aadrive32.exe & Tvsksd.exe

[GreyKnight]

Здравствуйте! Подхватил вирус - два вышенаписанных процесса плюс ещё один .tmp.

Выполнил скрипт отсюда http://virusinfo.info/showthread.php?t=102576
Собственно:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\crssc.exe','') ;
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\57.exe','');
QuarantineFile('C:\WINDOWS\system32\38.exe','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\WINDOWS\aadrive32.exe','');
QuarantineFile('C:\WINDOWS\jodrive32.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\Dudedh.exe','');
TerminateProcessByName('c:\windows\aadrive32.exe') ;
QuarantineFile('c:\windows\aadrive32.exe','');
DeleteFile('c:\windows\aadrive32.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Mic rosoft\Windows\CurrentVersion\Run','Dudedh');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Dudedh');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\Dudedh.exe');
DeleteFile('C:\WINDOWS\jodrive32.exe');
DeleteFile('C:\WINDOWS\aadrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Micr osoft\Windows\CurrentVersion\Policies\Explorer\Run ','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Micr osoft\Windows\CurrentVersion\Policies\Explorer\Run ','Microsoft Config Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\20.exe');
DeleteFile('C:\WINDOWS\system32\38.exe');
DeleteFile('C:\WINDOWS\system32\57.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\crssc.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Micr osoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

При перезагрузке вырубил интернет. После перезагрузки остался висеть Tvsksd.exe. Подрубил интернет - опять нарисовались два aadrive32.exe и один 3B.tmp. Веб при скане мимо них прошёл, даже не напрягшись. Что делать?

Да-да, извините, сам только что заметил правлиа для логов. Сейчас всё сделаю.

[Info_bot]

Уважаемый(ая) GreyKnight, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/pravila.html

[GreyKnight]

Логи.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\x','');
 TerminateProcessByName('c:\windows\aadrive32.exe');
 QuarantineFile('c:\windows\aadrive32.exe','');
 DeleteFile('c:\windows\aadrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\x');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Установите все новые обновления для Windows

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[GreyKnight]

Ок, только я МВАМ скачать не могу по ссылке http://www.malwarebytes.org/mbam-download.php

[thyrex]

Попробуйте эти ссылки
Malwarebytes' Anti-Malware или с зеркала

[GreyKnight]

С зеркала слил, сейчас обновления ставятся пока.

Критическое обновление поставил, а остальных надо ставить 105 штук, плюс логи минут 30 делаться будут. За 10 минут скачалось 4 обновления.
Все процессы, кстати, как были, так и остались.

[thyrex]

Все процессы, кстати, как были, так и остались.

Потому что это сетевой червяк. Пока не поставите все обновления, бороться бесполезно

[GreyKnight]

Пока выкладываю все логи, кроме МВАМ, ибо ему 1.3 Тб сканировать сейчас приходится.
Логи МВАМ обязательны вообще? Просто он, по моим расчётам, только к ночи справится (машина слабая), а компьютер мне для работы сейчас нужен. Других машин в пределах досягаемости нет.

[GreyKnight]

Кстати, а нормально, что у меня explorer.exe стал лезть в интернет? И ещё: пару раз я убивал его, предварительно убив все вредоносные процессы, затем запускал его - и вместе с ним запускались свежеубитые процессы. Это как?

[thyrex]

Обновления установили? Если не все, то

бороться бесполезно

Лог МВАМ обязателен

[GreyKnight]

Ладно, я тогда для начала С:\ только отсканю.

И да, апдейты все поставил. В итоге вышло 108 штук.

Добавлено через 38 минут

Запустил на всякий случай проверку обновлений в принудительном порядке снова, и получил 11 штук. Блин. Я так понимаю, что продолжать делать лог МВАМ бессмысленно теперь?

[thyrex]

Делайте

[GreyKnight]

Лог МВАМ

Только сейчас заметил, что перед полным сканированием я закрыл вредоносные процессы вручную (иначе было невозможно зайти сюда). Сейчас проведу мгновенное сканирование и прилеплю ещё один лог.

[GreyKnight]

После перезагрузки компа и сканирования получился такой лог:

[thyrex]

Удалите в МВАМ только указанные строки

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Backdoor.IRCBot) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup (Backdoor.IRCBot) -> Value: Microsoft Driver Setup -> No action taken.

Зараженные файлы:
c:\WINDOWS\aadrive32.exe (Backdoor.IRCBot) -> No action taken.

[GreyKnight]

Новый лог. После перезагрузки, кстати, ничего не изменилось.

[thyrex]

Сделайте лог ComboFix

[GreyKnight]

Готово. Ни одного вредоносного процесса после создания лога.

Я тут полазил по темам и узрел, что в последнее время часто люди жалуются на подобные вещи. Так вот, стандартных 10 заповедей хватит для того, чтобы не подхватить эту заразу снова?