Из за скайпа не работает курсор [Trojan.Win32.Bublik.azke ]

Добрый день. Проблема заключается в том что по скайпу был разослан файл после активации которого скайп сам выключился, после нового запуска скайпа происходит рассылка этого файла всем людям из списка контактов, а курсор перестает реагирывать, курсор начинает работать только если вызвать деспетчер задач.Разсылка файла происходит каждые 15 минут, и каждые 15 минут скайп сам перезагружается,а курсор вновь не работает.

Уважаемый(ая) [B]Рустам143[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[FONT=Century Gothic][COLOR="#ff3333"][SIZE=3]> Выполните скрипт в AVZ:[/SIZE][/COLOR][/FONT]

[CODE]
BEGIN
ClearQuarantine;
IF NOT IsWOW64 THEN
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
TerminateProcessByName('c:\windows\sms.exe');
QuarantineFile('c:\windows\sms.exe','');
DeleteFile('c:\windows\sms.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Windows Messages Controler');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Messages Controler');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Messages Controler');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
END.
[/CODE]

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "[B]Прислать запрошенный карантин[/B]", которая находится над первым сообщением этой темы, чтобы прислать [B]quarantine.zip[/B].

> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.
[COLOR="#ff3333"]_________________[/COLOR]
[SIZE=1][URL="http://virusinfo.info/showthread.php?t=7239"]> как выполнить скрипт в AVZ[/URL][/SIZE]

[ATTACH]422998[/ATTACH][ATTACH]422999[/ATTACH][ATTACH]423000[/ATTACH]

Выполните скрипт ещё раз в безопасном режиме и повторите отчеты.

еще браузер стал менять домашнюю страницу

[URL="http://virusinfo.info/showthread.php?t=53070"]Подготовьте отчет MBAM.[/URL] Со скайпом решена проблема?

да со скайпом проблема решена, сейчас делаю сканирывание через MBAM, обратил внимание что домашняя страница сама стала менятся то на одну то на другую, после того как выставляю старую страницу она активна, после нескольких перезагрузок она опять сбрасывается

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

вот
извените но проблема со скайпом опять продолжается

[CODE]
Обнаруженные файлы: 8
C:\Users\Рустам\AppData\Roaming\A42.exe (Spyware.Password) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\A959.exe (Spyware.Password) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\B9EC.exe (Spyware.Password) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\D6BF.exe (Spyware.Password) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\EF5E.exe (Spyware.Password) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\F0D4.exe (Spyware.Password) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\F90E.exe (Spyware.Password) -> Действие не было предпринято.[/CODE]Удалите с помощью МВАМ. Сделайте новые отчеты AVZ.

отчеты

Проверьте настройки скайпа

[IMG]http://img.tyt.by/n/it/0c/3/troyan_skype_1.jpg[/IMG]

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = fbdirecto.net/1/[/CODE]

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

вот

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.80.3 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

; C:\USERS\РУСТАМ\APPDATA\ROAMING\ADDIDI.EXE
addsgn A7679B1BB9B24E720B87F8E6A38DC215258AFC31CC2E157885C34EF1846E80162317F085C9A41604FBB35668B79D4452059FE87DFA1B09FFE52B3C040F57DD66 8 Trojan.Win32.Bublik.azke [Kaspersky]

zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\ADDIDI.EXE
bl E411D99057207E52E102B70414845414 112128
delref HTTP://WEBALTER.NET
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\ADDIDI.EXE
chklst
delvir
restart[/CODE]

сделайте новый образ автозапуска.

что с проблемой ?

вроде решилась после того как почистил антивирусом, иногда мышь всеравно подлагивает

скрипт и новый лог всё равно сделайте.

скрипт сделал, архив выше залил, вот логи

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\Рустам\AppData\Roaming\Addidi.exe','');
DeleteFile('C:\Users\Рустам\AppData\Roaming\Addidi.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Addidi');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

+ ко всем обратил внимание на то что удаленные файлы через МВАМ снова на месте, и они же отображаются в контроле доступа программ скайпа [url]http://radikal.ua/data/upload/fb1a9/49112/6cb4e8bdab.jpg[/url]

В uVS выполните скрипт

[CODE];uVS v3.81 script [http://dsrt.dyndns.org]

adddir %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\
crimg
[/CODE]

после этого в папке с uVS будет создан новый образ автозапуска название, которого имеет формат[B]"имя_компьютера_дата_сканирования"[/B]. Прикрепите этот образ к следующему сообщению. Если не поместится во вложения загрузите его сюда [url]http://rghost.ru/[/url] и дайте ссылку на скачивание.

