Win32:Chydo [Drp]

[mysticaltale]

Добрый день. Уже не знаю как бороться с этим вирусом. Минимум на 6 компах этот вирус всплывает. на 4 из 6 жалуется на общие папки, остальные 2 ПК жалуются на файлы что открыты для других.
Заранее спасибо за помощь.
Логи прилагаю.
P.S. Логи одного из двух компов, на котором открытые папки для других пк

[Info_bot]

Уважаемый(ая) mysticaltale, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Ищите источник заразы на других компьютерах, этот чист.

[mysticaltale]

Добрый день.
Кажется я нашел источник заразы на другом пк.
У компа закрылся доступ к реестру, не запускаются антивирусные программы и при вводе в поисковик слов типа "avast" браузер сразу закрывается или например как зайдешь в папку хайджека она сразу сама закрывается.
Еще в папке temp находятся подозрительные файлы которые никак не удаляются. (wgkuwjs, atnrvpvjcvo и zczcxdfwfjratmvqtbzczcxdfwfjratmvqtbzczcxdfwfjra.m vq)
Еще они прописаны в автозапуске.
Не знаю, нужно ли создавать новую тему для этого, но логи с автологгера прилагаю

[Vvvyg]

Вообще говоря, одна тема - один компьютер, но, раз уж первый чист, продолжим тут.

Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\users\admin\appdata\local\temp\vobufbtaztrqzihs.exe');
 TerminateProcessByName('c:\users\admin\appdata\local\temp\wgkuwjs.exe');
 QuarantineFile('C:\autorun.inf', '');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\cwkeqngoojiisccoi.exe', '');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\vobufbtaztrqzihs.exe .', '');
 QuarantineFile('c:\users\admin\appdata\local\temp\vobufbtaztrqzihs.exe', '');
 QuarantineFile('c:\users\admin\appdata\local\temp\wgkuwjs.exe', '');
 QuarantineFile('C:\Users\Admin\AppData\Local\Temp\ywomcdamqpswkycsqtmkc.exe .', '');
 QuarantineFile('C:\wgkuwjs.bat', '');
 QuarantineFile('C:\Windows\system32\jgxujjfqtrtwjwzolnfc.exe', '');
 QuarantineFile('C:\Windows\system32\lgvqdbvefbbcnyzmhh.exe', '');
 QuarantineFile('C:\Windows\system32\vobufbtaztrqzihs.exe', '');
 QuarantineFile('C:\Windows\system32\wsiesrmwyvwykwymija.exe', '');
 QuarantineFile('D:\autorun.inf', '');
 QuarantineFile('D:\wgkuwjs.bat', '');
 QuarantineFile('E:\autorun.inf', '');
 QuarantineFile('E:\wgkuwjs.bat', '');
 DeleteFile('C:\autorun.inf', '');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\cwkeqngoojiisccoi.exe', '');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\cwkeqngoojiisccoi.exe', '32');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\cwkeqngoojiisccoi.exe', '64');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\vobufbtaztrqzihs.exe .', '32');
 DeleteFile('c:\users\admin\appdata\local\temp\vobufbtaztrqzihs.exe', '');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\vobufbtaztrqzihs.exe', '32');
 DeleteFile('c:\users\admin\appdata\local\temp\wgkuwjs.exe', '');
 DeleteFile('C:\Users\Admin\AppData\Local\Temp\ywomcdamqpswkycsqtmkc.exe .', '32');
 DeleteFile('C:\wgkuwjs.bat', '');
 DeleteFile('C:\Windows\system32\jgxujjfqtrtwjwzolnfc.exe', '32');
 DeleteFile('C:\Windows\system32\jgxujjfqtrtwjwzolnfc.exe', '64');
 DeleteFile('C:\Windows\system32\lgvqdbvefbbcnyzmhh.exe', '32');
 DeleteFile('C:\Windows\system32\vobufbtaztrqzihs.exe', '');
 DeleteFile('C:\Windows\system32\vobufbtaztrqzihs.exe', '32');
 DeleteFile('C:\Windows\system32\wsiesrmwyvwykwymija.exe', '32');
 DeleteFile('C:\Windows\system32\wsiesrmwyvwykwymija.exe', '64');
 DeleteFile('D:\autorun.inf', '');
 DeleteFile('D:\wgkuwjs.bat', '');
 DeleteFile('E:\autorun.inf', '');
 DeleteFile('E:\wgkuwjs.bat', '');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'cougkzkkc');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'nclahznqlbvq');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'mcmckdswsjeag');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'vipchxjkdr');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\cougkzkkc', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\nclahznqlbvq', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\qiumwriomfcaiqo', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'lwbmpdnm');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'qemagxkmgvo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'cougkzkkc');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'qiumwriomfcaiqo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'nepgpjzebtpmta');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'vipchxjkdr');
ExecuteSysClean;
 ExecuteRepair(8);
 ExecuteRepair(10);
 ExecuteRepair(17);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[mysticaltale]

