Проблема с "ghdrive32.exe"

[treton]

Попробовал сам почистить - не вышло. Пишу к вам

Блокирует доступ программы fpsu/ip-client. Хочется уже снести все в ноль и нулевую винду поставить, но программ слишком много важных, так что помогайте

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\87.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
 QuarantineFile('C:\WINDOWS\ghdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
 DeleteFile('C:\WINDOWS\ghdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
 DeleteFile('C:\WINDOWS\system32\87.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Выполните такой скрипт

Сделайте новые логи

Сделайте лог gmer

[treton]

Скрипт сделал.
После перезагрузки вернулись на место :
C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe
C:\WINDOWS\ghdrive32.exe (запускается с запуском системы, плюс с ним запускается один из файлов, которые создаются в C:\Documents and Settings\%username%\Application Data, с именем "цифра или буква.tmp", например "1.tmp", "A.tmp") (каждый раз приходится грохать оба процесса, ибо интернет совсем не пашет с ними.) (со временем перезапускается процесс "ghdrive32.exe", если подождать, то и *.tmp-файл)
Прописались:
'HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\C urrentVersion\Policies\Explorer\Run','Microsoft Driver Setup'
'HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\C urrentVersion\Run','Microsoft Driver Setup'
Смотрел руками через regedit и far.

Карантин отправил
Скрипт сделал

PS: при вставлении флешки создает ярлыки вместо папок. При нажатии на ярлык папка открывается в новом окне. В ярлыке что-то недоброе прописано, например, " %windir%\system32\cmd.exe /c "start %cd%RECYCLER\e5188982.exe &&%windir%\explorer.exe %cd%Новая папка "

[polword]

1.Сохраните текст ниже как 1.bat в ту же папку, где находится 98e2q28f.exe (GMER) и запустите этот батник(1.bat):

98e2q28f.exe -del service jnowjtii
98e2q28f.exe -del file "C:\WINDOWS\system32\rqyif.dll"
98e2q28f.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\jnowjtii"
98e2q28f.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\jnowjtii"
98e2q28f.exe -reboot

Компьютер перезагрузится.

После перезагрузки:
2.Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
  QuarantineFile('C:\Documents and Settings\Татьяна\Application Data\Yafifg.exe','');
 DeleteFile('C:\Documents and Settings\Татьяна\Application Data\Yafifg.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

Обновите систему
- SP2 обновите до Service Pack 3(может потребоваться активация)
* Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
* Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.тут
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

После обновления:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог Gmer
- Сделайте лог MBAM

[treton]

Обновление помогло. Вирус ушел. Проблема с программой не решилась, но тут уже virusinfo.info мне не поможет.
Благодарю thyrex, polword.

[thyrex]

Контрольные логи лучше сделать

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\татьяна\\application data\\yafifg.exe - Backdoor.Win32.Ruskill.ao ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Generic.KDV.218215, AVAST4: Win32:Malware-gen )
  2. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - Backdoor.Win32.Floder.gy ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Generic.5934556, AVAST4: Win32:Malware-gen )
  3. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - Trojan-Downloader.Win32.Injecter.fuc ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Generic.5945724, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )
  4. c:\\recycler\\s-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe - Trojan.Win32.Small.alwh ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Fakealert.26423, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Malware-gen )
  5. c:\\windows\\system32\\87.exe - Backdoor.Win32.Floder.gy ( DrWEB: Trojan.Inject.38501, BitDefender: Trojan.Generic.5934556, AVAST4: Win32:Malware-gen )