Вирус заразил флешку и перескочил на комп. [Worm.Win32.Ngrbot.yxw, Backdoor.Win32.Androm.bmlx, Trojan-Spy.Win32.Zbot.rive ]

[Ромарио161]

Здравствуйте!
На флешку попал вирус, который скрыл все файлы и папки и создал ярлыки. Когда флешка была вставлена в компьютер - вирус с флешки заразил и его.
Вирус, как я понял, app.vbe. по всякому пробовал удалить, но, увы, не получилось.
Заранее огромное спасибо за помощь!

[Info_bot]

Уважаемый(ая) Ромарио161, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

Выполните скрипт в AVZ:

BEGIN
 ClearQuarantine;
 TerminateProcessByName('c:\users\Ромарио\appdata\roaming\808a.exe');
 TerminateProcessByName('c:\users\Ромарио\appdata\roaming\c60f.exe');
 TerminateProcessByName('c:\users\Ромарио\appdata\roaming\b5e7.exe');
 TerminateProcessByName('c:\users\Ромарио\appdata\roaming\9016.exe');
 QuarantineFile('c:\progra~3\msvbpcd.exe','');
 QuarantineFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','');
 QuarantineFile('C:\TEMP\Adobe\Reader_sl.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','');
 QuarantineFile('c:\users\Ромарио\appdata\roaming\b5e7.exe','');
 QuarantineFile('c:\users\Ромарио\appdata\roaming\c60f.exe','');
 QuarantineFile('c:\program files (x86)\common files\adobe\arm\1.0\armsvc.exe','');
 QuarantineFile('c:\users\Ромарио\appdata\roaming\9016.exe','');
 QuarantineFile('c:\users\Ромарио\appdata\roaming\808a.exe','');
 DeleteFile('c:\users\Ромарио\appdata\roaming\808a.exe','32');
 DeleteFile('c:\users\Ромарио\appdata\roaming\9016.exe','32');
 DeleteFile('c:\users\Ромарио\appdata\roaming\c60f.exe','32');
 DeleteFile('c:\users\Ромарио\appdata\roaming\b5e7.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe','32');
 DeleteFile('C:\TEMP\Adobe\Reader_sl.exe','32');
 DeleteFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','32');
 DeleteFile('c:\progra~3\msvbpcd.exe','32');
 DeleteFile('C:\Users\Ромарио\AppData\Local\SwvUpdater\Updater.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp.job','64');
 DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1ne331');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xetcwow');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Kczqza');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','60113');
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 ExecuteWizard('SCU',2,2,false);
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
END.

Компьютер будет перезагружен.

Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine.zip.

Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

[Ромарио161]

Новые отчеты

[Никита Соловьев]

Выполните скрипт в AVZ:

BEGIN
 ClearQuarantine;
 DeleteFile('C:\Users\Ромарио\AppData\Roaming\Identities\Kczqza.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp.job','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Kczqza');
 DeleteFileMask('C:\Users\Ромарио\AppData\Local\SwvUpdater','*',true);
 DeleteDirectory('C:\Users\Ромарио\AppData\Local\SwvUpdater');
 ExecuteSysClean;
 RebootWindows(true);
END.

Компьютер будет перезагружен.

Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

[Ромарио161]

еще новые отчеты

[Никита Соловьев]

Проблема решена?

[Ромарио161]

да) спасибо огромное) а в папке Roaming так и остались всякие файлый похожие на то вирус(

[Никита Соловьев]

Сделайте отчет программы RSIT. Давайте посмотрим, что осталось неактивное.

[Ромарио161]

а все) пропали) спасибо большое) скажите, на каждом компьютере все по разному делать? а то есть еще парочку таких, но не под рукой.

[Никита Соловьев]

Для других компьютеров нужно создать отдельные темы и предоставить отчёты. Скрипты из этой темы выполнять нельзя.

[Ромарио161]

RSIT

[Никита Соловьев]

C:\Windows\tasks\AmiUpdXp.job удалите вручную. Больше никаких подозрительных файлов нет.

[Ромарио161]

спасибо вам огромное)

- - - Добавлено - - -

как в будущем предохраниться от этого?

[Никита Соловьев]

как в будущем предохраниться от этого?

Читайте наши рекомендации, ссылка в сообщении ниже.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\progra~3\msvbpcd.exe - Backdoor.Win32.Androm.bmlx ( BitDefender: Trojan.GenericKD.1522804, AVAST4: Win32:Dropper-gen [Drp] )
  2. c:\recycler\s-1-5-21-0243556031-888888379-781863308-10967196\1ne331.exe - Backdoor.Win32.Azbreg.xzx ( BitDefender: Trojan.GenericKD.1500479, AVAST4: Win32:Malware-gen )
  3. c:\recycler\s-1-5-21-0243556031-888888379-781863308-897fewj\xetcwow.exe - Trojan-Proxy.Win32.Lethic.blh ( DrWEB: Win32.HLLW.Autoruner1.30405, BitDefender: Trojan.GenericKD.1429034, AVAST4: Win32:Inject-BAI [Trj] )
  4. c:\temp\adobe\reader_sl.exe - Worm.Win32.Ngrbot.yxw
  5. c:\users\ромарио\appdata\roaming\identities\kczqza .exe - Trojan-Spy.Win32.Zbot.rive

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !