Доброго времени суток.
Подхватил вирус.
Установил Dr.Web CureIT.
Trojan.MulDrop5.7250
500 зараженный вордовских документов.
У каждого разрешение - ехе.
Веб предлогает лечить, и в результате все удаляет.
Информация собиралась годами и очень ценна.
Ищу способ именно лечения.
Файл приложил.
Помогите.
Уважаемый(ая) [B]OmgEtoOem[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
1) Не надо прикреплять вирусы к сообщениям.
2) Сделайте логи по правилам: [url]http://virusinfo.info/pravila.html[/url]
3) Прикреплённый вами файл вирус и никакого отношения к вордовскому документу не имеет, разве только что возможно имеет такое же имя. Так что позвольте вебу их удалить.
[QUOTE=regist;1161721]1) Не надо прикреплять вирусы к сообщениям.
2) Сделайте логи по правилам: [URL]http://virusinfo.info/pravila.html[/URL]
3) Прикреплённый вами файл вирус и никакого отношения к вордовскому документу не имеет, разве только что возможно имеет такое же имя. Так что позвольте вебу их удалить.[/QUOTE]
А что это? куда тогда делись сами документы? если это не он?!
У меня все док-ты стали ехе файлами. Некоторые из них открываются пустыми, не которые с информацией. Открываются именно вордом.
Вот что происходит после открытия:
[COLOR=#2A2A2A][FONT=Verdana]Создает следующие файлы:[/FONT][/COLOR]
[COLOR=#464646][FONT=Verdana]
[LIST][*]C:\Documents and Settings\Default User\Templates\winword2.exe[*]%HOMEPATH%\Templates\winword.exe[*]%HOMEPATH%\Templates\winword2.exe[*]C:\Documents and Settings\Default User\Templates\winword.exe[*]%WINDIR%\file1.exe[*]%WINDIR%\brow.exe[*]<Текущая директория>\temperrr.doc[/LIST]
[/FONT][/COLOR]
[COLOR=#2A2A2A][FONT=Verdana]Присваивает атрибут 'скрытый' для следующих файлов:[/FONT][/COLOR]
[COLOR=#464646][FONT=Verdana]
[LIST][*]<Текущая директория>\temperrr.doc[/LIST]
[/FONT][/COLOR]
[b]OmgEtoOem[/b], дубль два
[NOTICE]прочтите и выполните правила [url]http://virusinfo.info/pravila.html[/url]
Гадаем только по логам.[/NOTICE]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[quote="OmgEtoOem;1161739"]Вот что происходит после открытия:[/quote]
забыли указать, что лезет в интернет, прописывается в автозагрузку, висит в процессах и заражает новые файлы.
Все вроде сделал по правилам. Приложил 3 файла лога.
[QUOTE][B][COLOR=Navy]Внимание !!![/COLOR][/B] База поcледний раз обновлялась 23.02.2014 [B]необходимо обновить базы[/B] при помощи автоматического обновления (Файл/Обновление баз). Протокол антивирусной утилиты AVZ версии 4.43.[/QUOTE]
Пожалуйста, обновите базы и сделайте новые логи.
и доктор вебом всё-таки пролечите перед этим систему.
[QUOTE=regist;1161803]Пожалуйста, обновите базы и сделайте новые логи.
и доктор вебом всё-таки пролечите перед этим систему.[/QUOTE]
Базу AVZ обновил, вот новые логи. Dr.Web Cureit не нашел вирусов при полном сканировании.
Если отдельно сканировать данные папки с моим документами, выдает что все файлы инфицированы трояном.
При выборе лечения, он их удаляет.
Самый главный вопрос который меня интересует. Можно как-нибудь эти инфицированные документы вылечить не удаляя.
[COLOR="#FF0000"]virusinfo_autoquarantine.zip[/COLOR] загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
[quote="OmgEtoOem;1161867"]Можно как-нибудь эти инфицированные документы вылечить не удаляя.[/quote]
ещё раз повторяю это вирус с названием ваших документов. В этих файлах ваших документов нет. Так что позвольте доктору их удалить. После этого
Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url]. Установите (во время установки откажитесь от использования [B]бесплатного тестового периода[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Custom Scan[/b]" ("[B]Пользовательское сканирование[/B]"), нажмите "[b]Scan Now[/b]" ("[B]Сканировать сейчас[/B]"), отметьте все диски. В выпадающих списках PUP и PUM выберите "[b]Warn user about detections[/b]" ("[B]Предупредить пользователя об обнаружении[/B]"). Нажмите нажмите "[b]Start Scan[/b]" ("[B]Запуск проверки[/B]"). После сканирования нажмите [b]Export Log[/b], сохраните в формате txt и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2014-04-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B][/URL][/URL].
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
а ваши настоящие вордовские документы скорее всего лежат рядом с атрибутом скрытый.
По вашему как объяснить тот факт, что эти сами файлы-вирусы открываются с информацией??????
Да и по поводу добавленного... первым делом показывает скрытые файлы!!!
Делаю дальше по инструкции...
