Ne zapuskaytsa programmy [Trojan.Win32.Yakes.hehq, Backdoor.Win32.Ruskill.zsl ]

[zavuch]

Ne zapuskaytsa programmy. logi zdelal, no 3 log ne mogu, ne zapuskatsya

[Info_bot]

Уважаемый(ая) zavuch, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[zavuch]

Извините, не мог писать на русском языке. Проблема следующая: Не запускаются многие программы. Браузер IE без надстроейк запускается и через несколько секунд (20-30) закрывается. Хром не запускается. На экране постоянно появляются какие-то ошибки. Компьютер работает медленно. Не смог сделать лог другой программой.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Windows\system32\config\systemprofile\AppData\Roaming\Update\MSupdate.exe','');
 QuarantineFile('C:\Users\НММ\AppData\Roaming\НММ-ПК\winhelp.exe','');
 QuarantineFile('C:\Users\НММ\AppData\Roaming\НММ-ПК\IsUninst.exe','');
 QuarantineFile('C:\Users\НММ\AppData\Roaming\НММ-ПК\HelpPane.exe','');
 QuarantineFile('C:\Users\НММ\AppData\Roaming\Update\MSupdate.exe','');
 QuarantineFile('C:\Users\FA10~1\AppData\Local\Temp\Adobe\Reader_sl.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-1861771\17fdxjdhfc.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\Tfdq1gg1.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\Tf1ghv1gg1.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\Tf1ghv1g1.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T6cvg2g.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T41zz3.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T41ffz3.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T411zz3.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T16cvg2g.exe','');
 QuarantineFile('C:\ProgramData\CreativeAudio\dtdasndku.exe','');
 QuarantineFile('C:\PROGRA~2\msgszm.exe','');
 QuarantineFile(',C:\Windows\system32\config\systemprofile\AppData\Roaming\Update\MSupdate.exe','');
 TerminateProcessByName('c:\users\fa10~1\appdata\local\temp\z7s55.exe');
 QuarantineFile('c:\users\fa10~1\appdata\local\temp\z7s55.exe','');
 TerminateProcessByName('c:\users\fa10~1\appdata\local\temp\0pc4i.exe');
 QuarantineFile('c:\users\fa10~1\appdata\local\temp\0pc4i.exe','');
 DeleteFile('c:\users\fa10~1\appdata\local\temp\0pc4i.exe','32');
 DeleteFile('c:\users\fa10~1\appdata\local\temp\z7s55.exe','32');
 DeleteFile(',C:\Windows\system32\config\systemprofile\AppData\Roaming\Update\MSupdate.exe','32');
 DeleteFile('C:\PROGRA~2\msgszm.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','2162245887');
 DeleteFile('C:\ProgramData\CreativeAudio\dtdasndku.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CreativeAudio');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T16cvg2g.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','T61cvg2g');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','T61cvg2g');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T411zz3.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tc41zzz13');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','Tc41zzz13');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T41ffz3.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tc41zff13');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','Tc41zff13');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T41zz3.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tc4zzz13');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','Tc4zzz13');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','T6cvg2g');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\T6cvg2g.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','T6cvg2g');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','T61S8uhd');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\Tf1ghv1g1.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','T61S8uhd');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','T61S8ughd');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\Tf1ghv1gg1.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18617712\Tfdq1gg1.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tdq8ughd');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','T61S8ughd');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','Tdq8ughd');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-1861771\17fdxjdhfc.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Testdsac');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','Testdsac');
 DeleteFile('C:\Users\FA10~1\AppData\Local\Temp\Adobe\Reader_sl.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager');
 DeleteFile('C:\Users\НММ\AppData\Roaming\Update\MSupdate.exe','32');
 DeleteFile('C:\Users\НММ\AppData\Roaming\НММ-ПК\winhelp.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','winhelp.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Manager');
 DeleteFile('C:\Windows\system32\config\systemprofile\AppData\Roaming\Update\MSupdate.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9); 
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[zavuch]

Добрый день!
Подготовил логи.
Все время на экране появляется ошибка программы pretorian.exe (приходится много раз закрывать)
Еще пытается запустится программа msgszm.exe
После перезагрузки браузеры перестают открываться.

[thyrex]

Я разве просил загружать файл с автокарантином??? Просил карантин после выполнения скрипта

Сделайте лог ComboFix

[zavuch]

Карантин отправил. Логи сделал

[thyrex]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С

KillAll::

DirLook::
c:\users\НММ\AppData\Roaming\Update
c:\users\НММ\AppData\Roaming\НММ-ПК

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[zavuch]

Все сделал

[thyrex]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С

KillAll::

Folder::
c:\users\НММ\AppData\Roaming\Update

FileLook::
c:\users\НММ\AppData\Roaming\НММ-ПК\Wiainst.exe

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[zavuch]

Сделал

[thyrex]

Удаляйте папку c:\users\НММ\AppData\Roaming\НММ-ПК

Что с проблемой?

[zavuch]

Удаляйте папку c:\users\НММ\AppData\Roaming\НММ-ПК

Что с проблемой?

Не могу удалить эту папку, система пишет что мало привилегий.
Все время срабатывает UAC (контроль учетных записей), программа 9944.exe из папки c:\users\НММ\AppData\Roaming пытается запуститься. Не успеваю закрывать.
Появляется сообщение об ошибке
"Критическая ошибка диска" Какие то 6 файлов просятся восстановиться.

Работать на компьютере невозможно, пишу с другого.

[thyrex]

Еще раз сделайте стандартный комплект логов + новый лог ComboFix

[zavuch]

Еще раз сделайте стандартный комплект логов + новый лог ComboFix

Спасибо за помощь! Но наверное этот комп и эту систему вылечить не реально. Еще раз проверил антивирусными утилитами, нашлось много всего. Поэтому решено было перейти на линукс. Замучили вирусы. Еще раз спасибо за оказанную помощь! Тему можно закрывать.

[thyrex]

Удалите ComboFix

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 50
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\programdata\creativeaudio\dtdasndku.exe - Trojan.Win32.Yakes.hapg ( BitDefender: Trojan.GenericKD.1959252, AVAST4: Win32:Injector-CEJ [Trj] )
  2. c:\progra~2\msgszm.exe - Trojan.Win32.Yakes.hfkg ( BitDefender: Trojan.GenericKD.1976683, AVAST4: Win32:Kryptik-ORA [Trj] )
  3. c:\users\fa10~1\appdata\local\temp\adobe\reader_sl .exe - Backdoor.Win32.Ruskill.zsl ( BitDefender: Trojan.GenericKD.1977649 )
  4. c:\users\fa10~1\appdata\local\temp\adobe\reader_sl .exe - Backdoor.Win32.Ruskill.zrj ( BitDefender: Trojan.GenericKD.1976434, AVAST4: Win32:Kryptik-ORA [Trj] )
  5. c:\users\нмм\appdata\local\temp\adobe\reader_sl.ex e - Backdoor.Win32.Ruskill.zrj ( BitDefender: Trojan.GenericKD.1976434, AVAST4: Win32:Kryptik-ORA [Trj] )
  6. c:\users\нмм\appdata\roaming\update\msupdate.exe - Trojan.Win32.Yakes.hehq ( BitDefender: Trojan.GenericKD.1975398, AVAST4: Win32:Crypt-RLS [Trj] )
  7. c:\users\нмм\appdata\roaming\нмм-пк\helppane.exe - Trojan.Win32.Yakes.hepe ( BitDefender: Trojan.GenericKD.1972178, AVAST4: Win32:Kryptik-OQI [Trj] )