Worm.w32.Brontok.AQ

Другу брат дал флешку и он воткнул в комп и начались у него проблемы. Интернет плохо работал и временами виндоус падал.
Вчера я эту всю дрянь убил через UVS, сегодня - все на месте + новые наборы, включая то, что удалил.

Спрашиваю, как это? Он говорит, что опять эту же флешку воткнул в комп, а я же его просил... слов нету.
HiJackThis - НЕ работает. Виндоус завершает работу. Зато до отключения виндоус, успел в нем увидеть левые ссылки.
HiJackThis лог вчерашний, что отработало после убийства вируса. Сегодня HiJackThis НЕ работает.
Скрипт в AVZ №3 НЕ работает. Виндоус завершает работу, поэтому могу только №2 прикрепить.
Не получается у меня прибить эту гадость.
* Были пофиксены в AVZ проблемы: Заблокирован реестр и что-то по поводу эксплорера было.

Worm.w32.Brontok.AQ - это название выдала утилита от Комодо ССЕ.

Сори, но лог один. Спасайте, червь размножается. Вчера его было мало, сегодня его стало больше.

Уважаемый(ая) [B]об.261[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
QuarantineFile('B:\ъйчйд згщд (4)\ююаоп ма йгет\ююамбен ма йгет (26-08-2014 18-28-43)\ююамбен ма йгет (26-08-2014 18-28-43).exe','');
QuarantineFile('B:\ъйчйд згщд (4)\чеечжйъ\чеечжйъ 1\чеечжйъ 1.exe','');
QuarantineFile('B:\ъйчйд згщд (4)\чеечжйъ\чеечжзъ 2\чеечжзъ 2.exe','');
QuarantineFile('B:\сшийн\сшийн\сшийн ещйшйн\White.House.Down.2013.1080p.BluRay.DTS-HD.MA.5.1.x264-PublicHD\Subs\Subs.exe','');
QuarantineFile('B:\ъйчйд згщд (4)\nasiba abdullaeva\nasiba abdullaeva.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Temp\launchie.vbs','');
DeleteFile('C:\Users\user\AppData\Local\Temp\launchie.vbs','32');
DeleteFile('C:\Windows\system32\Tasks\4628','32');
DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32');
DeleteFile('C:\Windows\system32\Tasks\{FB204BDA-9695-49AC-A1F3-0DD768212C6D}','32');
DeleteFile('B:\ъйчйд згщд (4)\nasiba abdullaeva\nasiba abdullaeva.exe','32');
DeleteFile('B:\сшийн\сшийн\сшийн ещйшйн\White.House.Down.2013.1080p.BluRay.DTS-HD.MA.5.1.x264-PublicHD\Subs\Subs.exe','32');
DeleteFile('B:\ъйчйд згщд (4)\чеечжйъ\чеечжзъ 2\чеечжзъ 2.exe','32');
DeleteFile('B:\ъйчйд згщд (4)\чеечжйъ\чеечжйъ 1\чеечжйъ 1.exe','32');
DeleteFile('B:\ъйчйд згщд (4)\ююаоп ма йгет\ююамбен ма йгет (26-08-2014 18-28-43)\ююамбен ма йгет (26-08-2014 18-28-43).exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]

Уважаемые хелперы! Похоже эту дрянь надо убивать в один день и никак на следующий. Почему? Про скрипт выше уже можно забыть. Вирус куда-то дел свои файлы.... В подозрительных их нету.
Вирус удалил все мои утилиты, которыми я проверял компьютер! Я думал друг откат сделал, а он говорит, что отката не делал...
Ладно, думаю. Перенес опять, проверил UVS - все на месте + новые файлы - убил их всех, чтобы облегчить удаление через AVZ и надеялся сделать логи:
HiJackThis - при запуске виндоус выключился.
Скрипт №3 в AVZ - не работает по-прежнему, т.к. виндоус выключается.
Я уже не знаю, где эту дрянь копать. Из увиденного, что моих утилит нету, т.к. эта дрянь их удалила, сделал вывод, что надо лечить сразу в один день, иначе фокус с вирусом на следующий день будет другим, а скрипт - не нужным.
Другу посоветовал вообще комп не выключать, пока всю заразу оттуда не выведем, иначе гонки в кошки-мышки будет бесполезной.

Помогите, плиз, срочно. Походу я так понимаю, червь себя видимо перепрятал и куда он дел все то добро, что было тогда в скрипте? Червяк издевается:furious3: , сволочь.

По поводу логов - это все, что могу выложить, червь не дает делать некоторые логи :furious3:
Какие будут идеи? У меня идей уже нету и вирус злить начинает.