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Вот лог с сканирования программой Malwarebytes Anti-malware.
[quote="OmgEtoOem;1162078"]По вашему как объяснить тот факт, что эти сами файлы-вирусы открываются с информацией??????[/quote]
не они открываются с информацией, а они через командную строку запускают ворд который уже видно открывает ваш файл (в том семпле который вы прислали до этого открывался просто шаблон
[CODE]C:\WINDOWS\system32\cmd.exe cmd.exe /c start /wait temperrr.docx[/CODE]).
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Поместите в карантин МВАМ[/url]
[CODE]Обнаруженные ключи в реестре: 10
HKCR\CLSID\{7D1B27B2-3DE0-4F26-94A0-E14FDB06D292} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKCR\TypeLib\{F32C616B-19B1-4978-919B-ACB52B51CAA5} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKCR\Interface\{CCE39B30-B61A-4569-9411-43747C6C481F} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{7D1B27B2-3DE0-4F26-94A0-E14FDB06D292} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKCR\Typelib\{F126C9FC-9299-40F2-BD42-C59023AD1E7F} (PUP.Optional.GetNow.A) -> Действие не было предпринято.
HKCR\Interface\{237FDFDB-3722-470E-8BA8-90196DABE967} (PUP.Optional.GetNow.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\TNod (Trojan.Agent.CK) -> Действие не было предпринято.
HKLM\SOFTWARE\SearchSnacks (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\ssnfd (PUP.Optional.SearchSnacks) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SearchSnacks (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
Обнаруженные папки: 7
C:\Users\kodi.irk\AppData\Roaming\OpenCandy (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Roaming\OpenCandy\5A18E65DE0E64AFABA505C82D267638B (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Roaming\OpenCandy\OpenCandy_5A18E65DE0E64AFABA505C82D267638B (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Program Files\SearchSnacks (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\IE (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\Service (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
D:\Users\Ashley\Downloads\slushatel-_torrentino.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
D:\Users\Ashley\Downloads\SoftonicDownloader_for_speedfan.exe (PUP.Optional.Softonic.A) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage-journal (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Roaming\OpenCandy\5A18E65DE0E64AFABA505C82D267638B\SkypeSetupFull-6.18.0.106.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\terms-of-service.rtf (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\Uninstall.exe (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\buildcrx-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\Info-ZIP-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\nsJSON-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\UAC-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
[/CODE]
+ Заархивируйте
[CODE]C:\Users\kodi.irk\Downloads\HideToolz\HideToolz\HideToolz.exe
D:\Windows\System32\Macromed\Flash\FlashUtil64_12_0_0_38_ActiveX.exe[/CODE]
в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
[QUOTE=regist;1162111]не они открываются с информацией, а они через командную строку запускают ворд который уже видно открывает ваш файл (в том семпле который вы прислали до этого открывался просто шаблон
[CODE]C:\WINDOWS\system32\cmd.exe cmd.exe /c start /wait temperrr.docx[/CODE]).
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Поместите в карантин МВАМ[/url]
[CODE]Обнаруженные ключи в реестре: 10
HKCR\CLSID\{7D1B27B2-3DE0-4F26-94A0-E14FDB06D292} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKCR\TypeLib\{F32C616B-19B1-4978-919B-ACB52B51CAA5} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKCR\Interface\{CCE39B30-B61A-4569-9411-43747C6C481F} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{7D1B27B2-3DE0-4F26-94A0-E14FDB06D292} (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKCR\Typelib\{F126C9FC-9299-40F2-BD42-C59023AD1E7F} (PUP.Optional.GetNow.A) -> Действие не было предпринято.
HKCR\Interface\{237FDFDB-3722-470E-8BA8-90196DABE967} (PUP.Optional.GetNow.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\TNod (Trojan.Agent.CK) -> Действие не было предпринято.
HKLM\SOFTWARE\SearchSnacks (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\ssnfd (PUP.Optional.SearchSnacks) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SearchSnacks (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
Обнаруженные папки: 7
C:\Users\kodi.irk\AppData\Roaming\OpenCandy (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Roaming\OpenCandy\5A18E65DE0E64AFABA505C82D267638B (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Roaming\OpenCandy\OpenCandy_5A18E65DE0E64AFABA505C82D267638B (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Program Files\SearchSnacks (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\IE (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\Service (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
D:\Users\Ashley\Downloads\slushatel-_torrentino.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
D:\Users\Ashley\Downloads\SoftonicDownloader_for_speedfan.exe (PUP.Optional.Softonic.A) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage-journal (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Users\kodi.irk\AppData\Roaming\OpenCandy\5A18E65DE0E64AFABA505C82D267638B\SkypeSetupFull-6.18.0.106.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\terms-of-service.rtf (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\Uninstall.exe (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\buildcrx-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\Info-ZIP-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\nsJSON-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
C:\Program Files\SearchSnacks\3rd Party Licenses\UAC-license.txt (PUP.Optional.SearchSnacks.A) -> Действие не было предпринято.
