При запуске приложений Windows активизируется вирус

Здравствуйте.
Несколько недель назад на одном mp3-сайте рунета был пойман вирус (автоматически запустился .exe-файл).
Файл прописался в автозагрузку, с именем типа jdexxx.exe. При повторной перезагрузке файл активизирует ещё один .exe-файл под именем opera.exe.

Около недели-полутора назад с помощью AVZ поместил на карантин файл из автозагрузки, однако он иногда снова продолжает грузиться.

Побочные эффекты: при запуске некоторых программ в Windows (ACDSee, Photoshop, WinRar, Winamp, Media Player Classic...) запускается процесс opera.exe (потребляет 3300КБ), после чего создается в папке Windows файл explorer.exe, в папке Program Files папка со странным именем, в ней .exe-файл, в автозагрузке появляется файл с именем типа jdexxx.exe. Причем если, например, я пытался распаковать .zip-архив, то в папке с установленным WinRar создается файл winrarmsg.exe (Если запускаю Фотошоп, то создается файл photoshopmsg.exe). Если их не "убить" вручную, сжирается место на диске C:\ через какое-то время.

То же самое происходит, если пытаюсь переименовать .avi-файл (с .mkv, mp4 проблем нет).

Также блокируется интернет-доступ к ресурсам антивирусов, в т.ч. и z-oleg.com.

Кроме того, были похищены пароли из Тотал Коммандер: ночью, когда компьютер выключен, злоумышленники с помощью моих паролей спокойно подключаются к удаленным серверам.

Прошу помочь. Заранее спасибо.

Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\EhYRC9z.exe,\\?\globalroot\systemroot\system32\4uiZmhH.exe,,C:\Program Files\bamgxhdk\jdevihmb.exe
O2 - BHO: Baidu Toolbar BHO - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:\Program Files\Baidu\Toolbar\BaiduBarX.dll (file missing)
O3 - Toolbar: Baidu Toolbar - {B580CF65-E151-49C3-B73F-70B13FCA8E86} - C:\Program Files\Baidu\Toolbar\BaiduBarX.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
procedure WhatService(AServiceName : string);
var
dllname, servicekey : string;
begin
AddToLog('=== '+AServiceName+' ===');
servicekey := 'SYSTEM\CurrentControlSet\Services\'+AServiceName;
RegKeyResetSecurity( 'HKLM', servicekey);
RegKeyResetSecurity( 'HKLM', servicekey+'\Parameters');
AddToLog('Description: '+RegKeyStrParamRead( 'HKLM', servicekey, 'Description'));
AddToLog('DisplayName: '+RegKeyStrParamRead( 'HKLM', servicekey, 'DisplayName'));
AddToLog('ImagePath: '+RegKeyStrParamRead( 'HKLM', servicekey, 'ImagePath'));
dllname := RegKeyStrParamRead( 'HKLM', servicekey+'\Parameters', 'ServiceDll');
AddToLog('ServiceDll: '+dllname);
QuarantineFile(dllname,'');
end;
begin
SetAVZGuardStatus(True);
WhatService('cnnlg');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\WINDOWS\Help\usercpl.chm:exaSnrGYA9hVtaRWFDkF:$DATA','');
QuarantineFile('\\?\globalroot\systemroot\system32\EhYRC9z.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\4uiZmhH.exe','');
QuarantineFile('C:\WINDOWS\system32\y.dll','');
QuarantineFile('C:\Program Files\bamgxhdk\jdevihmb.exe','');
DeleteFile('C:\Program Files\bamgxhdk\jdevihmb.exe');
DeleteFile('\\?\globalroot\systemroot\system32\4uiZmhH.exe');
DeleteFile('\\?\globalroot\systemroot\system32\EhYRC9z.exe');
DeleteFile('C:\WINDOWS\Help\usercpl.chm:exaSnrGYA9hVtaRWFDkF:$DATA');
DeleteFile('G:\autorun.inf');
BC_ImportAll;
BC_Activate;
ExecuteRepair(20);
SaveLog(GetAVZDirectory+'cnnlg.log');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=99400[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика)
+ прикрепите файл [I]cnnlg.log[/I] из папки с AVZ.

Готово.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,,C:\Program Files\bamgxhdk\jdevihmb.exe
[/code]
Выполните скрипт в AVZ:
[code]
Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF}');
DeleteFile('C:\Program Files\bamgxhdk\jdevihmb.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('G:\RECYCLER\S-8-2-62-4766023546-5628146420-838526466-8287\YjJZBZTJ.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_ServiceKill('cnnlg');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].

После Вашего сообщения сделал логи AVZ и hijackthis. После этого скачал gmer, первичное сканирование после запуска программы прошло успешно, однако при нажатии на Scan (выбор только диска C:\) сканирование зависло на файле Explorer.EXE. Спасла только перезагрузка компьютера, причем грузился он очень медленно.

Заново сделал логи AVZ и hijackthis. Проверка AVZ выполнялась гораздо медленнее чем раньше.
Работа компьютера немного замедлилась, даже по перемещению мышки заметно
UPD: теперь работает без тормозов

Проблема ещё актуальна, прошу помощи.

