Вирус создает файлы на флешке, отключает службы защиты. [Worm.Win32.Ngrbot.agnc ]

Здравствуйте.
Компьютер заражен вирусом через флешку. На ней при подсоединении к компьютеру вместо находящихся на ней файлов появляются их ярлыки и exe-файл с названием из строчных и прописных латинских букв, название всегда разное. Этот файл быстро исчезает. Если открыть ярлык, открывается программа cmd с записью "Скопировано файлов: 1", а также сама папка. Еще на флешке появляется ярлык папки System_Volume_Informaton. После того, как начали появляться ярлыки на флешке, на компьютере стали отключаться службы Брэндмауэр Windows и Центр обеспечения безопасности. Пожалуйста, скажите, что можно с этим сделать.
В инструкции по оформлению запроса о помощи сказано, что с 64-битной системой не надо выполнять п. 1. Значит ли это, что нужно только 2 файла логов?

Уважаемый(ая) [B]Беслан Салихов[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Users\q\AppData\Roaming\Identities\Vdckcf.exe','');
QuarantineFile('C:\Users\q\AppData\Local\Temp\kusadtylds.exe','');
QuarantineFile('C:\Users\q\AppData\Local\Temp\Adobe\Reader_sl.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4491894\b4519911.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4187714\v287941.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413341394\v2341.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v211941.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v2111941.exe','');
QuarantineFile('C:\ProgramData\CreativeAudio\jtkyyvgiu.exe','');
QuarantineFile('C:\PROGRA~3\mslgcnm.exe','');
DeleteFile('C:\PROGRA~3\mslgcnm.exe','32');
DeleteFile('C:\ProgramData\CreativeAudio\jtkyyvgiu.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v2111941.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41139114\v211941.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413341394\v2341.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4187714\v287941.exe','32');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-4491894\b4519911.exe','32');
DeleteFile('C:\Users\q\AppData\Local\Temp\Adobe\Reader_sl.exe','32');
DeleteFile('C:\Users\q\AppData\Local\Temp\kusadtylds.exe','32');
DeleteFile('C:\Users\q\AppData\Roaming\Identities\Vdckcf.exe','32');
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Буква диска, относящаяся к флэшке, какая?

Буква Е.

Карантин загрузите.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] (UVS).

Вставьте заражённую флэшку и [url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming
crimg[/code]

В папке с UVS будет автоматически создан образ автозапуска и упакован в архив с расширением [B].7Z[/B] с именем вида COMP_2014-08-14_14-40-40 (ИмяКомпьютера_Дата_Время.7Z). Прикрепите этот файл к своему следующему сообщению.

Карантин загрузил.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming

zoo C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413114\V210141.EXE
addsgn 1A1E249A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 16 Trojan/Win32.Caphaw.1 [AhnLab-V3]

; C:\PROGRAMDATA\MSLGCNM.EXE
; C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413114\V21041.EXE
addsgn 1ADE229A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 8 Trojan/Win32.Caphaw.2 [AhnLab-V3]

zoo C:\USERS\Q\APPDATA\ROAMING\B3FC.EXE
zoo E:\CSUUNBD.EXE
addsgn 1ABE239A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 16 Trojan/Win32.Caphaw.3 [AhnLab-V3]

zoo C:\USERS\Q\APPDATA\ROAMING\34C4.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\3F84.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\4937.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\B7AA.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\BCD6.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\C731200
zoo C:\USERS\Q\APPDATA\ROAMING\C830.EXE
zoo C:\USERS\Q\APPDATA\ROAMING\D8CA.EXE

chklst
delvir

delref %SystemDrive%\USERS\Q\APPDATA\ROAMING\IDENTITIES\VDCKCF.EXE
delref %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO\JTKYYVGIU.EXE
deldirex %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-413114
deldir %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO

deltmp
czoo
restart[/code]Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Снова выполните скрипт из сообщения #5, получившийся [B]новый[/B] (смотрите по дате) полный образ автозапуска uVS загрузите на rghost.ru и дайте ссылку в теме.

Архив ZOO_... не появился, только папка ZOO, но она вроде пустая. Отправил ее согласно инструкции.
[url]http://rghost.ru/57465163[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин (если будет)

[CODE];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

BREG
zoo %SystemDrive%\USERS\Q\APPDATA\ROAMING\C731200
delall %SystemDrive%\USERS\Q\APPDATA\ROAMING\C731200
zoo NNKZCPSAQW.EXE
delall NNKZCPSAQW.EXE
bl 5A67C20C9885E71C6E3C89FA6083AF08 133632
zoo %SystemDrive%\PROGRAMDATA\MSLGCNM.EXE
delall %SystemDrive%\PROGRAMDATA\MSLGCNM.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-418713714\V12873941.EXE
delall %SystemDrive%\RECYCLER\S-1-5-21-0243556031-888888379-781863308-41873714\V2873941.EXE
delall %SystemDrive%\USERS\Q\APPDATA\ROAMING\IDENTITIES\VDCKCF.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delall %SystemDrive%\USERS\Q\APPDATA\LOCAL\TEMP\ADOBE\READER_SL.EXE
deltmp
czoo
restart[/CODE]

сделайте новый образ автозапуска.

