Winfdows 7 вирус trojan.MSIL.inject.ahyr [Trojan.MSIL.Inject.ahyr ]

Printable View

03.10.2014, 09:45
olegp79

Вложений: 2

Winfdows 7 вирус trojan.MSIL.inject.ahyr [Trojan.MSIL.Inject.ahyr ]

Добрый день, имеется ноутбук с Windows 7, стоит на нем лицензионный KAV 6.0, он находит несколько вирусов при лечении, один из них как мне кажется сам касперскаий показывает trojan.MSIL.inject.ahyr при его удалении на сколько понимаю удаляется много системных файлов, после чего система превращается в черный экран с двигающимся курсором, ни чего в таком режиме сделать нельзя, ни диспетчер задач ни сеть не работают, по сети к компьютеру тоже не подключится! помогает откатывание системы на пару дней назад! после чего вирус опять находится в пользовательских папках и если его опять удалить все повторяется, пробовал лечить и RemovalTool и Curit все одинаково! сейчас систему откатил, но вирус не лечу, потому как система опять "упадет"!
03.10.2014, 09:46
Info_bot

Уважаемый(ая) [B]olegp79[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.10.2014, 13:01
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\users\anatoly\appdata\roaming\vopackage\vosrv.exe');
StopService('{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64');
StopService('{9d5747ee-0448-4681-8337-1555de75a3b6}w64');
StopService('{55685567-4840-4a91-962b-49a412e9485a}w64');
StopService('netfilter64');
QuarantineFile('C:\Windows\SysWOW64\csrss.exe','');
QuarantineFile('C:\Windows\system32\csrss.exe','');
QuarantineFile('C:\Users\anatoly\appdata\roaming\rundll32.exe','');
QuarantineFile('C:\Program Files (x86)\Speed Analysis 3\ScriptHost.dll','');
QuarantineFile('C:\Program Files (x86)\SeeSimilar02\ScriptHost.dll','');
QuarantineFile('C:\Users\anatoly\AppData\Roaming\svchost.exe','');
QuarantineFile('C:\Windows\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64.sys','');
QuarantineFile('C:\Windows\system32\drivers\{9d5747ee-0448-4681-8337-1555de75a3b6}w64.sys','');
QuarantineFile('C:\Windows\system32\drivers\{55685567-4840-4a91-962b-49a412e9485a}w64.sys','');
QuarantineFile('C:\Windows\system32\drivers\netfilter64.sys','');
QuarantineFile('c:\users\anatoly\appdata\roaming\vopackage\vosrv.exe','');
DeleteFile('c:\users\anatoly\appdata\roaming\vopackage\vosrv.exe','32');
DeleteFile('C:\Windows\system32\drivers\netfilter64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{55685567-4840-4a91-962b-49a412e9485a}w64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{9d5747ee-0448-4681-8337-1555de75a3b6}w64.sys','32');
DeleteFile('C:\Windows\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64.sys','32');
DeleteFile('C:\Users\anatoly\AppData\Roaming\svchost.exe','32');
DeleteFile('C:\Program Files (x86)\SeeSimilar02\ScriptHost.dll','32');
DeleteFile('C:\Program Files (x86)\Speed Analysis 3\ScriptHost.dll','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
DeleteFile('C:\Users\anatoly\appdata\roaming\rundll32.exe','32');
DeleteFile('C:\Windows\system32\csrss.exe','32');
DeleteFile('C:\Windows\SysWOW64\csrss.exe','32');
DelBHO('{3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF}');
DelBHO('{A66261FC-B82E-4EC7-9F6D-C2F36B871DF0}');
DelBHO('{93488930-185C-4CED-AFEB-0FD4930F8423}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
DeleteService('{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw64');
DeleteService('{9d5747ee-0448-4681-8337-1555de75a3b6}w64');
DeleteService('{55685567-4840-4a91-962b-49a412e9485a}w64');
DeleteService('netfilter64');
DeleteFileMask('C:\Program Files (x86)\Speed Analysis 3','*',true);
DeleteFileMask('C:\Program Files (x86)\SeeSimilar02','*',true);
DeleteDirectory('C:\Program Files (x86)\Speed Analysis 3');
DeleteDirectory('C:\Program Files (x86)\SeeSimilar02');
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
03.10.2014, 15:27
olegp79

после выполнения скрипта, ситуация с черным экраном повтрилась :( опять надо откатывать систему...