[url]http://rghost.ru/46822661[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.80.3 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

; C:\USERS\РУСТАМ\APPDATA\ROAMING\3F9E.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\3F9E.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\3F9E.EXE
bl 313409FAB0ED6E0B4650A02F1ADEB641 73728
addsgn A7679B1BB9B24E720B87F8E6A38DC215258AFC31CC2E157885C34EF1846E80162317F085C9A41604FBB35668B79D4452059FE87DFA1B09FFE52B3C040F57DD66 8 Trojan.Win32.Bublik.azke [Kaspersky]

; C:\USERS\РУСТАМ\APPDATA\ROAMING\429D.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\429D.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\429D.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\8F91.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\8F91.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\8F91.EXE
bl 1202BD4963F9478A78B6E01FDC8C2BA8 73728
; C:\USERS\РУСТАМ\APPDATA\ROAMING\A24B.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\A24B.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\A24B.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\A737.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\A737.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\A737.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\B7E9.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\B7E9.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\B7E9.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\D3C2.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\D3C2.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\D3C2.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\DD43.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\DD43.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\DD43.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\E0AD.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\E0AD.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\E0AD.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\F01C.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\F01C.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\F01C.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\1671.EXE
addsgn A7679B19B9368B37BB2326449B0F57D9D102090931D73D7885A54CF9B8D9C609CBAEC4103E55FB4AEA392E9F461664A466DFE814DC9F58EA688C7AE982F197F9 8 Trojan.Win32.Yakes.cvpt [Kaspersky]

zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\1671.EXE
bl D73AC241858234F3CC310E7C4482AA81 81408
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\1671.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\CE3C.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\CE3C.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\CE3C.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\B445.EXE
addsgn 1ACD309A5583C58CF42BF93AA24BF20AA04AF37348FA1F780E12465D2F179B4B57722851B3CE9D492B80E29029102FF51291F8145AB5E60C4B78CB71F7602D0C 8 virus **** bublik ?

zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\B445.EXE
bl 92ABB657E379C6F1D7C99702FCEC1288 134144
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\B445.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\4C7A.EXE
addsgn 1AFAE79A5583C58CF42B627DA804DE50AE66ABA0028F13F3C8D34EC1585DB0C7F214056CC0239572D38F063F4716497B845FE87255A8ACAF10533365C7065660 8 virus *** bublik ?

zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\4C7A.EXE
bl 42A3AA56D2297DFA7CBA31E44118641B 772951
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\4C7A.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\6A6F.EXE
addsgn A7679B19B97E1A1AC9D5AEB1DAB8854525DC03E3C5785F78EFA69DDAD9938D248B838357C140B9CB6B80EC1B451649AC15177C325525A57CAF37A44773926273 8 virus **** bublik ?

zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\6A6F.EXE
bl CF5457F3AD74A87845E2A003D2E4A52A 85504
; C:\USERS\РУСТАМ\APPDATA\ROAMING\41B5.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\41B5.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\41B5.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\6A6F.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\767.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\767.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\767.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\D6E4.EXE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\D6E4.EXE
; zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\D6E4.EXE
delref FBDIRECTO.NET/1/
delref HTTP://WEBALTER.NET
chklst
delvir
restart[/CODE]

сделайте новый лог uVS, снова также ка написано в [URL="http://virusinfo.info/showthread.php?t=140432&p=1011155&viewfull=1#post1011155"]посте №19[/URL]

[url]http://rghost.ru/46835684[/url]

[quote="regist;1011188"]и пришлите карантин[/quote]
[QUOTE][b]6. [/b] Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем [color=Red]virus[/color] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)[/QUOTE]
карантин тоже жду.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

- выполните ещё раз этот же скрипт из безопасного режима.
- повторно сделайте образ uVS.

образ uVS, это как в посте 19 ?

да :)

[url]http://rghost.ru/46845849[/url]

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

вроде оно

ещё раз повторите лог ComboFix и uVS

заодно отпишитесь, что с проблемами ?

с проблемой вроде все решено но файлы на диске С так и остались
P.S. сейчас сделаю и скину логи

[quote="Рустам143;1012445"]но файлы на диске С так и остались[/quote]
какие файлы ? можно подробней ?

извеняюсь все вредоносные файлы которые были в папке Roaming удалены, проблема решена, спасибо
логи все равно скинуть ?

[quote="Рустам143;1012472"]логи все равно скинуть ?[/quote]
да.

простите что так долго не скидывал логи, был на отдыхе.Вернулся с отдыха,вирус тоже \ вот логи [url]http://rghost.ru/47190816[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.80.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\E0EE.EXE
; C:\USERS\РУСТАМ\APPDATA\ROAMING\E0EE.EXE
bl 1DBF36AE36D42CB08343A130F900F72C 98816
delall %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\E0EE.EXE
delall %SystemDrive%\USERS\РУСТАМ\APPDATA\ROAMING\ADDIDI.EXE
restart[/CODE]

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

отчет

C:\Users\Рустам\Desktop\Новая папка\ZOO\ - удалите вручную.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url]

[CODE]Обнаруженные файлы: 38
C:\Users\Рустам\AppData\Roaming\1C08.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\2317.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\4351.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\47B8.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\503D.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\59DA.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\6CA.exe (Trojan.FakeMS) -> Действие не было предпринято.
C:\Users\Рустам\AppData\Roaming\A646.exe (Trojan.FakeMS) -> Действие не было предпринято.
[/CODE]

сделайте новый лог полного сканирования MBAM.

очень долго сканирует :(

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

вот новый отчет

что с проблемой ?

вроде все, если будет повторятся отпишу, хорошо ?