Трояны Win 32/Agent.PTD и Win 32/Spy.Zbot.zr. Не заходит в безопасный режим. [HEUR:Trojan.Win32.Generic]

[FONT=Times New Roman][SIZE=3][COLOR=#000000]Добрый день![/COLOR][/SIZE][/FONT]
[SIZE=3][COLOR=#000000][FONT=Times New Roman] [/FONT][/COLOR][/SIZE]
[FONT=Times New Roman][SIZE=3][COLOR=#000000]Есть подозрение, что на моем компьютере поработали трояны. Не заходит в безопасный режим. Пробовал скрипт в AVZ и Safeboot с сайта Kaspersky. Не работает. Просто появляется черный экран с курсором в левом верхнем углу. В обычном режиме сканировал NOD 32, Dr.Web Cure It, SUPERAntiSpyware и Kaspersky Virus Removal Tool. Ничего не находится. NOD в фоновом режиме периодически ругается на на обнаружение троянов Win 32/Agent.PTD и Win 32/Spy.Zbot.zr. в системных файлах (svchost.exe, msmsgs.exe, ctfmon.exe и др.). Очистка при этом невозможна. В автозагрузке постоянно висит rsh.exe. Удалить и отключить его не возможно. При загрузке Windows периодически выдает окно с ошибкой rsh.exe. [FONT=Times New Roman]В автозагрузке были еще подозрительные [/FONT][FONT=Times New Roman]rasautou [/FONT][FONT=Times New Roman]и [/FONT][FONT=Times New Roman]_uninst69322526. [/FONT][FONT=Times New Roman]Но они нормально отключаются через [/FONT][FONT=Times New Roman]msconfig[/FONT][FONT=Times New Roman] [/FONT][FONT=Times New Roman] и [/FONT][FONT=Times New Roman]ccleaner[/FONT][FONT=Times New Roman]. [/FONT]Также пропала и не включается вручную экранная заставка Windows.[/COLOR][/SIZE][/FONT]
[SIZE=3][COLOR=#000000][FONT=Times New Roman] [/FONT][/COLOR][/SIZE]

Уважаемый(ая) [B]P_Bevs[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\User\Application Data\mrpky.exe','');
QuarantineFile('C:\Documents and Settings\User\Application Data\Microsoft\Windows\dllcache\rsh.exe','');
QuarantineFile('C:\Documents and Settings\User\Application Data\MediaInfo.exe','');
DeleteFile('C:\Documents and Settings\User\Application Data\MediaInfo.exe','32');
DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Windows\dllcache\rsh.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','rsh');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','MediaInfo');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','rsh');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','rsh');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','rsh');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Control Panel\Desktop','scrnsave.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Command Processor','AutoRun');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Command Processor\','Autorun');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','rsh');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','rsh');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Command Processor','AutoRun');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Command Processor\','Autorun');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
RegKeyParamDel('HKEY_CURRENT_USER','Control Panel\Desktop','scrnsave.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Command Processor','AutoRun');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Command Processor\','Autorun');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','Run');
DeleteFile('C:\Documents and Settings\User\Application Data\mrpky.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]

Карантин отправил. Вот новые логи.

1) Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится qqor9e62.exe случайное имя утилиты (gmer)
[CODE]
qqor9e62.exe -del service ftxczr
qqor9e62.exe -del file "C:\WINDOWS\system32\okhqukw.dll"
qqor9e62.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ftxczr"
qqor9e62.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ftxczr"
qqor9e62.exe -reboot
[/CODE]

И запустите сохранённый пакетный файл [b]cleanup.bat[/b].

Внимание: Компьютер перезагрузится!

Сделайте новый лог gmer.

