Вирус Brontok и прочая нечисть [Net-Worm.Win32.Kido.ih, HEUR:Trojan.Win32.Generic ]

Здравствуйте!
На компьютере давно появился вирус Brontok, который проявлял себя, как самооткрывающаяся вкладка в любом из браузеров, который на тот момент был основным, независимо, есть Интернет-соединение или нет. Сильно тормозила система, "подвисы" порой были по 15-20 минут, любая загрузка в браузере (пусть даже картинку сохранить) тут же сопровождалось перезагрузкой компьютера, Adobe Flash Player вообще не давало обновлять, система сразу же перезагружалась (в результате не все сайты корректно работали). Бывало такое, что нормально выключался компьютер через раз, приходилось вырубать путём нажатия на кнопку... Неоднократно лечили Касперским и Доктор Вебом, но даже после полных сканирований и проверок, и, вроде бы, его "лечения", после перезагрузки вирусы проявлялись опять. После Касперского Crystall компьютер вообще пробыл в коматозе неделю (не включался).
Провела все действия, как написано в инструкции, прежде чем написать сюда. При проверке в безопасном режиме антивирус нашел более 160 угроз (там были не только файлы Brontok, но еще и Data User, smss.exe и т.д.), вроде как все подлечил. AVZ тоже сохранил какие-то файлы в autoquarantine.
Как узнать, остались ли вирусы на компьютере? И как быть, если есть еще флешка и внешний жесткий диск, зараженный теми же вирусами (на них неудаляющаяся папка Data User, и при проверке антивирусом Brontok тоже определяется)?
Заранее спасибо!
[ATTACH]533684[/ATTACH]
[ATTACH]533685[/ATTACH]
[ATTACH]533686[/ATTACH]

Уважаемый(ая) [B]pronto[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[quote="pronto;1227128"]если есть еще флешка и внешний жесткий диск, зараженный теми же вирусами (на них неудаляющаяся папка Data User, и при проверке антивирусом Brontok тоже определяется)[/quote]Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url] с подключенными флешкой и внешним диском

Прикладываю. Всю ночь сканил
Есть еще флешки+флеш карты с телефонов (тоже заражены). Их тоже им же проверить?

Удалите в MBAM (переместите в карантин) всё найденное.

Остальные носители тоже необходимо проверить, подключите их по возможности одновременно, в MBAM выберите в режиме Custom Scan соответствующие носители и выполните сканирование.

Сейчас займусь

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Правильно, что по окончанию проверок нажимала "Apply Actions"?
Прикрепляю результаты проверки остальных носителей. Флешки почему-то отображаются как папки и включаются не с первого раза (компьютер не сразу их видит).
Проверяла чисто флешки, диск C не включала в проверку.

Каждый раз по окончанию проверок у меня отображались красным какие-то вредоносные файлы, а в логах они почему-то не отображаются

То ли нет там вируса, то ли что-то не так делаете.

Сколько [U]одновременно[/U] съёмных носителей можете подключить к комьютеру и какие буквы дисков у них?

Одновременно подключаю три, есть еще четвертый разъём, но он не рабочий (это уже давно, без причин перестал работать). Компьютер ноутбук
Съемные диски E, F, H

Алгоритм был такой: вставляю флешки, дожидаюсь чтобы отобразились, включаю программу, через Custom Scan настраиваю их проверку, сканирую, по окончанию жму Apply Actions сохраняю лог в txt формате.

Подключите все 3 съёмных диска, скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

adddir e:
adddir f:
adddir h:
crimg[/code]
Перезагрузки не будет, карантина тоже, в папке с программой будет сохранён полный образ автозапуска в виде архива архив 7-Zip с расширением .7Z. Прикрепите этот архив к посту в теме.

[ATTACH=CONFIG]533978[/ATTACH]
Какой? autorun? Архив с расширением 7Z. не найду

USER-ПК_... со значком от WinRar.

Вот.

Диски съемные кстати под названием E, F, G открылись, в скрипте букву меняла

Флэшки не вынимаем.
Отключите до перезагрузки антивирус и [url=http://virusinfo.info/showthread.php?t=121769]выполните скрипт в uVS:[/url][code];uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
delall G:\AUTORUN.INF
delall F:\AUTORUN.INF
delall E:\AUTORUN.INF
zoo G:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
delall G:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
delall F:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
delall E:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
zoo F:\LITAR\KRVI.EXE
delall F:\LITAR\KRVI.EXE
delref .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
deldir G:\RECYCLER
deldir F:\RECYCLER
deldir E:\RECYCLER
deldir F:\LITAR
deltmp
delnfr
czoo
restart[/code]Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Удалите Yahoo! Messenger, если не пользуетесь.

Деинсталлируйте MBAM.

Сообщите, какие остались проблемы.

Сейчас все сделаю. Большое спасибо за быстрые ответы!))

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скрипт сделала, компьютер перезагрузился, карантин отправила, лог выполнения прикрепила.
Из проблем: также подвисает компьютер, переодически "замирая", 2 раза при перезагрузке сейчас жестко завис, пришлось вырубать. Раньше сваливала на вирусы, сейчас не знаю на что.
Те флешки, с которыми выполнялся скрипт, стали нормально отображаться. На одной из них появился файл BOOTEX.
Что мне делать с остальными флешками? У меня еще их много ^^" Плюс еще внешний жесткий диск. Так понимаю, мне нужно будет повторить те же самые процедуры со скриптами, что мы с Вами уже делали?
Яху удалила, Мбам тоже. Мои дальнейшие действия?
Антивируса, кстати, постоянного у меня нет, потому что и так компьютер не летал, а с антивиром так вообще еле ползал. Что посоветуете?

