Атака троянов на ноутбук [Backdoor.Win32.Zdoogu.j, , Trojan-Ransom.Win32.Hexzone.agn ]

[SIZE=3][FONT=Times New Roman]Добрый день![/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Ноутбук атаковали вирусы. McAfee обнаружил New Poly Win32 (файл не может быть вылечен, удален или перемещен).[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Начали диагностику по вашей схеме.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]CureIt! обнаружилTrojan DownLoader (неизлечим). После выполнения первого скрипта AVZ и соответствующей перезагрузки автоматически включился McAfee и после попытки удалить зараженный файл началось следующее: при открытии любого окна Интернета посередине страницы появлялась так называемая «новостная лента», которую никак невозможно удалить (с предложением отправить sms на указанный номер). :mad:[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]На форум virusinfo вход стал возможен только после повторной проверки CureIt! (снова обнаружил пару троянов - вылечить не удается, предлагает только move).[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]Как с этим бороться? Очень не хотелось бы переустанавливать Windows – на ноутбуке он был предустановлен, диска не прилагалось.[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]И еще: не уверены, что AVZ получил именно те файлы, которые нужно, ибо скачался он в англоязычном варианте (русский шрифт не читается), поэтому выполнили те скрипты, которые подходят по смыслу перевода. Если нужно выполнить другое, сообщите, пожалуйста, если нетрудно, их английские варианты или же номера скриптов.[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]Очень надеемся на вашу помощь! [/FONT][/SIZE]

Установите AVZPM и сделайте логи...

Сделали.
Тока после проверки AVZ создает три зипованных архива: virusinfo_syscure, virusinfo_cure и virusinfo_files_TOSHIBA-USER. Два последних по 7 с лишним Мб, и они превышают лимит.
Мы что-то делаем не так? :unknw:

[B]все выполняется (и логи в том числе) в нормальном режиме ...[/B]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%Windir%\expmodule.exe');
QuarantineFile('C:\WINDOWS\system32\3342392367003512451966553736700353670035.exe','');
QuarantineFile('C:\WINDOWS\system32\1703995386663891751713107338666383866638.exe','');
QuarantineFile('digeste.dll','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
DeleteService('oryadwikuanvg');
QuarantineFile('C:\WINDOWS\system32\drivers\rckutnsq.sys','');
QuarantineFile('C:\WINDOWS\system32\wmmest.dll','');
DeleteFile('C:\WINDOWS\system32\wmmest.dll');
DeleteFile('C:\WINDOWS\system32\drivers\rckutnsq.sys');
DeleteFile('C:\WINDOWS\system32\1703995386663891751713107338666383866638.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Скрипт выполнили. Пропали ВСЕ значки с рабочего стола.
С трудом вышли в Интернет.
Что делать?! Можно ли как-то откатить назад?

Карантин отправлен.

Логи. :sad:

Карантин в теме - это моветон.

Как в теме? :blink:
Карантин был отправлен, как указано в [B]Правилах[/B]: "используя ссылку на страницу загрузки ([COLOR=red][B][U]Прислать запрошенный карантин[/U][/B][/COLOR]) в шапке Вашей темы".

А по поводу третьего архива мы спрашивали еще в первом посте: AVZ у нас на английском, выполняли №3 и №4. Повторяю вопрос: если мы выполняем (и отсылаем) не тот скрипт, укажите, пожалуйста, как делать правильно. :this:

ПОЖАЛУЙСТА, помогите! Выполнено все, что вы просили. В итоге на рабочем столе абсолютно все пропало. :cray:

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 2 минуты[/I][/B][/color][/size]

Что нам делать дальше?! :to_take_umbrage:

Пришел ли карантин (там очень много файлов, работоспособность ноутбука нарушена)?

[b]Отключите восстановление системы![/b]
Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(True);
DeleteFile('digeste.dll');
DeleteFile('C:\System Volume Information\_restore{BC554F74-5213-4B02-B93C-494AF5486CCD}\RP1\A0000009.exe');
DeleteFile('C:\WINDOWS\system32\3342392367003512451966553736700353670035.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('oryadwikuanvg');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Повторите логи.