Помогите пожалуйста

Лог gmer попробуйте из безопасного режима сделать

Из безопасного режима компьютер отказывается грузиться совсем..

Прирепляю экспресс-скан (при запуске gmer который происходит), может поможет

Произвел 8 безуспешных попыток сканирования: виснет каждый раз на разных файлах, иногда и вовсе зависает на первичном сканировании.

Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(True);
RenameFile('C:\WINDOWS\system32\y.dll', 'C:\WINDOWS\system32\y.bak');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck (только п.2 раздела Диагностика).
Сообщите, изменится ли что-нибудь.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

И еще: выполните проверку, как описано [URL="http://support.kaspersky.ru/viruses/solutions?qid=208636990"]здесь[/URL].

Выполнил скрипт в AVZ, компьютер перезагрузился, при загрузке исчезли все сообщения (userinit.exe, explorer.exe, lsass.exe), при запуске программ никаких сообщений теперь не высвечивается.

Сделал лог в AVZ. Скачал TDSSKiller, при распаковке WinRar'ом также никаких лишних сообщений не было, однако в диспетчере задач появился всё тот же "левый" процесс opera.exe, а в папке WinrRar создался файл winrarmgr.exe, в других папках также создались "левые" файлы и папки (всё как я описывал в самом первом сообщении темы).

В процессе сканирования TDSSKiller нашлась 1 угроза (лог прикрепил).
Информация об угрозе:
Имя сервиса: sptd
Тип сервиса: Kernel driver (0x1)
Старт сервиса: Boot (0x0)
Файл: C:\Windows\system32\Drivers\sptd.sys

(излечить невозможно)

Также прикрепляю ещё один лог virusinfo_syscheck, но сделанный уже ПОСЛЕ запуска "левого" процесса opera.exe (сам процесс я убил, только что созданные "левые" папки и файлы вручную почистил)

[B]sptd[/B] - это не зловред.

Выполните скрипт в AVZ:
[code]
begin
DeleteFile('C:\WINDOWS\system32\y.dll');
DeleteFile('C:\WINDOWS\system32\y.bak');
ExecuteSysClean;
end.[/code]
Больше ничего плохого не видно.

Выполнил. После перезагрузки компьютера сделал новый лог.

P.S.: проверку gmer по-прежнему сделать не получается, зависает компьютер, спасает только перезагрузка.

Оппа! У вас на флэшке зараза (диск G:, оставьте его подключенным)!

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('G:\RECYCLER\S-3-0-75-1561028245-6876710715-065074666-5028\ihDxdJqv.exe','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('C:\Program Files\bamgxhdk\jdevihmb.exe','');
DeleteFile('C:\Program Files\bamgxhdk\jdevihmb.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('G:\RECYCLER\S-3-0-75-1561028245-6876710715-065074666-5028\ihDxdJqv.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=99400[/url]).
Сделайте новые логи.

Выполнил. После перезагрузки компьютера сделал новые логи.

Список файлов карантина пуст.

Чисто.

Тем не менее, opera.exe продолжает запускаться, левые папки и файлы создаются..

В папке C:\Documents and Settings\Администратор\Local Settings\Temp ещё создается папка hsperfdata_Администратор, в ней файл 1124, весит 64 КБ. Удалить нельзя (Ошибка при удалении файла или папки. Не удается удалить с названием 1124. Нет доступа. Диск может быть переполнен или защищен от записи, либо файл занят другим приложением).

Может, что-нибудь ещё можно сделать?

Вот новый лог, сделан уже после запуска вирусов

Опять на диске G: зараза!
Оставьте его подключенным, но не открывайте.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\bamgxhdk\jdevihmb.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('G:\RECYCLER\S-2-6-52-2387763087-2417313274-034722120-4114\ClBqPTOa.exe');
DeleteFileMask('C:\Program Files\bamgxhdk', '*.*',true);
DeleteFileMask('G:\RECYCLER', '*.*',true);
DeleteDirectory('C:\Program Files\bamgxhdk');
DeleteDirectory('G:\RECYCLER');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Сделал.
Вот новые логи

Чисто.

Скорее всего, потому что я не запускал ещё ни одной программы, вызывающей запуск вируса.

Что я сделал сейчас: попытался открыть обычную фотографию на компьютере, открылась как обычно, в ACDSee, но снова появился процесс opera.exe (4400КБ) и всё по новой (создалась папка в Program Files, в автозагрузке файл, в папке ACDSee файл acdseemgr.exe...)

Новые логи прикрепляю.

Может, что-нибудь в реестре править нужно чтоб избавиться окончательно от болезни?

Диск G - это что? Подключите его при выполнении скрипта

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\bamgxhdk\jdevihmb.exe');
DeleteFile('G:\RECYCLER\S-2-8-82-7858346758-6181540405-336047145-5046\rMlcBPdT.exe');
DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Диск G - это флешка.