[QUOTE=pronto;1227637]Из проблем: также подвисает компьютер, переодически "замирая", 2 раза при перезагрузке сейчас жестко завис, пришлось вырубать. Раньше сваливала на вирусы, сейчас не знаю на что.[/QUOTE]

Будем делать посмотреть.

Скачайте утилиту [URL="https://yadi.sk/d/HeoPGwfQZEaMW"]MiniToolBox[/URL] и сохраните на рабочем столе.

Запустите [U]при подключённом интернете[/U], отметьте следующие пункты:

[LIST][*]Список последних 10 записей журнала событий[*]Только проблемных[*]Список юзеров, разделов и размера памяти[*]Список дампа памяти[*]список точек восстановления[/LIST]

и нажмите Старт.

После завершения сбора информации откроется отчет [b]Result.txt[/b], прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

[QUOTE=pronto;1227637]Те флешки, с которыми выполнялся скрипт, стали нормально отображаться. На одной из них появился файл BOOTEX.[/QUOTE]
Можно удалить его.

[QUOTE=pronto;1227637]Что мне делать с остальными флешками? У меня еще их много ^^" Плюс еще внешний жесткий диск. Так понимаю, мне нужно будет повторить те же самые процедуры со скриптами, что мы с Вами уже делали?
Яху удалила, Мбам тоже. Мои дальнейшие действия?[/QUOTE]

Выполняете скрипт из сообщения #9, если буквы дисков будут другие, строки в скрипте, начинающиеся с adddir надо будет, соответственно, поправить. Полученный образ автозапуска UVS загрузить на rghost.ru и дать ссылку в теме.

Или, чтобы не мучиться, скопировать с носителей всё нужное и отформатировать.

[QUOTE=pronto;1227637]Антивируса, кстати, постоянного у меня нет, потому что и так компьютер не летал, а с антивиром так вообще еле ползал. Что посоветуете?[/QUOTE]
Для начала память оперативную нарастить хотя бы до гигабайта, лучше - до двух. На 512 Mb работать одно мучение.
Обязательно обновить систему, работать на Vista без сервиспаков крайне опасно из-за множества уязвимостей.

Установите Service Pack 2 к Windows Vista и последующие критические обновления безопасности через Центр обновления Windows. Установите Internet Explorer 9 даже если им не пользуетесь, это критически важный для безопасности компонент Windows.

Ок, делаю

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прикрепляю лог

Причин зависания из логов не видно, видимо, машинка уже немолодая.

Обновляйте систему, добавляйте память, полегчает.

Все флешки отформатировала, скрипт выполнила только с внешним жестким диском. Вот [url]http://rghost.ru/8sZCJ2QMC[/url]
Мои дальнейшие действия?
По поводу машинки Вы правы))

При подключённом внешнем HDD [url=http://virusinfo.info/showthread.php?t=121769]выполните скрипт в uVS:[/url][code];uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
delall E:\AUTORUN.INF
delall E:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
delref .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\JWGKVSQ.VMX
deldir E:\RECYCLER
restart[/code]Компьютер перезагрузится.

Обновляйте систему, Internet Explorer. Контроль - таким скриптом.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Компьютер перестал сегодня вообще включаться =( Вчера почистила HDD, в Центре обновления Windows нажала "Искать обновления для системы" (просто найти, устанавливать и загружать я не стала). Выключила. Всё.
Сейчас пытаюсь включить, начинает загружаться, идет полоса загрузки, потом черный экран и отрубается. Включаю, открывается экран с разными вариантами включения (Safe Mode, Safe Mode with Networking и т.д.). И опять. Ни в обычном, ни в безопасном не включается. В безопасном режиме после загрузки просто черный экран и указатель мышки, и ни туда, ни сюда. Уже раз 15 попробовала, никак

[URL="http://windows.microsoft.com/ru-ru/windows/using-last-known-good-configuration#1TC=windows-vista"]Последнюю удачную конфигурацию [/URL]пробовали?

Попробовала только что несколько раз - то же самое(

Есть варианты ещё, но потребуется загрузочный диск, или флэшка. И некоторая квалификация...

Т.е. это типа до свидания? :D

Это значит, мне будет трудно оказывать дальнейшую помощь по переписке, но я пока ещё не прощаюсь ;)

Есть возможность загрузиться с LiveCD, или снять диск и подключить его к другому комрьютеру?

Ок, сейчас поищу

Как найдёте - сперва делайте проверку и исправление ошибок файловой системы на системном разделе. Иногда помогает.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \jwgkvsq.vmx._369b0f0e453076c57669838e4c79b219d9c69fa7 - [B]Net-Worm.Win32.Kido.ih[/B] ( BitDefender: Win32.Worm.Downadup.Gen, AVAST4: Win32:Malware-gen )[*] \krvi.exe._83f0a6c298971c1d6b8ab2820b33945a6c714500 - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Trojan.Heur.fmKfrvQRqMgiM )[/LIST][/LIST]