Kazy.166603, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\58.exe - [B]Backdoor.Win32.Azbreg.ubw[/B] ( BitDefender: Gen:Variant.Kazy.166603, AVAST4: Win32:Malware-gen )[*] \\zoo\\mxyeyq.exe._d5c49e7e676b7fb2d3053c534154516288d96e7e - [B]Worm.Win32.AutoRun.eyml[/B] ( BitDefender: Trojan.GenericKD.958951, AVAST4: Win32:AutoRun-CZC [Trj] )[*] \\zoo\\06.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\36.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\40.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\47.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\50.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\57.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\84.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[*] \\zoo\\85.exe._f686dbf32c9d5ba46d04a9c5bf1e2edb7c7ebe2f - [B]Backdoor.Win32.Azbreg.ucc[/B] ( BitDefender: Trojan.Agent.AZLE, AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]