Только сейчас добрался до ПК, так как 3 дня выходных было.
Выполнил скрипт и выслал файл по ссылке.
Анализ uVS прилагаю.

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.0.12 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
delref %Sys32%\DRIVERS\VDM3OTUZ.SYS
zoo E:\AUTORUN.INF
delall E:\AUTORUN.INF
zoo D:\AUTORUN.INF
delall D:\AUTORUN.INF
zoo %SystemDrive%\AUTORUN.INF
delall %SystemDrive%\AUTORUN.INF
regt 5
apply
deltmp
czoo
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[mysticaltale]

Скрипт выполнил, но в папке uVS не появился архив с именем, начинающимся с ZOO_
Остальные файлы прилагаю.

[Vvvyg]

Автоматическое обновление отключено
------------------------------- [ HotFix ] --------------------------------
HotFix KB3115858 Внимание! Скачать обновления
HotFix KB3140735 Внимание! Скачать обновления
HotFix KB3138910 Внимание! Скачать обновления
HotFix KB3138962 Внимание! Скачать обновления
HotFix KB3145739 Внимание! Скачать обновления
HotFix KB3146963 Внимание! Скачать обновления
HotFix KB3156013 Внимание! Скачать обновления
HotFix KB3156016 Внимание! Скачать обновления
HotFix KB3156019 Внимание! Скачать обновления
HotFix KB3155178 Внимание! Скачать обновления
HotFix KB3153171 Внимание! Скачать обновления
HotFix KB3170455 Внимание! Скачать обновления
HotFix KB3178034 Внимание! Скачать обновления
HotFix KB3185911 Внимание! Скачать обновления
HotFix KB3184122 Внимание! Скачать обновления
HotFix KB3192391 Внимание! Скачать обновления
HotFix KB3197867 Внимание! Скачать обновления
HotFix KB3205394 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4019263 Внимание! Скачать обновления
HotFix KB4022722 Внимание! Скачать обновления
HotFix KB4015546 Внимание! Скачать обновления
HotFix KB4025337 Внимание! Скачать обновления
HotFix KB4034679 Внимание! Скачать обновления
HotFix KB4041678 Внимание! Скачать обновления

Это только критические хотфиксы, включая KB4012212, который закрывает опаснейшую уязвимость, используемую в т. ч. нашумевшими в прошлом году шифровальщики WannaCry и Petya/NotPetya, а также многими майнерами.
Устанавливать обязательно.

Чудо, как я понимаю, искоренили?

[mysticaltale]

Чудо все еще живет. На другом ПК есть 4 папки с открытым доступом для всех ПК . Сам ПК чист, сканировал его утилитой drweb и утилитой от касперского, но чудо сидит именно в папках с открытым доступом (в каждой папке, например папке "irina" сидит exe'шник, bat'ник или tif'ник с таким же названием)

Есть еще сетевое хранилище с доступными для всех папками, в них точно такая же беда сидит.

Это значит что чудо сидит в другом ПК и все еще терроризирует сетевые папки? Или как раз таки стоит искать проблему в ПК с открытыми папками и/или сетевом хранилище ?

[Vvvyg]

Я имел ввиду, что на этом компьютере активного нет. Сетевых червей лучше лечить, отключив компьютер от сети, пройтись Dr.Web CureIT! или KVRT, и так, пока все не зачистите.

[mysticaltale]

Спасибо. Буду каждый ПК так сканировать, пока не найду заразу.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены