Вирус создает файлы на флешке, отключает службы защиты. [Worm.Win32.Ngrbot.agnc ]

[Беслан Салихов]

Прошу прощения, нужен лог после скрипта из поста #1, или архив из всех имеющихся логов, или что-то другое?

[regist]

1. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
2. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.82 script [http://dsrt.dyndns.org]
   adddir e:
   adddir C:\RECYCLER
   adddir C:\Users\q\AppData\Roaming
   crimg

3. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
4. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы.
5. После этого в папке с программой будет создан образ автозапуска название, которого имеет формат "имя_компьютера_дата_сканирования". Прикрепите этот образ к следующему сообщению
6. !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

флешку на это время подключите.

[Беслан Салихов]

http://rghost.ru/57469414

[regist]

ок, теперь со второй флешкой аналогично образ создайте.

[Беслан Салихов]

При извлечении флешки выдает "устройство еще используется..." Это нормально?

- - - Добавлено - - -

http://rghost.ru/57469952

[regist]

E:\AUTORUN.INF

вам знаком? Если нет откройте блокнотом и напишите его содержимое тут.
Что с проблемой?

[Беслан Салихов]

Ярлыки не создаются, флешки извлекаются спокойно, службы не отключаются. Похоже, все в норме. Спасибо огромное!

[regist]

насчёт файла не ответили.

[Беслан Салихов]

Я все файлы удалил уже с флешки, так как там оставались ярлыки. В авторане было три строчки, в первой [Autorun], во второй что-то вроде image=0, в третьей совсем не помню, вроде как-то так.

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[Беслан Салихов]

Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\programdata\creativeaudio\jtkyyvgiu.exe - Trojan-Spy.Win32.Zbot.sbhb ( AVAST4: Win32:Malware-gen )
  2. c:\progra~3\mslgcnm.exe - Trojan-Spy.Win32.Zbot.sbha
  3. c:\recycler\s-1-5-21-0243556031-888888379-781863308-41139114\v2111941.exe - Trojan-Spy.Win32.Zbot.sbhb
  4. c:\recycler\s-1-5-21-0243556031-888888379-781863308-41139114\v211941.exe - Trojan-Proxy.Win32.Lethic.bvp ( AVAST4: Win32:Malware-gen )
  5. c:\recycler\s-1-5-21-0243556031-888888379-781863308-413341394\v2341.exe - Trojan-Proxy.Win32.Lethic.bvo ( BitDefender: Trojan.GenericKD.1805132, AVAST4: Win32:Malware-gen )
  6. c:\recycler\s-1-5-21-0243556031-888888379-781863308-4187714\v287941.exe - Trojan-Spy.Win32.Zbot.ttuo
  7. c:\recycler\s-1-5-21-0243556031-888888379-781863308-4491894\b4519911.exe - Trojan-Proxy.Win32.Lethic.bvq ( BitDefender: Trojan.GenericKD.1802986 )
  8. \csuunbd.exe._a6481352d55fb29b8ca608d49b4a38c43f80 c8a1 - Worm.Win32.Ngrbot.agnc
  9. c:\users\q\appdata\local\temp\adobe\reader_sl.exe - Worm.Win32.Ngrbot.agng
  10. c:\users\q\appdata\roaming\identities\vdckcf.exe - Worm.Win32.Ngrbot.agng
  11. \c731200._a6481352d55fb29b8ca608d49b4a38c43f80c8a1 - Worm.Win32.Ngrbot.agnc
  12. \mslgcnm.exe._12901f93cb773ce8594677b8a396da8cfc45 e7ce - Trojan-Spy.Win32.Zbot.sbha

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !