Самовосстанавливающийся вирус, который удаляет все содержимое флешек [Trojan.Win32.Bublik.evwq, Trojan.Win32.Scar.prlz ]

[Portyzan]

Добрый день. Столкнулся с такой проблемой вирус на любой вставленной флешке делает скрытыми все файлы и делает ярлыки с теми же именами, но с ссылками на вирусы. А через пару минут вообще удаляет все содержимое флешки и записывает на нее папку с вирусом f86eb730.exe. который после удаления тут же восстанавливается. Не помогает запрет на запись. удаление из автозагрузок приводит к тому что он тут же сам туда обратно добавляется.

[Info_bot]

Уважаемый(ая) Portyzan, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\mobsync.exe', '');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\Updater.exe', '');
 QuarantineFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Live.exe', '');
 QuarantineFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Updater.exe', '');
 QuarantineFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\mobsync.exe', '');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Windows Live\xgydarqywg.exe', '');
 QuarantineFile('c:\documents and settings\admin\application data\{55D167AF-C67F-F36C-B3C6-ED2A50EDCC76}\f86eb730.exe', '');
 QuarantineFile('c:\documents and settings\localservice\application data\{55D167AF-C67F-F36C-BACE-416359E5603F}\f86eb730.exe', '');
 QuarantineFile('D:\autorun.inf', '');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\mobsync.exe', '32');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\WindowsUpdate\Updater.exe', '32');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Live.exe', '32');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\Updater.exe', '32');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\WindowsUpdate\mobsync.exe', '32');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Windows Live\xgydarqywg.exe', '32');
 DeleteFile('c:\documents and settings\admin\application data\{55D167AF-C67F-F36C-B3C6-ED2A50EDCC76}\f86eb730.exe', '32');
 DeleteFile('c:\documents and settings\localservice\application data\{55D167AF-C67F-F36C-BACE-416359E5603F}\f86eb730.exe', '32');
 DeleteFile('D:\autorun.inf', '32');
 DeleteFile('C:\Documents and Settings\Admin\Рабочий стол\рабочий стол\Скачать dogovor-o-sovmestnoy-meditsinskoy-deyatelnosti.exe.url');
 DeleteFileMask('c:\documents and settings\admin\application data\windowsupdate', '*', true);
 DeleteFileMask('c:\documents and settings\localservice\application data\windowsupdate', '*', true);
 DeleteFileMask('c:\documents and settings\admin\application data\windows live', '*', true);
 DeleteFileMask('c:\documents and settings\admin\application data\{55d167af-c67f-f36c-b3c6-ed2a50edcc76}', '*', true);
 DeleteFileMask('c:\documents and settings\localservice\application data\{55d167af-c67f-f36c-bace-416359e5603f}', '*', true);
 DeleteDirectory('c:\documents and settings\admin\application data\windowsupdate');
 DeleteDirectory('c:\documents and settings\localservice\application data\windowsupdate');
 DeleteDirectory('c:\documents and settings\admin\application data\windows live');
 DeleteDirectory('c:\documents and settings\admin\application data\{55d167af-c67f-f36c-b3c6-ed2a50edcc76}');
 DeleteDirectory('c:\documents and settings\localservice\application data\{55d167af-c67f-f36c-bace-416359e5603f}');
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-B3C6-ED2A50EDCC76}.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-BACE-416359E5603F}.job" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Update Installer', 'command');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live Installer');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Sync Center');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'Windows Live');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live Installer');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Microsoft Sync Center');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'Windows Live');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

[Portyzan]

Спасибо, с флешки больше ничего не удаляется и файлы скрытыми не становятся, а файла, который восстанавливался постоянно, больше нет. Лог прилагаю. Скажите пожалуйста, а если у меня еще есть несколько компьютеров с похожими проблемами мне нужно новые посты делать или в этой теме можно другие логи скидывать, или данный скрипт можно применить и на другие зараженные компьютеры?

[Vvvyg]

Выполните в AVZ скрипт:

begin
 DeleteFile('C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-B3C6-ED2A50EDCC76}.job','32');
 DeleteFile('C:\WINDOWS\Tasks\{C9C14F9F-EE4F-6F7C-BACE-416359E5603F}.job','32');
end.

По другим компьютерам создавайте отдельные темы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\application data\{55d167af-c67f-f36c-b3c6-ed2a50edcc76}\f86eb730.exe - Trojan.Win32.Scar.prlz
  2. c:\documents and settings\localservice\application data\windowsupdate\mobsync.exe - Trojan.Win32.Bublik.evwq