Вирус создаёт .exe файл с именем родительской папки внутри каждой папки. [Trojan.Win32.Crypt.ddc ]

Месяц назад одним из юзеров компьютера был запущен .exe файл на зараженной флешке, что в последствии заразило компьютер. Симптомы - первый, и самый заметный - создавались .exe файлы с именем родительской папки. Эти .exe можно было удалить, но при следующем посещении этой же папки .exe создавался вновь. Второй - ошибка при запуске диспетчера задач - написано запрещен администратором. Ну и третий - восстановление (откат) системы был отключен.
Моим первым действием было лечение (полное сканирование всех дисков) при помощи DrWeb CureIt!, но это результатов не дало. Далее я загрузился с Kaspersky Rescue Disk, и так же провел полное сканирование всех дисков. После этого не включая зараженную винду, загрузился с Alkid Live CD (лайв на одной из флешек, хранится на черный день вроде этого), и просмотрел несколько папок на несистемных дисках, где до этого были замечены .exe, и не обнаружил их.
Далее я форматировал системный раздел, установил Windows. В течении месяца всё работало стабильно, .exe файлов с именами папок обнаружено не было.
Но видимо Kaspersy Rescue Disk пропустил один из них. Сегодня один из юзеров, перебирая свои старые файлы, наткнулся на подобный .exe и запустил его. Зачем - я так и не понял. В итоге - древнее зло пробудилось.:diablo: Симптомы вернулись, но откат системы был возможен, что я и сделал. Скан AVZ и HijackThis был произведен после отката. На данный момент новые .exe не создаются, на системном диске их не обнаружил, нашел лишь один .exe на одном из логических дисков.
Прошу объяснить мне, как искоренить эти .exe из памяти компьютера.

Уважаемый(ая) [B]Andrey Yershov[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('L:\MusaLLaT.exe','');
QuarantineFile('L:\autorun.inf','');
DeleteFile('L:\autorun.inf','32');
DeleteFile('L:\MusaLLaT.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]

Выполнено.

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Лог создал, но он не прикрепляется, пишет вот что:
[ATTACH=CONFIG]596777[/ATTACH]
Загрузить лог на гугл драйв?
И ещё, мне пока что не нажимать "удалить выбранное" в окошке результатов скана?
[ATTACH=CONFIG]596778[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=thyrex;1326279]Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url][/QUOTE]
вот, архивировал лог, теперь поместился.

Я до сих пор нуждаюсь в помощи:)

Удалите в МВАМ все найденное

Сделал полный скан MBAM,на этот раз нажал удалить, но похоже ничего не произошло. Все снова заражено, повсюду .exe. Вот логи.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сначала появилась идея проделать всё что вы написали выше заново, но похоже тот скрипт для AVZ уже недействителен.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('L:\autorun.inf','');
QuarantineFile('L:\MusaLLaT.exe','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\StartUp.exe','');
QuarantineFile('C:\Users\Andrey\AppData\Roaming\MusaLLaT.exe','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MusaLLaT');
DeleteFile('C:\Users\Andrey\AppData\Roaming\MusaLLaT.exe','32');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\StartUp.exe','32');
DeleteFile('L:\MusaLLaT.exe','32');
DeleteFile('L:\autorun.inf','32');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]

Сделано.

Новый лог МВАМ с подключенной флешкой сделайте

Нашел заразу лишь в hosts. Но диспетчер задач до сих пор "запрещен администратором".

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот логи после скана MBAM.

Выполните скрипт в AVZ
[code]begin
ExecuteREpair(11);
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Проверьте вызов диспетчера задач

Выполнил, диспетчер не включается:(

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Обновил логи.

Выполнил скрипт еще раз, диспетчер включился.
Этот Mussallat.exe так и должен оставаться в автозагрузке, или лечение закончено?
[ATTACH=CONFIG]597474[/ATTACH]

Прошло 3 дня, полёт нормальный. Посмотрите пожалуйста по логам - система чистая?

Выполните скрипт в AVZ
[code]begin
ExecuteREpair(13);
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]

Выполнил. В автозапуске появилась подозрительная строчка под названием "Start" , без месторасположения.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.

Готово.

Логи в порядке

Что с проблемой?

Проблемы больше нету. Большое спасибо за помощь :drinks:

"Диспетчер задач отключен администратором" вернулось. Похоже проще будет снести систему.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

В корне несистемного диска файлы вируса.
[ATTACH=CONFIG]598977[/ATTACH]
Когда же это кончится:suicide2:

Пролечитесь так [url]http://support.kaspersky.ru/viruses/rescuedisk[/url]
Все, включая сменные носители

Так я лечился в самом начале истории, и этот скан как раз таки и пропустил несколько файлов заразы. Сделаю еще раз, посмотрим, что выйдет.

Проверил все что было дома. Отчет скана Rescue Disk сохранил, но не могу его найти, похоже он сохранился во временную директорию лайв диска.

Ничего плохого в логах

Я очень благодарен вам за помощь:)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] l:\musallat.exe - [B]Trojan.Win32.Crypt.ddc[/B] ( DrWEB: a modification of Win32.Sector.21, BitDefender: DeepScan:Generic.Sality.3.E5017DAC, AVAST4: Win32:SaliCode )[/LIST][/LIST]