Китайский Вирус

Printable View

24.12.2014, 19:31
hateyou

Вложений: 3

Китайский Вирус

Не могу удалить процессы в диспетчере задач. BaiduSdSvc.exe и BaiduHips.exe
24.12.2014, 19:32
Info_bot

Уважаемый(ая) [B]hateyou[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
24.12.2014, 21:55
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Den\AppData\Roaming\VOPackage\VOsrv.exe','');
SetServiceStart('servervo', 4);
DeleteService('servervo');
QuarantineFile('C:\Program Files\Google\chrome.bat','');
DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
DeleteFile('C:\Program Files\Google\chrome.bat','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
DeleteFile('C:\Users\Den\AppData\Roaming\VOPackage\VOsrv.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduHips.exe');
BC_DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\ad.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDConfig.dll');
BC_DeleteFile('C:\PROGRAM FILES\BAIDU\BAIDUSD\2.1.0.3086\BDKVDOWNLOADPROTECT.DLL');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDLogicUtils.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDKitUtils.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVCached.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVEng.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMPerfMon.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\bduf.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\bdmantivirus\TrustAndIso.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMAVE.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMDbSqlite.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMFrameWork.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMNet.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMReport.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDMSkin.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\DriverManager.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\FileMon.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\HIPSClient.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\PrivacyProtect.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\ad.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduHipsBusiness.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduHipsCore.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BaiduPrevUIn.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDConfig.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDLogicUtils.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\bdmantivirus\BDKitUtils.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMAVCached.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMAVEng.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMBase.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMFrameWork.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMNet.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMReport.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMStringUtils.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\BDMTinyXml.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\DriverManager.dll');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\TrustAndIso.dll');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys');
BC_DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS');
BC_DeleteFile('C:\Windows\system32\drivers\BDDefense.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe');
BC_DeleteSvc('BDKVRTP');
BC_DeleteSvc('bd0001');
BC_DeleteSvc('bd0002');
BC_DeleteSvc('bd0003');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('BDDefense');
BC_DeleteSvc('BDMWrench');
BC_DeleteSvc('BDEnhanceBoost');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BDShellExt.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\WebMonBHO.dll');
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1dcd9b67b10110351a2b47dc1e3e0a09&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1dcd9b67b10110351a2b47dc1e3e0a09&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1dcd9b67b10110351a2b47dc1e3e0a09&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1dcd9b67b10110351a2b47dc1e3e0a09&text=
R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O3 - Toolbar: (no name) - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - (no file)
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1dcd9b67b10110351a2b47dc1e3e0a09&text=[/CODE]

Обновите базы AVZ

Сделайте новые логи

Сделайте [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]такой лог[/url]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
25.12.2014, 14:32
hateyou

Вложений: 3

а как исправить в hijack, просто в логах?
лог combofix не получается сделать,просто нет файла txt
25.12.2014, 15:30
thyrex

[quote="hateyou;1204350"]а как исправить в hijack[/quote][url]http://virusinfo.info/showthread.php?t=4491[/url]

[quote="hateyou;1204350"]лог combofix не получается сделать,просто нет файла txt[/quote]Дождались окончания работы программы, когда она написала, что сохраняет файл?

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.16mb.com/Safe/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]
25.12.2014, 15:44
hateyou

Вложений: 1

Вот
25.12.2014, 16:05
thyrex

Ждем лог ComboFix
25.12.2014, 16:31
hateyou

Вложений: 2

Вместо txt файла создается какая-то папка с названием ComboFix[ATTACH=CONFIG]519545[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[ATTACH=CONFIG]519546[/ATTACH]
25.12.2014, 16:33
thyrex

Дубль 2: Вы дождались окончания работы утилиты? Там около 50 стадий, после чего программа напишет о сохранении лога
25.12.2014, 16:37
hateyou

Да, ждал до конца
25.12.2014, 16:45
thyrex

Программа писала (на английском), что сохраняет лог?
25.12.2014, 16:57
hateyou

Вложений: 1

[ATTACH=CONFIG]519552[/ATTACH] после окончания установки программа быстро закрывается
25.12.2014, 17:08
thyrex

Пробуйте сделать лог в безопасном режиме
25.12.2014, 17:46
hateyou

Вложений: 1

Получилось в безопасном режиме.
25.12.2014, 18:03
thyrex

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

File::
c:\windows\system32\drivers\BDArKit(1).sys
c:\windows\system32\drivers\BDArKit(2).sys
c:\windows\system32\drivers\BDDefense.sys
c:\windows\system32\drivers\bd0002.sys
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\drivers\BDArKit.sys
c:\windows\system32\drivers\bd0001.sys
C:\оpеrа.bаt.exe

Driver::
BDSafeBrowser
bd0001
bd0002
bd0004
BDEnhanceBoost
BDMWrench
BDArKit
BDDefense
BDMNetMon
BDMRTP
BDSGRTP

Folder::
c:\program files\Baidu
c:\users\Den\AppData\Local\Baidu
c:\program files\BaiduAn3.0
c:\program files\Common Files\Baidu

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BaiduClient"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BaiduAnTray"=-

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://savepic.org/5315621m.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
25.12.2014, 18:28
hateyou

Вложений: 1

done
25.12.2014, 18:42
thyrex

[QUOTE]c:\windows\system32\drivers\BDSafeBrowser.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\BDEnhanceBoost.sys
c:\windows\system32\drivers\BDMNetMon.sys
C:\iехplоrе.bаt.exe
C:\iexplore.bat
C:\opera.bat
c:\programdata\Baidu[/QUOTE]удалите вручную

Что с проблемой?
25.12.2014, 18:49
hateyou

Проблему решили, в диспетчере ненужных процессов не наблюдаю. Большое спасибо за помощь
25.12.2014, 19:01
thyrex

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]
25.12.2014, 19:23
hateyou

удалил
25.12.2014, 19:33
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]