Сделал новые логи.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Заражённые ключи в реестре:
HKEY_CLASSES_ROOT\AppID\{7A33CE9E-4F33-4B4E-B263-6AEEAB6C3DC2} (Adware.BDSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{7A33CE9E-4F33-4B4E-B263-6AEEAB6C3DC2} (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{5BECD27B-DCF5-4DEF-B066-486A47245C03} (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{3A8C9D89-3271-45F4-98C0-56B0F5A16172} (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{2923508C-9425-4A61-B9CE-A98239055916} (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\BarBroker.BDBroker.1 (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\BarBroker.BDBroker (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{D12F94FA-FC9A-41F7-B808-7FBB419DD7A6} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{009A8246-AB0A-4111-A53D-B78A929D3EF8} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\BaiduBar.Tool.1 (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\BaiduBar.Tool (Trojan.Cinmus) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{A7F05EE4-0426-454F-8013-C41E3596E9E9} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\BaiduBarX.ToolBand.1 (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\BaiduBarX.ToolBand (Trojan.Cinmus) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{B580CF65-E151-49C3-B73F-70B13FCA8E86} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{E5D5D4A1-17F0-41D7-B1C6-0979F91E6F46} (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\BaiduBarEx.BDHomePage.2 (Adware.BDSearch) -> No action taken.
HKEY_CLASSES_ROOT\BaiduBarEx.BDHomePage (Adware.BDSearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{E5D5D4A1-17F0-41D7-B1C6-0979F91E6F46} (Adware.BDSearch) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{77FEF28E-EB96-44FF-B511-3185DEA48697} (Trojan.Cinmus) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
HKEY_CURRENT_USER\Software\baidu (Adware.Bdsearch) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Baidu (Trojan.Cinmus) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\BaiduBarX (Adware.BDSearch) -> No action taken.

Заражённые параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{B580CF65-E151-49C3-B73F-70B13FCA8E86} (Trojan.Cinmus) -> Value: {B580CF65-E151-49C3-B73F-70B13FCA8E86} -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{B580CF65-E151-49C3-B73F-70B13FCA8E86} (Trojan.Cinmus) -> Value: {B580CF65-E151-49C3-B73F-70B13FCA8E86} -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> Value: option_1 -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> Value: option_2 -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> Value: option_3 -> No action taken.

Заражённые папки:
c:\documents and settings\администратор\application data\Baidu (Trojan.Cinmus) -> No action taken.
c:\documents and settings\администратор\application data\Baidu\Toolbar (Trojan.Cinmus) -> No action taken.
c:\documents and settings\администратор\application data\Baidu\Toolbar\downloadtmp (Trojan.Cinmus) -> No action taken.

Заражённые файлы:
c:\documents and settings\администратор\application data\ntuser.dat (VirTool.Obfuscator) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\jdevihmb.exe (Spyware.Zbot) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\PKey.exe (PUP.PSWTool.ProductKey) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\qlrbxpve.exe (Spyware.Zbot) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\svchostmgr.exe (Spyware.Zbot) -> No action taken.
c:\WINDOWS\MSPocnra.dll (Trojan.Hiloti) -> No action taken.
c:\WINDOWS\pss\jdevihmb.exestartup (Spyware.Zbot) -> No action taken.
g:\RECYCLER\s-2-8-82-7858346758-6181540405-336047145-5046\wLJRmumF.cpl (Virus.Ramnit) -> No action taken.
g:\RECYCLER\s-2-0-25-2184051220-7858662275-404467602-5217\sKykPifJ.exe (Spyware.Zbot) -> No action taken.
g:\RECYCLER\s-2-0-25-2184051220-7858662275-404467602-5217\jdsdhYiF.cpl (Virus.Ramnit) -> No action taken.
g:\ALL\REX\RECYCLER\s-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx (Worm.Conficker) -> No action taken.
c:\program files\common files\keylog.txt (Malware.Trace) -> No action taken.
c:\documents and settings\администратор\application data\Baidu\Toolbar\logex.dat (Trojan.Cinmus) -> No action taken.
c:\documents and settings\администратор\application data\Baidu\Toolbar\namedsites.dat (Trojan.Cinmus) -> No action taken.
c:\documents and settings\администратор\application data\Baidu\Toolbar\downloadtmp\version.xml (Trojan.Cinmus) -> No action taken.[/code]

Готово. Однако проблема с приложениями осталась.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Началось сканирование, файл regedit.exe is infected - после этого началась попытка создания точки восстановления, однако места на диске не хватает для этого.

Вопрос: есть ли какой-нибудь другой способ обнаружения вируса? Может, повторное сканирование mbam поможет?

На всякий снова сделал логи.

[QUOTE='van;776587']однако места на диске не хватает для этого.[/QUOTE]Освободите место. Вообще системный раздел не рекомендуется забивать под завязку

Раздел диска составляет 6 Гб, из них бОльшую часть занимает Windows, остальное "съел" вирус.

В моем случае поможет только переустановка системы?

6ГБ на системном разделе - это несерьезно

[QUOTE='van;776716']В моем случае поможет только переустановка системы?[/QUOTE]Как вариант - да. Ибо причина появления вируса заново неясна

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]