CopyPaste - вирус! Подменяет кошельки WebMoney

Здравствуйте! Я уже создавал тему, но она была удалена по ошибке!
Проблема в том, что никак и ни чем не смог удалить этот зловредный вирус с ПК!
Он изменяет все мои кошельки на свои, поэтому к моим деньгам у меня нет доступа!
P.s. После запуска файла-фируса система жаловалась на "can`t open clipboard"
Я предоставлял уже Логи (П 1 - 3), потом выполнил 2 скрипта и фиксил строки в программе *** (название - забыл)

Последний раз, Администратор mrak74 Просил По мимо выше описанных действий предоставить

1)Файл карантина 2)Обновленные Логи (П 2 - 3)

К сообщению я прикрепил новые Логи
Файл карантина, который я заточил в zip архив, был отправлен еще перед удалением прошлой темы!

Уважаемый(ая) [B]Alex_Crow[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Не плодите сразу несколько тем.

[URL="http://virusinfo.info/showthread.php?t=16646"][I]Инструкции и утилиты для полного удаления остатков антивирусных продуктов[/I][/URL]

Удалите и Eset и Avira, перезагрузите компьютер, после перезагрузки установите один антивирус, любой на Ваше усмотрение.

Сделайте лог быстрого сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]

Следов Антивируса Avira я так и не обнаружил, ESET32 я удалил, вместо него поставил Пробную Версию Касперского на 30 дней.
Лог быстрого сканирования прикрепил!

Удалите всё найденное в MBAM. Сделайте новый лог быстрого сканирования.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL]

Я выполнил первые два действия, перезагрузил ПК. Теперь у меня не отображается НИЧЕГО! - Ни рабочего стола, ни ярлыков - вообще ничего! Просто заставка рабочего стола и изретко мелькает стрелочка с песочными часами! Помогите!

В безопасный режим позволяет зайти ?

"За 1440 минут(ы) вы можете отправить не более 5 сообщений."

И еще я нашел в папке Виндовс тот самый Вирус.. точнее файл exe После которого началась подмена кошельков- но его не дает удалить

+Касперский (я его утром включил на проверку на 5 минут) он все папки System Volume назвал вирусами и требует удалить

Вы не поверите, но вот сейчас после минут 10 ожидания все запустилось... Это теперь каждый раз ждать придется загрузки минут 10 - 15?

[URL="http://virusinfo.info/showthread.php?t=9279"]Как загружаться в безопасном режиме (Safe Mode)?[/URL]

Сейчас я попробую, но тем не менее - все запустилось через 15 минут, странно.. ну и поттупливает немножко

Если удалось загрузиться в обычном режиме тогда сделайте лог быстрого сканирования MBAM, а также логи RSIT.

Я зашел через безопасный, ОЧЕНЬ ТУПИТ ВООБЩЕ ВСЁ + фона раб. стола нету, [I][U]но ярлыки отобразились сразу как и панель задач[/U][/I]. + Не было доступа к Интернету..

[I]Через последнюю удачную конфигурацию[/I]: Очень долго висело окно приветствия, потом загрузилось, но ничего опять не отобразилось

[B]В диспетчере задач я заметил 2 странных процесса: mbamservice.exe занимает очень много памяти примерно 146 000 Кб и avp.exe - он занимает почти все ЦП и его % скачит от 15 до 95% ЦП Так же число процессов, пока не подгружается рабочий стол скачет постоянно от 43 до 44 и при этом ЦП загружн почти до предела, и % меняется от 10 до 98 с резкими перепадами[/B]

[U]Вот сейчас все снова заработало + - 20мин[/U]

Логи можете сделать?

Да сейчас делаются, как то долго очень...MBAM сканирует

Вопрос, в MBAM пробный период коммерческой полной версии с защитой файлов в режиме реального времени, случайно не включили ?

Все Логи сделал, даже файл .exe с которого, все началось - нашел в папке WINDOWS (не удаляется он), но теперь проблема - что мне делать с рабочим столом??

Удалите MBAM, перезагрузите компьютер, сообщите как прошла загрузка без MBAM ?

