ESET -- модифицированный Win32/Spy.Shiz.NCE - очистка невозможна

[Tomka]

Уважение экспертам!
Проблема существует приблизительно месяц уже.
В автозагрузке появились три процесса ykrqllg. Удаление не помогает, при перезапуске возвращаются.
ESET показывает вирус: "Оперативная память = explorer.exe(136) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна".
Возможность входа в безопасный режим исчезла.
CureIt каждую неделю находит в System Volume Information много одного вида вируса (вначале находил два вида, теперь один), удаляет. Судя по названию, похоже, вирус собирает пароли от банковских карт.
Google Chrome стал часто "вешать" систему, загружать ее полностью, и при его включении появляется надпись "Вы используете неподдерживаемый флаг командной строки: --no-sandbox. Стабильность и безопасность будут нарушены", чего раньше не было. Internet Explorer стал "вылетать".
В Windows/System32 в апреле жил какой-то файл *.exe, который не удалялся, был отправлен в диагностику на VirusTotal, проверка показала, что вирус. В тот момент было не до борьбы с ним, как он называется, не помню, где сейчас - хз, навскидку не ищется - "переехал"? Вроде связано с Java, но могу ошибаться.

[Info_bot]

Уважаемый(ая) Tomka, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\WINDOWS\system32\cediqt.dll','');
DeleteFile('C:\WINDOWS\system32\cediqt.dll');
 QuarantineFile('C:\WINDOWS\apppatch\ykrqllg.exe','');
 QuarantineFile('C:\DOCUME~1\FD82~1\LOCALS~1\Temp\bldjad.exe','');
 DeleteFile('C:\DOCUME~1\FD82~1\LOCALS~1\Temp\bldjad.exe');
 DeleteFile('C:\WINDOWS\apppatch\ykrqllg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','system','');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Добавлено через 32 секунды

Сделайте логи RSIT

[Tomka]

Скрипт в AVZ выполнен.
Карантин согласно "Приложению 2" отправлен.
Логи прилагаются, в том числе 2 лога RSIT.
Три процесса ykrqllg из автозагрузки удалились.
Real Player, который работал "криво", восстановился.
Google Chrome не пишет "Вы используете неподдерживаемый флаг командной строки: --no-sandbox. Стабильность и безопасность будут нарушены".
В Диспетчере файлов осталось только 2 процесса chrome.exe (было 4 или 5).
ESET в оперативной памяти вирус Win32/Spy.Shiz.NCE не нашел.
Промежуточное спасибо Тираннозавру Рексу.
Жду дальнейших указаний.

[thyrex]

Выполните скрипт в AVZ

begin
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\advap32');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\Load');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\lphcg9ej0e1ee');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\Run');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\userinit');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winad54.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winao11.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winbo57.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winbl30.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wincy22.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wined56.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wineg67.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winfr04.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winif34.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winig44.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winii27.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjf44.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjg66.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winbl30.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winjr43.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winkk37.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winnh02.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winnk50.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winno72.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winnt11.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winof32.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winok00.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winsq28.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wintl42.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winub45.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winuu51.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winux85.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvt48.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvu12.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvv10.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winvx02.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winxg28.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winxm77.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Winym16.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winad54.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winao11.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winbo57.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winbl30.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Wincy22.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Wined56.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Wineg67.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winfr04.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winif34.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winig44.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winii27.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winjf44.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winjg66.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winbl30.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winjr43.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winkk37.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winnh02.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winnk50.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winno72.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winnt11.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winof32.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winok00.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winsq28.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Wintl42.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winub45.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winuu51.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winux85.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winvt48.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winvu12.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winvv10.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winvx02.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winxg28.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winxm77.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\SafeBoot\network\Winym16.sys');
RebootWindows(true);
end.

Компьютер перезагрузится.

C:\Documents and Settings\Инесса\Application Data\DCF19FFC
C:\Documents and Settings\Инесса\Application Data\dcf19926

удалите вручную

Смените все пароли

Сделайте новые логи RSIT

[Tomka]

Скрипт выполнен.
Папки DCF19FFC и dcf19926 удалены вручную.
Логи RSIT прилагаются.
Возможность входа в безопасный режим пока не восстановилась.

