Win32:Trojan-gen Создает такую штуку в корзине jwgkvsq.vmx

Printable View

12.03.2009, 19:50
Alex_Pentagon

Вложений: 2

Win32:Trojan-gen Создает такую штуку в корзине jwgkvsq.vmx

Здравствуйте, подскажите как избавится от*Win32:Trojan-gen,
jwgkvsq.vmx
На Пк нет вирусов после проверки, но есть подозрение что на Пк какй-то файл запускает вирус...Это обнаружмвается при подключении флеш носителя....Туда в корзину копируется файл jwgkvsq.vmx и в корне создается авторан...Форматировать пробофал флешь ...Ни чего...Втыкаю вытыкаю все повторяется....
* А еще такой симптом: все самые главные анти вир порталы оказались закрыты...на этот форум удалось попасть с использованием прокси...

А все антивирусы не обновляются пишет что не вожможно найти сервер...
12.03.2009, 20:27
PavelA

От HijackThis лог тоже не помешает.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

А/вирус надо отключать, да и плеер тоже.
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe','');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=41553[/url]
12.03.2009, 22:05
Alex_Pentagon

Вложений: 2

Файл сохранён как 090312_215139_virusinfo_cure_49b959bb85c81.zip
12.03.2009, 22:07
Гриша

Базы обновить, логи переделать...
12.03.2009, 22:16
Alex_Pentagon

А для этого еще раз надо полную проверку сделать???
12.03.2009, 22:18
Гриша

Обновить базы и сделать заново логи...
12.03.2009, 22:36
Alex_Pentagon

Вложений: 2

Сделал как Вы сказали...
12.03.2009, 22:39
Гриша

Запустите утилиту KidoKiller.exe с ключом -y.

Повторите логи...
13.03.2009, 02:26
Alex_Pentagon

Вложений: 2

Проверьте, пожалуйста.
13.03.2009, 09:41
Гриша

AVZ, Сервис, Менеджер Active Setup:

[CODE]c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe[/CODE]

Удалите его, перезагрузитесь и повторите пункт 2 диагностики...
13.03.2009, 12:49
Alex_Pentagon

Вложений: 1

/
13.03.2009, 12:51
Alex_Pentagon

c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe
Этого файла вообще не было... Я перезагрузил ПК-он не появился...
13.03.2009, 13:06
AndreyKa

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');
end.
[/code]
13.03.2009, 13:07
Alex_Pentagon

Насчет этого файла сам тупанул...не прочитал AVZ, Сервис, Менеджер Active Setup:
c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe
а теперь сделал все как написано...
13.03.2009, 13:07
PavelA

На месте это болтается. Вы это выполняли:
[url]http://virusinfo.info/showpost.php?p=370732&postcount=10[/url]
13.03.2009, 13:11
Alex_Pentagon

Все...crhbgn выполнил....begin
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');
end. Что дальше?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Да, выполнил это [url]http://virusinfo.info/showpost.php?p...2&postcount=10[/url]
и скрипт
begin
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');
end.
13.03.2009, 13:16
PavelA

К сожалению, это.. через DelClSID не удаляется. Лучше ручками через AVZ удалить
Я написал вопрос потому что это.. в логах еще видно.
13.03.2009, 13:22
Alex_Pentagon

Вручную это через AVZ, Сервис, Менеджер Active Setup: или как-то подругому?
А в логах на диске д нет такого файла? Если я снесу систему, то что лежит на флешь носителях удалится??? (Я про вирусы)После сканирования антивирусом уже на чистой системе или они опять успеют в c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013 влететь?Я не пользуюсь автозапуском флешек...Я отрубаю эту функцию...
13.03.2009, 14:19
PavelA

[QUOTE=Alex_Pentagon;370826]Вручную это через AVZ, Сервис, Менеджер Active Setup: или как-то подругому?
А в логах на диске д нет такого файла? Если я снесу систему, то что лежит на флешь носителях удалится??? (Я про вирусы)После сканирования антивирусом уже на чистой системе или они опять успеют в c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013 влететь?Я не пользуюсь автозапуском флешек...Я отрубаю эту функцию...[/QUOTE]

Да, вручную именно так.

На диске "Д" он не высветился. Если снесешь систему, то это не затронет флешки. Если автозапуск отключен, то влететь не должны.
13.03.2009, 14:31
Alex_Pentagon

Ага ....понял...

[size="1"][color="#666686"][B][I]Добавлено через 58 секунд[/I][/B][/color][/size]

Спасибо за помощь)))Вроде щас перестали вирусы создаваться...
13.03.2009, 14:43
PavelA

Лог по п.2 Правил сделай для порядка.
13.03.2009, 14:48
Alex_Pentagon

А этот вирус он вообще какой вред нес?? Он ворует пароль или что-то другое? Я искал его описание и не нашел...
13.03.2009, 15:26
PavelA

Это так они называются по терминологии ЛК:
autorun.inf - Worm.Win32.AutoRun.dui,
ine32.exe_ - Backdoor.Win32.Bifrose.adxp

на viruslist.com можно описание посмотреть.
14.03.2009, 15:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] f:\autorun.inf - [B]Worm.Win32.AutoRun.dui[/B]( DrWEB: Win32.HLLW.Autoruner.2339, BitDefender: Trojan.Autorun.TE )[*] f:\recycler\s-1-5-21-1482476501-1644491937-682003330-1013\ine32.exe - [B]Packed.Win32.PePatch.lc[/B]( DrWEB: BackDoor.Bifrost.816, BitDefender: Worm.Autorun.VGH )[/LIST][/LIST]