После удаления MBAM [U]все так же осталось[/U] - Рабочий Стол подгружается через 10 - 20 мин..[B] Может это из за Касперского?[/B]..[B] Просто именно файл AVP.exe грузит ЦП и ОЗУ первые 20мин, а он как раз от Касперского[/B] =/ [I]Кстати говоря, Антиврус то я поставил на днях, а сам avp датируется 11.10.2013[/I]

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
Procedure ScanDir(ADirName : string; AScanSubDir : boolean);
var FS : TFileSearch;
begin
ADirName := NormalDir(ADirName);
FS := TFileSearch.Create(nil);
FS.FindFirst(ADirName + '*');
while FS.Found do
begin
SetStatusBarText(ADirName + FS.FileName);
if FS.IsDir then
begin
if AScanSubDir and (FS.FileName <> '.') and (FS.FileName <> '..') then
ScanDir(ADirName + FS.FileName, AScanSubDir)
end
else
AddToLog(ADirName + FS.FileName + '__MD5= ' + CalkFileMD5(ADirName + FS.FileName)+ '__Size= '+ IntToStr(GetFileSize(ADirName + FS.FileName)));

FS.FindNext;
end;
FS.Free;
end;

begin
ClearLog;
ScanDir('H:\Program Files\sUrf Andu keeep', true);
ScanDir('H:\Documents and Settings\All Users\Application Data\sUrf Andu keeep', true);
ScanDir('H:\Documents and Settings\All Users\Application Data\24b23e32b174a5', true);
ScanDir('H:\Documents and Settings\All Users\Application Data\InstallMate', true);
SaveLog(GetAVZDirectory + 'MD5&Size.txt');
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('I:\Zaxar\ZaxarGameBrowser.exe','');
QuarantineFile('H:\Documents and Settings\Саша\Application Data\tlauncher.rmo.ini','');
QuarantineFile('H:\Documents and Settings\Саша\Application Data\winrar.vbs','');
QuarantineFileF('H:\Documents and Settings\Саша\Application Data\.minecraft', '*', true, ' ', 0, 0);
DeleteFile('I:\Zaxar\ZaxarGameBrowser.exe','32');
DeleteFile('H:\Documents and Settings\Саша\Application Data\winrar.vbs','32');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\Zaxar Games Browser');
RegKeyStrParamWrite('HKLM','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list', 'H:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe', 'H:\Program Files\SweetIM\Communicator\SweetPacksUpdateManager.exe:*:Enabled:ipsec');
DeleteFileMask('I:\Zaxar', '*', true, ' ');
DeleteFileMask('H:\Documents and Settings\Саша\Application Data\.minecraft', '*', true, ' ');
DeleteDirectory('I:\Zaxar');
DeleteDirectory('H:\Documents and Settings\Саша\Application Data\.minecraft');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Выложите файл [B]MD5&Size.txt[/B] из папки с авз

Сделайте новые логи RSIT

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://safezone.cc/forum/showthread.php?t=22250"]этом руководстве[/URL].

[B]-После выполнения первого скрипта авз перестала отвечать..
-Пришлось закрыть и перезагрузить ПК вручную.[/B]
[B]-RSIT создает только один ЛОГ - прикрепил его[/B]


[U]И можно ли на данный момент снести Касперский и заменить тем же НОДОМ, или чем то по легче?[/U]

[B]P.s. Так же прикрепил скриншот[/B] [U][B]САМОГО[/B][/U] [B]вируса-файла, с которого всё началась с кошельками - он перенёсся в папку WINDOWS![/B]

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

1. [B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
DeleteFileMask('H:\Program Files\sUrf Andu keeep', '*', true, ' ');
DeleteFileMask('H:\Documents and Settings\All Users\Application Data\sUrf Andu keeep', '*', true, ' ');
DeleteFileMask('H:\Documents and Settings\All Users\Application Data\24b23e32b174a5', '*', true, ' ');
DeleteFileMask('H:\Documents and Settings\All Users\Application Data\InstallMate', '*', true, ' ');
DeleteFileMask('H:\Documents and Settings\Саша\Application Data\.minecraft', '*', true, ' ');
DeleteDirectory('H:\Program Files\sUrf Andu keeep');
DeleteDirectory('H:\Documents and Settings\All Users\Application Data\sUrf Andu keeep');
DeleteDirectory('H:\Documents and Settings\All Users\Application Data\24b23e32b174a5');
DeleteDirectory('H:\Documents and Settings\All Users\Application Data\InstallMate');
DeleteDirectory('H:\Documents and Settings\Саша\Application Data\.minecraft');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера.

2. Сделайте новые логи RSIT

3. Сделайте лог AdwCleaner.

[B]Я к стати этот вирус нашел в Логе, в реестре там он есть, тот который я скринил...
[/B]
[U]Так можно сейчас Антивирус удалить и поставить по легче - НОД32 Авира?[/U]

[I]-Скрипт выполнил
-Логи приложил
-Рабочий стол - без изменений[/I]

1. [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования поставьте галочки напротив [B]тех программ[/B], которые вам [B]не нужны[/B][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

2. Сделайте новые логи RSIT.

[B][I]Ребят, всё, спасибо за помощь)
[/I][/B]
[U]-С рабочим столом разобрался - нужно было удалить касперский, avp загружал систему при запуске

-С вирусом разобрался - нужно было отключить его процессы, после чего просто удалить)[/U]