[QUOTE]Перенес опять, проверил UVS - все на месте + новые файлы - убил их всех, чтобы облегчить удаление через AVZ и надеялся сделать логи:[/QUOTE]
Самолечением просьба не заниматься. Вы тем самым искажаете логи.

В MBAM удалите все найденное.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Вот лог. Что дальше делать?

Сделайте новые логи AVZ.

Ура! МВАМ видно хорошо отработал. Логи собрал комплект.
Глянул токо что лог syscure - я в шоке от увиденного в подозрительных, там будет вероятно порядка 400 файлов :?:O. Досчитал до 200, дальше не стал - устал считать. А что с этим делать, я не знаю.
В hijackthis есть левые ссылки - их бы тоже удалить.

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
QuarantineFile('C:\Users\user\AppData\Local\Adobe\Acrobat\11.0\Cache\Cache.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Temp\launchie.vbs','');
DelBHO('{A7DF592F-6E2A-45C4-9A87-4BD217D714ED}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
DeleteFile('C:\Program Files\Mobogenie\DaemonProcess.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','iLivid');
DeleteFile('C:\Users\user\AppData\Local\iLivid\iLivid.exe','32');
DeleteFile('c:\progra~2\bitguard\271832~1.68\{16cdf~1\bitguard.dll','32');
DeleteFile('C:\Users\user\AppData\Local\Temp\launchie.vbs','32');
DeleteFile('C:\Windows\system32\Tasks\4628','32');
DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','32');
DeleteFile('C:\Windows\system32\Tasks\{FB204BDA-9695-49AC-A1F3-0DD768212C6D}','32');
DeleteFile('C:\Users\user\AppData\Local\Adobe\Acrobat\11.0\Cache\Cache.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscure.zip;hijackthis.log[/color])

Архив карантина пустой, видимо в скрипте что-то не хватало и файлы удалились и в карантин не попали:(
snap.do удалить тоже надо.
Друг говорит, что компьютер стал медленнее работать, до скрипта работал быстрее. Виндоус медленно поднимался.

Закройте временно общие ресурсы.

Сделайте полную проверку Cureit. Потом сделайте новые логи AVZ.

Сори, я баран. Я не увидел в логе, что было сбоку написано. Я почему отключал удаление? Потому что несколько лет назад я допустил грубую ошибку, удалив сам вручную - у меня тогда интернет пропал. ХР переустанавливал... Теперь к делу.

Друг говорит, комп быстрей стал грузиться. А вот Курилка нашел что-то - это что за файл? По нему инфы не нашел.
Помогите левые ссылки также удалить.
Заранее спасибо.

[QUOTE]А вот Курилка нашел что-то - это что за файл?[/QUOTE]
Файл от рекламной программы.

Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

1. snap.do помогите удалить.
2. Лог [URL="http://virusinfo.info/showthread.php?t=183129"]загрузил[/URL]
3. Карантин туда пробывал загрузить, но что-то долго молчит. Я загрузил по ссылке вверху, но пишет, что карантин загружен, видимо я поторопился и он не догрузился.
[URL="http://virusinfo.info/showthread.php?t=183134"]Вот[/URL] возможно там его найдете.

Что с проблемой?

1. Вируса вроде уже нету. Система работает и загружается быстро.
2. Была проблема с Интернетом. Пофиксил в AVZ через мастера - он теперь тоже хорошо работает без проблем. Так мне сегодня друг сказал.
3. snap.do осталось только удалить, помогите, плиз.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Вот логи

[list][*]Сохраните файл [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:[*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Вот логи

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Лог

Что с проблемой?

Проблем нету, кроме того, что папки долго открываются. Подозреваю, что оптимизатор который у него как-то стоял, где-то порылся и влез, наверное из-за этого и проблемка с папками при открытии. Возможно что дело в памяти - у него ее 4 Гб.

Наверное все таки в оптимизаторе дело.

[LIST=1][*]Скачайте [url=https://toolslib.net/downloads/finish/2/]DelFix[/url] и сохраните утилиту на [b]Рабочем столе[/b][*]Запустите [b]DelFix[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В открывшемся окне программы поставьте галочки напротив пунктов [B]Remove desinfection tools[/B] и [B]Create registry backup[/B][*]Нажмите на кнопку [B]Run[/B][*]После окончания работы программы автоматически откроется блокнот с отчетом [B]delfix.txt[/B][*]Прикрепите этот отчет в вашей теме.[/LIST]

[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://virusinfo.info/soft/tool.php?tool=SecurityCheck"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]

Логи.
Папки теперь открываются быстро и система в норм состоянии.
Спасибо огромное за помощь! Друг просил передать вам слова благодарности - за помощь в выздоровлении его электронного друга.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]