[QUOTE]
Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].[/QUOTE]

надо в случае что после выполнения скрипта тот же результат делать остальное?
03.10.2014, 16:11
Vvvyg

Давайте тогда другое сделайте.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
03.10.2014, 16:44
olegp79

Вложений: 1

сделал.
03.10.2014, 21:43
Vvvyg

Сохраните файл [B][ATTACH=CONFIG]498823[/ATTACH][/B] в папку с UVS.

[URL="http://virusinfo.info/showthread.php?t=9279"]Загрузите систему в безопасном режиме[/URL].

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из файла...
Загрузите сохранённый файл со скриптом.

Компьютер перезагрузится.

Сразу загрузитесь в безопасном режиме с поддержкой сети.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Не ваыходя из безопасного режима сделайте полный новый образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.
04.10.2014, 10:36
olegp79

[QUOTE]В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.[/QUOTE]

сделал..

[QUOTE]Не ваыходя из безопасного режима сделайте полный новый образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.[/QUOTE]

сделал [url]http://rghost.ru/58343385[/url]
04.10.2014, 15:24
Vvvyg

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
sreg
delref %SystemRoot%\SYSWOW64\CSRSS.EXE
zoo %SystemDrive%\USERS\ANATOLY\APPDATA\ROAMING\BVFVCCFI\RTVHHTED.EXE
delall %SystemDrive%\USERS\ANATOLY\APPDATA\ROAMING\BVFVCCFI\RTVHHTED.EXE
delref %SystemDrive%\USERS\ANATOLY\APPDATA\ROAMING\OMIGA-PLUS\UNINSTALLMANAGER.EXE
delref %SystemDrive%\USERS\ANATOLY\APPDATA\ROAMING\DIGITA~1\UPDATE~1\UPDATE~1.EXE
delref %Sys32%\REGEDIT.EXE
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HP&TS=1405154642&FROM=ADKS&UID=_XXP
delref %Sys32%\DRIVERS\NETFILTER64.SYS
delref %SystemDrive%\PROGRAM FILES\A6ADCE5D-859A-4E7E-B0B2-D07F8AB9237E\BACGAJUBOB.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\SUPTAB\SUPTAB.DLL
delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\MIPONY\MIPONY.EXE
czoo
areg[/code]Компьютер перезагрузится.

Загрузите в карантин новый карантин (ZOO_*.zip), сделайте полный новый образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.
04.10.2014, 20:36
olegp79

пишет "тест скрипта содержит ошибки, либо не содержит команд uVS, выполнение таких скриптов запрещено!"
04.10.2014, 21:00
Vvvyg

Ошибок в скрипте нет, копируйте полностью.
05.10.2014, 09:39
olegp79

[QUOTE=Vvvyg;1167194]Ошибок в скрипте нет, копируйте полностью.[/QUOTE]

вчера копировал полностью и вставлял в текстовик, может быть в этом дело было, сегодня просто выполнил из буфера, получилось.

карантин загрузил.

образ автозапуска uVS [url]http://rghost.ru/58359816[/url]
05.10.2014, 22:43
Vvvyg

Отключите до перезагрузки антивирус.
Выполните скрипт в uVS:[CODE];uVS v3.83.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
delref %SystemRoot%\SYSWOW64\CSRSS.EXE
delref %Sys32%\REGEDIT.EXE
delref %SystemDrive%\USERS\ANATOLY\APPDATA\ROAMING\OMIGA-PLUS\UNINSTALLMANAGER.EXE
delref %SystemDrive%\USERS\ANATOLY\APPDATA\ROAMING\DIGITA~1\UPDATE~1\UPDATE~1.EXE
delref %Sys32%\DRIVERS\NETFILTER64.SYS
delref %Sys32%\DRIVERS\{55685567-4840-4A91-962B-49A412E9485A}W64.SYS
delref %Sys32%\DRIVERS\{9D5747EE-0448-4681-8337-1555DE75A3B6}W64.SYS
delref %Sys32%\DRIVERS\{9EDD0EA8-2819-47C2-8320-B007D5996F8A}GW64.SYS
delref %Sys32%\DRIVERS\{9EDD0EA8-2819-47C2-8320-B007D5996F8A}W64.SYS
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HP&TS=1405154642&FROM=ADKS&UID=_XXP
delref %SystemDrive%\PROGRAM FILES\A6ADCE5D-859A-4E7E-B0B2-D07F8AB9237E\BACGAJUBOB.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MIPONY\MIPONY.EXE
restart[/CODE]Компьютер перезагрузится.

