ghdrive32.exe а также подмена диспетчера задач

[Demoning]

ребят, помогите полечить компьютер. Файлы ниже

[Demoning]

Поможите?

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Set-tings\Zones\3\', '1804', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Set-tings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Set-tings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Set-tings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Set-tings\Zones\3\', '1201', 3);
QuarantineFile('\\?\globalroot\systemroot\system32\RoD51xT.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\z7NOfv8.exe','');
 QuarantineFile('C:\windows\ghdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-5594835148-1530173078-766598079-5441\csisf.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9143\jikd.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9043\jwkd.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-8763\lsq.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-8333\lsvb.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-2734\ju7bd.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1883\myysf.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1770\mhtsf.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1457\system.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo3.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1451\games.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1391\wdni.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1343\jwjqa.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1214\t7vd.exe','');
 QuarantineFile('C:\Documents and Settings\СОРСО\hddd.exe','');
 QuarantineFile('C:\DOCUME~1\СОРСО\LOCALS~1\Temp\5879589.exe','');
 DeleteFile('C:\DOCUME~1\СОРСО\LOCALS~1\Temp\5879589.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced EHTAL Enable');
 DeleteFile('C:\Documents and Settings\СОРСО\hddd.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced HTTPL Enable');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1214\t7vd.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1214\t7vd.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1451\games.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-2734\ju7bd.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1457\system.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo3.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1770\mhtsf.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1343\jwjqa.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-8333\lsvb.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-8763\lsq.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9143\jikd.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9043\jwkd.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1883\myysf.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1391\wdni.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe,explorer.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','t7vd');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1343\jwjqa.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1391\wdni.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Behn');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','sdjwe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1451\games.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','games');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo3.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1457\system.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1770\mhtsf.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fxoe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Teswf');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysjo3');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1883\myysf.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-2734\ju7bd.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-6883\dfe.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fnfx');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ju7bd');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fyue');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-8333\lsvb.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-8763\lsq.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9043\jwkd.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-9143\jikd.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-5594835148-1530173078-766598079-5441\csisf.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Shell');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Taskman');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','jkqq');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','jaqq');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fgfk');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fvbk');
 DeleteFile('C:\windows\ghdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('\\?\globalroot\systemroot\system32\z7NOfv8.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\RoD51xT.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

Сделайте лог gmer

[Demoning]

После вышеуказанного лога вроде все прошло Карантин прислал, базы обновил, логи ниже

[thyrex]

1. Откройте Блокнот и скопируйте в него текст скрипта

vp7unplm.exe -del service wyjoivetw
vp7unplm.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\wyjoivetw"
vp7unplm.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\wyjoivetw"
vp7unplm.exe -reboot

2. Нажмите Файл - Сохранить как
3. Выберите папку, в которую сохранили vp7unplm.exe (gmer)
4. Укажите Тип файла - Все файлы (*.*)
5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
6. Запустите cleanup.bat

ВНИМАНИЕ: Компьютер перезагрузится!!!

Сделайте новый лог gmer

Сделайте лог полного сканирования МВАМ

[Demoning]

Простите, что задержался. Вот логи.

[thyrex]

Удалите в МВАМ все, кроме

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Второй лог в порядке

[Demoning]

Все сделал. Спасибо огромное за помощь

[thyrex]

Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 62
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1214\\t7vd.exe - Trojan-Downloader.Win32.FraudLoad.zbfr ( DrWEB: Win32.HLLW.Autoruner.37980, BitDefender: Trojan.Generic.5760231, AVAST4: Win32:FakeAlert-AER [Trj] )
  2. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1343\\jwjqa.exe - Trojan-Downloader.Win32.FraudLoad.zbfp ( DrWEB: Win32.HLLW.Autoruner.47371, BitDefender: Trojan.Generic.5774640, AVAST4: Win32:FakeAlert-AER [Trj] )
  3. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1391\\wdni.exe - Worm.Win32.AutoRun.bzsl ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.109549, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )
  4. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - Trojan.Win32.Menti.gery ( DrWEB: Trojan.Inject.38462, BitDefender: Trojan.Generic.KD.183259, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )
  5. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1451\\games.exe - Trojan.Win32.FakeAv.biwe ( DrWEB: BackDoor.Siggen.637, BitDefender: Trojan.Generic.5942627, AVAST4: Win32:FakeSysdef-ED [Trj] )
  6. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psyjo3.exe - Trojan-Downloader.Win32.FraudLoad.zbfn ( DrWEB: Trojan.MulDrop2.9940, BitDefender: Trojan.Generic.5756785, AVAST4: Win32:FakeAlert-AER [Trj] )
  7. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1457\\system.exe - Trojan-Downloader.Win32.FraudLoad.zbfv ( DrWEB: BackDoor.Siggen.637, BitDefender: Trojan.Generic.6020874, AVAST4: Win32:FakeAlert-AER [Trj] )
  8. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1770\\mhtsf.exe - Packed.Win32.Krap.ig ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5974987, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )
  9. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1883\\myysf.exe - Packed.Win32.Krap.ig ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5974987, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )
  10. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-2734\\ju7bd.exe - Trojan-Downloader.Win32.FraudLoad.zbfq ( DrWEB: Trojan.MulDrop2.9940, BitDefender: Trojan.Generic.5756785, AVAST4: Win32:FakeAlert-AER [Trj] )
  11. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-6883\\dfe.exe - Worm.Win32.Bybz.epl ( DrWEB: Win32.HLLW.Autoruner.37980, BitDefender: Trojan.Generic.5907264, AVAST4: Win32:Crypt-IWU [Trj] )
  12. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-8333\\lsvb.exe - Trojan-Downloader.Win32.FraudLoad.zbft ( DrWEB: Trojan.MulDrop2.9940, BitDefender: Trojan.Generic.5941773, AVAST4: Win32:FakeAlert-AER [Trj] )
  13. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-8763\\lsq.exe - Trojan-Downloader.Win32.FraudLoad.zbfu ( DrWEB: Win32.HLLW.Autoruner.37980, BitDefender: Trojan.Generic.5989427, AVAST4: Win32:FakeAlert-AER [Trj] )
  14. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-9043\\jwkd.exe - Trojan-Downloader.Win32.FraudLoad.zbfs ( DrWEB: Trojan.MulDrop2.9940, BitDefender: Trojan.Generic.5902872, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:FakeAlert-AER [Trj] )
  15. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-9143\\jikd.exe - Trojan-Downloader.Win32.FraudLoad.zbhe ( DrWEB: Win32.HLLW.Autoruner.47371, BitDefender: Trojan.Generic.5774640, AVAST4: Win32:FakeAlert-AER [Trj] )
  16. c:\\recycler\\s-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe - Backdoor.Win32.IRCBot.spx ( DrWEB: BackDoor.Siggen.41841, BitDefender: Backdoor.Bot.146686, AVAST4: Win32:Downloader-NUE [Trj] )
  17. c:\\recycler\\s-1-5-21-5594835148-1530173078-766598079-5441\\csisf.exe - Packed.Win32.Krap.ig ( DrWEB: Trojan.Inject.19061, BitDefender: Worm.Generic.324924, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )
  18. c:\\windows\\ghdrive32.exe - Net-Worm.Win32.Kolab.aozh ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KDV.191227, NOD32: IRC/SdBot trojan, AVAST4: Win32:IRCBot-DUB [Trj] )