[/CODE]
+ Заархивируйте
[CODE]C:\Users\kodi.irk\Downloads\HideToolz\HideToolz\HideToolz.exe
D:\Windows\System32\Macromed\Flash\FlashUtil64_12_0_0_38_ActiveX.exe[/CODE]
в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.[/QUOTE]
Подскажите плиз как это сделать?
[quote="regist;1162111"]Поместите в карантин МВАМ[/quote]
там ссылка, по ней всё расписано.
Если я правильно понял, мне надо через AVZ выполнить скрипт.
Получился архив весом в 1.7 мб. Загрузчик не пропускает такой объем.
И про архивацию:
+ Заархивируйте
Код:
C:\Users\kodi.irk\Downloads\HideToolz\HideToolz\HideToolz.exe
D:\Windows\System32\Macromed\Flash\FlashUtil64_12_0_0_38_ActiveX.exe
в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.
Там нет инструкции.
[quote="OmgEtoOem;1162117"]Если я правильно понял, мне надо через AVZ выполнить скрипт.[/quote]
где вы скрипт увидели?
[quote="OmgEtoOem;1162117"]Получился архив весом в 1.7 мб. Загрузчик не пропускает такой объем.[/quote]
загрузите сюда [url]http://virusinfo.info/upload_virus.php?tid=166953[/url]
[quote="OmgEtoOem;1162117"]Там нет инструкции.[/quote]
а мой текст с просьбой заархивировать это не инструкция :> ?
[QUOTE=regist;1162121]где вы скрипт увидели?
Как прислать подозрительные файлы из карантина MBAM
Если Вас попросят, прислать подозрительные файлы из карантина Malwarebyte's Antimalware, выполните в AVZ(AVPTool/KIS/KAV) следующий скрипт:
Код:
begin
QuarantineFileF('%appdata%\Malwarebytes\Malwar~1\Quarantine', '*.quar', false, '', 0, 0);
CreateQurantineArchive(GetAVZDirectory+'mbam_quarantine.zip');
end.
В каталоге AVZ образуется архив mbam_quarantine.zip. Пришлите его по правилам.
Не прикрепляйте карантин к Вашему сообщению, пользуйтесь исключительно формой закачки!!!
загрузите сюда [url]http://virusinfo.info/upload_virus.php?tid=166953[/url]
а мой текст с просьбой заархивировать это не инструкция :> ?[/QUOTE]
Возможно, но я не силен) плиз детальнее)
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Залил файл по вышеуказанной ссылке.
[quote="OmgEtoOem;1162126"]Возможно, но я не силен) плиз детальнее)[/quote]
куда ещё детальней? вы по ссылке [url]http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584[/url] переходили? Читали?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
или не понятно как файл с помощью архиватора заархивировать?
Залил.
В MBAM удалили всё? Вебом поудаляли эти .exe от вируса?
Свежий лог MBAM сделайте.
[QUOTE=regist;1162153]В MBAM удалили всё? Вебом поудаляли эти .exe от вируса?
Свежий лог MBAM сделайте.[/QUOTE]
Вебом удалил.
в МВАМ не удалял ничего.
Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните в формате txt и прикрепите его к следующему посту.
[COLOR="#FF0000"]Самостоятельно ничего не удаляйте!!![/COLOR]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Что нужно сделать? Поновой скан в МВАМ? и удалить все?
[QUOTE=OmgEtoOem;1162169]Вебом удалил.
в МВАМ не удалял ничего.
Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Custom Scan" ("Пользовательское сканирование"), нажмите "Scan Now" ("Сканировать сейчас"), отметьте все диски. В выпадающих списках PUP и PUM выберите "Warn user about detections" ("Предупредить пользователя об обнаружении"). Нажмите нажмите "Start Scan" ("Запуск проверки"). После сканирования нажмите Export Log, сохраните в формате txt и прикрепите его к следующему посту.
[COLOR="#FF0000"]Самостоятельно ничего не удаляйте!!![/COLOR]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Что нужно сделать? Поновой скан в МВАМ? и удалить все?[/QUOTE]
Все кончился ваш энтузиазм?=)
Уважаемые, вы мне ответите?!
[QUOTE=OmgEtoOem;1162169]
Что нужно сделать? Поновой скан в МВАМ? и удалить все?[/QUOTE]
Все не просили удалять. Удалить нужно только указанные записи из 11 сообщения. Потом после удаления сделайте новый лог MBAM.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\$recycle.bin\s-1-5-21-3331606242-3122235961-1838984418-1000\$rv8wbus.doc - [B]Trojan.Win32.Agentb.bfpe[/B] ( BitDefender: Trojan.Dropper.Boran.XMR, AVAST4: Win32:Delf-TQL [Trj] )[*] \hidetoolz.exe - [B]not-a-virus:RiskTool.Win32.HideProc.q[/B][*] \unpack\физика.exe - [B]Trojan.Win32.Agentb.bfpe[/B] ( BitDefender: Trojan.GenericKD.1873637, AVAST4: Win32:Delf-TQJ [Trj] )[/LIST][/LIST]