[B]Bratez[/B], спасибо.
Подскажите, пожалуйста, как отключить восстановление системы. :smile:
Повторюсь - у нас пропала кнопка Пуск и все значки с рабочего стола. Есть только Диспетчер задач (в нем поискали - возможности отключить восстановление не нашли).

[quote=Morwane;334027]Подскажите, пожалуйста, как отключить восстановление системы[/quote]
Ctrl-Alt-Del (Диспетчер задач) - Файл - Новая задача - [B]sysdm.cpl[/B]

Дальше - круче!
Сделали еще одну попытку. Вошли в Диспетчер задач, нажали на Мой компьютер правой кнопкой и попытались открыть Проводник. Попытка была безуспешной. НО! После этого восстановились значки и появилась кнопка Пуск. Что это было?!. :O

Нужно ли выполнять в данной ситуации предложенный вами скрипт? Или сделать что-то другое?

Скрипт выполняйте, потом новые логи.

[SIZE=3][FONT=Times New Roman]Выполнили скрипт. После перезагрузки снова на рабочем столе значки не появились. Вернули их так же, как в предыдущей попытке.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Кстати, при этой операции появляется окошко: «Windows не удалось найти ‘/e,/idlist,:708:2216,’ (в другом варианте: e,/idlist,:656:2560,’). Проверьте, что имя было введено правильно, и повторите попытку».[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman][/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Логи прилагаю. К сожалению, AVZ по-прежнему не создает архив virusinfo_syscheck (возможные причины изложены выше).[/FONT][/SIZE]

Что нам еще нужно предпринять? :search:

подождем ответ на присланный карантин

Добрый день! Что там с нашим карантином? :unsure:

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 52 минуты[/I][/B][/color][/size]

Еще такой вопрос: ноутбук длительное время не был подключен к Интернету. Теперь Windows предлагает установить много обновлений.
Стоит ли их сейчас устанавливать, или лучше подождать окончания лечения?:smile:

Установите...

Уже устанавливаем. :wink_3:

А что там с нашим карантином? :>

Пока ничего...

А теперь? Уже три дня прошло... :sorry:

Сделайте свежие логи...

Что же, пожалуйста. Очень надеюсь, что это поможет. :tongue: :rolleyes:

Больному все хуже... Стали появляться надписи: "Это окно занято. Закрытие этого окна может привести к ошибкам", "Слишком мало виртуальной памяти".

Неужели у нас такой тяжелый случай, что никто не может помочь? :sorry:
В карантине файлов немерено, на рабочем столе НИЧЕГО нет, девайс тупит и ругается... :to_take_umbrage:

Ничего подозрительного не нашел.

[QUOTE]"Слишком мало виртуальной памяти".[/QUOTE]
Может в этом все дело?

[quote]Может в этом все дело?[/quote]
Вряд ли. Все эти надписи появились после того, как AVZ отправил в карантин 91 файл (из Windows в том числе). Это нормально?! :paratrooper: :O

Особенно напрягает чистый рабочий стол. Как вернуть все обратно?! И не на данный сеанс, а желательно навсегда... :> :sad:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]95[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\application data\\xaelib.dll - [B]Trojan-Ransom.Win32.Hexzone.aeo[/B] (DrWEB: Trojan.Blackmailer.783)[*] c:\\windows\\system32\\drivers\\rckutnsq.sys - [B]Rootkit.Win32.Pakes.hw[/B][*] c:\\windows\\system32\\wmmest.dll - [B]Trojan-Downloader.Win32.Small.jcc[/B] (DrWEB: Trojan.DownLoad.27454)[*] c:\\windows\\system32\\wpv391231823775.cpx - [B]Trojan-Ransom.Win32.Hexzone.aeo[/B][*] c:\\windows\\system32\\1703995386663891751713107338666383866638.exe - [B]Trojan.Win32.Inject.ndi[/B] (DrWEB: Trojan.Botnetlog.1)[*] c:\\windows\\system32\\3342392367003512451966553736700353670035.exe - [B]Trojan.Win32.Inject.ndi[/B] (DrWEB: Trojan.Botnetlog.1)[/LIST][/LIST]