[Techno]

- Сделайте лог ComboFix.

[Tomka]

Лог ComboFix выполнен.
При работе программы ComboFix было предложено: 1) полностью отключить антивирус (выполнено); 2) скачать обновленную версию ComboFix (выполнено); 3) установить консоль восстановления (выполнено).
Windows при загрузке по-прежнему не предлагает возможность входа в Безопасный режим.

[Techno]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C:\.

KillAll::

File::
c:\windows\system32\Drivers\Winao11.sys
c:\windows\system32\Drivers\Wineg67.sys
c:\windows\system32\Drivers\Winno72.sys
c:\windows\system32\Drivers\Winvt48.sys

Driver::
Winao11
Wineg67
Winno72
Winvt48
NetSvc::

Folder::

Registry::

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

АВЗ - меню Файл - Восстановление системы, там есть восстановление загрузки в safeboot, пробуем ее...

[Tomka]

Лог ComboFix выполнен во второй раз путем перемещения файла CFScript.txt на пиктограмму ComboFix.exe.
При работе программы ComboFix было предложено: 1) полностью отключить антивирус (это не было сделано мной вначале, поэтому программа ComboFix была мной закрыта и перезапущена); 2) скачать обновленную версию ComboFix (отказ); 3) после перезагрузки вылезло окно PuntoSwitcher'a, которое было мной закрыто, но создание отчета еще не было завершено. Надеюсь, это не повлияло на отчет.
AVZ - меню Файл - Восстановление системы - Восстановление настроек загрузки в SafeMode - процесс длился всего несколько секунд, но был выполнен OK.
Windows при загрузке по-прежнему не предлагает вход в Безопасный режим, как это было до вирусной атаки, НО есть возможность войти через F8 (maybe она была и до того? Но раньше загрузка Windows предварялась черным экраном с параметрами компьютера).
В общем, SafeMode в принципе доступен.

[thyrex]

Windows при загрузке по-прежнему не предлагает вход в Безопасный режим

А она и не должна была это предлагать по умолчанию

[Tomka]

Раньше предлагала... Понимаю теперь, что способ загрузки Windows - дело сугубо личное, но до вирусной атаки было по-другому? что и внесло сомнения.
Ну что же, проблема устранена, лечение успешно завершено? Спасибо Тираннозавру Рексу! Благодарность последует.

Добавлено через 2 часа 30 минут

Ну разве что еще такой вопрос: все те программы/утилиты, по совету уважаемого хелпера скачанные и установленные для лечения, а также всякие логи (которые потом прикреплялись к сообщениям на форуме) - их удалить? Каким способом лучше всего это сделать?

[thyrex]

Удалите ComboFix

[Tomka]

При переходе по указанной ссылке предлагается 2 варианта? То есть:
1) Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall (см. картинку), нажмите кнопку "ОК".
2) Скачайте OTCleanIt, запустите, нажмите Clean up.
Нужно выполнить какой-то один из этих пунктов? Или сначала п.1, а затем п.2? Из текста не понятно.
Вопрос не в тему, но важный: таким способом (НазваниеПрограммы /Uninstall) можно удалять любую программу?

[PavelA]

Сначала п.1

(НазваниеПрограммы /Uninstall) можно удалять любую программу?

Нет. Только те, в которых эта возможность заложена.

[Tomka]

Выполнены п.1, затем п.2. ComboFix при деинсталляции #внезапно отключает антивирус. Удалились Точки восстановления, очистилась Корзина, может, еще что-то, не знаю. Пока комп работает нормально. Остальные программы/утилиты, скачанные и установленные для лечения, а также логи, которые прикреплялись к сообщениям на форуме, удалю ручками.
Спасибо хелперам, вопрос решен.

[Tomka]

Уплочено

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\apppatch\\ykrqllg.exe - Backdoor.Win32.Shiz.dypd ( DrWEB: Trojan.PWS.Ibank.456, BitDefender: Gen:Variant.Kazy.69969, NOD32: Win32/Spy.Shiz.NCF trojan, AVAST4: Win32:MalOb-KC [Cryp] )