[url]http://rghost.ru/57467246[/url]

Выполните скрипт в uVS:[CODE];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

; C:\PROGRAMDATA\MSLGCNM.EXE
addsgn 1A1E249A5583528CF42B627DA804DEC9E946303ADAAC943CA1DBCE7C25CEFA00070348131A45AE9BDC710F47CD526DF68A2E63A1BE9B3BE4A62B803B4C520663 16 Trojan/Win32.Caphaw [AhnLab-V3]

adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming

;------------------------autoscript---------------------------

sreg

chklst
delvir

delref %SystemDrive%\USERS\Q\APPDATA\LOCAL\TEMP\KUSADTYLDS.EXE
delref %SystemDrive%\PROGRAMDATA\CREATIVEAUDIO\NDTCRVGIU.EXE
deltmp

areg

;-------------------------------------------------------------[/CODE]

После перезагрузки - новый образ автозапуска + добавьте во вложения к теме логи выполнения скриптов UVS - текстовые файлы, имя состоит из даты и времени выполнения, упакуйте их в архив и сюда.

+ забыл вам сразу написать. Обязательно смените все пароли, после лечения смените ещё раз.

Скрипт нужно выполнить со вставленной флешкой?

диск E это флешка? Тогда ответ да.

Да, диск Е - флэшка. Стоит ли это сделать с каждой зараженной флешкой? Их две штуки.

Сделайте пока с одной.

[url]http://rghost.ru/57468109[/url]

Выполните скрипт с подлючённой флешкой (той что вставляли при создание образа) карантин пришлите

[CODE];uVS v3.83 BETA 15 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

BREG
bl B0305EA7B1BF2654305B299C70804392 197632
zoo E:\CSUUNBD.EXE
delall E:\CSUUNBD.EXE
czoo
restart[/CODE]

Сделайте свежий лог uVS.

Отправил карантин

Лог нужен как написано в посте [url]http://virusinfo.info/showthread.php?t=164904&p=1148844&viewfull=1#post1148844[/url]
пока сделайте с этой же флешкой (убедимся, что её полностью очистили), потом посмотрим вторую.

Прошу прощения, нужен лог после скрипта из поста #1, или архив из всех имеющихся логов, или что-то другое?

[LIST=1][*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE];uVS v3.82 script [http://dsrt.dyndns.org]
adddir e:
adddir C:\RECYCLER
adddir C:\Users\q\AppData\Roaming
crimg
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы.[*]После этого в папке с программой будет создан образ автозапуска название, которого имеет формат [B]"имя_компьютера_дата_сканирования"[/B]. Прикрепите этот образ к следующему сообщению[*][INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][/LIST]

флешку на это время подключите.

[url]http://rghost.ru/57469414[/url]

ок, теперь со второй флешкой аналогично образ создайте.

При извлечении флешки выдает "устройство еще используется..." Это нормально?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

http://rghost.ru/57469952

[CODE]E:\AUTORUN.INF[/CODE]
вам знаком? Если нет откройте блокнотом и напишите его содержимое тут.
Что с проблемой?

Ярлыки не создаются, флешки извлекаются спокойно, службы не отключаются. Похоже, все в норме. Спасибо огромное!

насчёт файла не ответили.

Я все файлы удалил уже с флешки, так как там оставались ярлыки. В авторане было три строчки, в первой [Autorun], во второй что-то вроде image=0, в третьей совсем не помню, вроде как-то так.:(

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\creativeaudio\jtkyyvgiu.exe - [B]Trojan-Spy.Win32.Zbot.sbhb[/B] ( AVAST4: Win32:Malware-gen )[*] c:\progra~3\mslgcnm.exe - [B]Trojan-Spy.Win32.Zbot.sbha[/B][*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-41139114\v2111941.exe - [B]Trojan-Spy.Win32.Zbot.sbhb[/B][*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-41139114\v211941.exe - [B]Trojan-Proxy.Win32.Lethic.bvp[/B] ( AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-413341394\v2341.exe - [B]Trojan-Proxy.Win32.Lethic.bvo[/B] ( BitDefender: Trojan.GenericKD.1805132, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-4187714\v287941.exe - [B]Trojan-Spy.Win32.Zbot.ttuo[/B][*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-4491894\b4519911.exe - [B]Trojan-Proxy.Win32.Lethic.bvq[/B] ( BitDefender: Trojan.GenericKD.1802986 )[*] \csuunbd.exe._a6481352d55fb29b8ca608d49b4a38c43f80c8a1 - [B]Worm.Win32.Ngrbot.agnc[/B][*] c:\users\q\appdata\local\temp\adobe\reader_sl.exe - [B]Worm.Win32.Ngrbot.agng[/B][*] c:\users\q\appdata\roaming\identities\vdckcf.exe - [B]Worm.Win32.Ngrbot.agng[/B][*] \c731200._a6481352d55fb29b8ca608d49b4a38c43f80c8a1 - [B]Worm.Win32.Ngrbot.agnc[/B][*] \mslgcnm.exe._12901f93cb773ce8594677b8a396da8cfc45e7ce - [B]Trojan-Spy.Win32.Zbot.sbha[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]