Сделайте полный новый образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
06.10.2014, 09:26
olegp79

Вложений: 1

делал скрипт в безопасном режиме, в нем не работает антивирус.
полный образ автозапуска [url]http://rghost.ru/58375486[/url] .

лог AdwCleaner вставил, при сканировании по моему мнению файлы которые являются вирусом нашлись, но без команды удалять не стал.
06.10.2014, 09:35
Vvvyg

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].
06.10.2014, 09:46
olegp79

извините, запускал adwcleaner с флешки и выдернул её, почти сразу когда началась перезагрузка вставил, но видимо не успел, автоматически файл отчета не открылся после загрузки, грузился в безопасном режиме, но повторное сканирование ни чего не выявило.

кэши почистил.

нужно что то еще делать?
06.10.2014, 10:03
Vvvyg

В принципе, должно быть чисто, но хотелось бы убедиться. Ещё раз отсканируйте AdwCleaner'ом и приложите новый отчёт.
06.10.2014, 10:08
olegp79

Вложений: 1

новый отчет
06.10.2014, 10:18
Vvvyg

Чисто.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
06.10.2014, 10:37
olegp79

перезагрузился в обычном режиме, для того что бы проделать все последние рекомендации, касперский тут же "сказал" что есть активные угрозы, удалять не стал потому как понимаю чем закончится, загрузился опять в безопасном просканировал в AdwCleaner, ни чего не находит :O
06.10.2014, 10:42
Vvvyg

А какие именно активные угрозы? В журнале антивируса посмотрите.
06.10.2014, 10:53
olegp79

извините за ложную тревогу, возможно так как я все время работал в безопасном режиме касперский запомнил последнее состояние, сейчас после второй березагрузки тех сообщений что были нет, появилось сообщение о успешном удалении Trojan-PSW.Win32.Minari.hs пробую доделать данные Вами рекомендации.
06.10.2014, 11:01
Vvvyg

После этого, всё же сделайте ещё раз полный образ автозапуска uVS.
06.10.2014, 13:05
olegp79

хорошо, спасибо большое за помощь, сейчас проверяется за одно KAV 6.0.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

полный образ автозапуска http://rghost.ru/58377536
06.10.2014, 15:42
Vvvyg

В папке с UVS должны быть логи выполнения скриптов - текстовые файлы, имя состоит из даты и времени, упакуйте их в архив и прикрепите к сообщению.
06.10.2014, 16:21
olegp79

Вложений: 1

вот
06.10.2014, 22:37
Vvvyg

Спасибо.

Проблемы решены?
07.10.2014, 09:27
olegp79

надеюсь да, директор буквально выхватил ноутбук из рук вчера, очень он ему нужен был, пока не жаловался, вчера KAV еще находил зловредов, но из того что я видел благополучно все полечил.

спасибо.
07.10.2014, 09:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \csrss.exe._61bbac33d8cbea3200ed39eb0aa647f79b9191d7 - [B]Trojan.Win32.Fsysna.asyn[/B] ( DrWEB: BackDoor.Tishop.147, BitDefender: Trojan.Generic.11806894, AVAST4: MSIL:GenMalicious-ANC [Trj] )[*] \rtvhhted.exe._533b5654aa7f7b0127cae4a845d766c19b2d89eb - [B]Trojan.MSIL.Inject.ahyr[/B] ( DrWEB: BackDoor.Tishop.147, BitDefender: Trojan.Generic.11807179, AVAST4: MSIL:GenMalicious-ANC [Trj] )[*] \svchost.exe._61bbac33d8cbea3200ed39eb0aa647f79b9191d7 - [B]Trojan.Win32.Fsysna.asyn[/B] ( DrWEB: BackDoor.Tishop.147, BitDefender: Trojan.Generic.11806894, AVAST4: MSIL:GenMalicious-ANC [Trj] )[*] \{9d5747ee-0448-4681-8337-1555de75a3b6}.dll._3018e04d04b9c1a5c7fe5a458238201fb3450ffa - [B]not-a-virus:AdWare.Win32.SwiftBrowse.n[/B] ( DrWEB: Trojan.BPlug.100 )[/LIST][/LIST]