2) [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O2 - BHO: TMAgent IE Adapter - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - (no file)
[/CODE]

3) Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

1) SUPERAntiSpyware - удалите через установка и удаление программ возможно идет конфликт с Eset Nod32

2) Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])

Сегодня утром компьютер начал загружаться как-то странно. Долго (около 3 минут) висит окно с логотипом Windows и шкалой загрузки, потом около 15 секунд просто черный экран и только после этого появляется окно для ввода пароля для входа в систему и продолжается нормальная загрузка системы.

Строчку пофиксил.

Выкладываю новые логи.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Получилось зайти в безопасном режиме. Прогнал Dr.Web Cure It и Kaspersky Virus Removal Tool. Ничего не обнаружено.

Заметил, что временными файлами очень быстро забивается свободное место на диске C. Вчера все почистил под ноль, а сегодня опять временных файлов на 500 мб.

Успели таки утащить пароль от eBay. Чуть не остался без аккаунта.

Сделайте лог полного сканирования MBAM ([url]http://virusinfo.info/showthread.php?t=53070[/url])

Добрый день!

Посмотрите, пожалуйста.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM[/url] всё найденное.
[NOTICE]Удалите Malwarebytes Anti-Malware, его использование в качестве антивируса с постоянной защитой не рекомендуется, особенно совместно с другими защитными продуктами.[/NOTICE]

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url], только программу скачайте [URL="http://yadi.sk/d/DiaedP1Y6fDrS"]отсюда[/URL].

Выкладываю лог MBAM после удаления всего найденного и образ автозапуска uVS. По прежнему долго грузится и еще заметил, что на youtub'е звук начал как-то подтормаживать и трещать.

[NOTICE]Удалите SUPERAntiSpyware![/NOTICE]Два антивируса в системе - это не двойная безопасность, а наоборот, конфликты и тормоза. Eset Nod32 будет вполне достаточно для защиты.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.80.17 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\MICROSOFT\WINDOWS\DLLCACHE\RSH.EXE
exec MsiExec.exe /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216024F0}
exec MsiExec.exe /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216033FF}
exec MsiExec.exe /quiet /I{3248F0A8-6813-11D6-A77B-00B0D0160070}
deltmp
restart[/code]На вопросы об удалении программ рекомендую соглашаться.
Компьютер перезагрузится.

[NOTICE]Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Скачайте и установите [URL="http://www.java.com/ru/download/manual.jsp"]Java 7 Update 25[/URL]. Уязвимости Java являются частой причиной взлома и заражения системы и поэтому это потенциальная дыра в безопасности[/NOTICE]

[COLOR=#000000]SUPERAntiSpyware удалил. После удаления и перезагрузки компьютера (последующих перезагрузках) стал включаться мастер нового оборудования. При этом ничего нового не подключено и что за оборудование он находит не понятно.

Скрипт в uVS выполнил. Но, он не удалил старую версию Java 6 Update 7. Удалил ее вручную. Новая версия Java 7 Update 25 уже была установлена.

[/COLOR]

Сделайте новый полный образ автозапуска uVS.

Вот новый полный образ автозапуска uVS.

В мастере оборудования есть возможность установить галочку "Не устанавливать драйвера для этого устройства" (или что-то подобное)?

Да, в диспетчере устройств висит два неизвестных устройства с возможностью и отключить и удалить. Попробовать удалить их? В самом мастере тоже можно поставить галочку на «установить позже» и тогда мастер закрывается с уведомлением, что оборудование работает неправильно, но при последующей перезагрузке опять загружается.

Да, удалите их.

Удаление не помогло. При перезагрузке появлялось снова, но я с этим неизвестным устройством разобрался. Это HP Quick Launch Buttons. Поставил драйвер и теперь все нормально.

Будут ли какие-то дальнейшие рекомендации? Или в остальном все чисто?

Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Спасибо! Программы обновил.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Не забудьте сменить все пароли на веб ресурсах.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\application data\\microsoft\\windows\\dllcache\\rsh.exe - [B]HEUR:Trojan.Win32.Generic[/B][/LIST][/LIST]