Acleaner.exe, цифровые .exe-шники в system 32

[Eveze]

Добрый день, столкнулся с такой проблемой, пробовал прибить livecd Kaspersky Rescue Disk, не помогло, перезагружать систему для логов не могу т.к. следом сразу же отваливается интернет. Файл acleaner.exe создается в корзине каждый раз, так же в windows папке появляются файлы вида 22342_.tmp и формата E001, H002. Чистил реестр, проходился CureIt-ом, темпы и нумерованные файлы убивал через фар.... Бьюсь вопросом где лежик червь который их качает. Прошу помочь, в приложении логи Rsit и скан АВЗ в скриптах под пунктом 3, второй пункт сделать увы не могу т.к. потом сомневаюсь что интернет будет работать..По поводу Syscheck-a может быть имеет смысл выложить без перезагрузки?

[Info_bot]

Уважаемый(ая) Eveze, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Eveze]

На всякий случай приложу...З.ы. Freewebproxy используется для выпуска кодекс сервера в интернеты.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Nlfafn.exe','');
 DeleteFile('C:\Documents and Settings\User\Application Data\Nlfafn.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Nlfafn');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','Tnaww');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('WakvSvc');
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Выполните такой скрипт

Обновите базы AVZ

Сделайте новые логи

Сделайте лог ComboFix

[Eveze]

Выкладываю логи, добавил лог RSIT.

P.s. папка Администрирование в панели управления пуста, отображается только desktop.ini. Что это и как можно пофиксить?

[polword]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\xx.exe

Driver::
fsf

NetSvc::

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4152:TCP"=-

FileLook::

DirLook::
c:\windows\system32\i7816
c:\windows\system32\i8453

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Eveze]

После выполнения скрипта, пригладываю лог

[polword]

выполните еще раз это

[Eveze]

4152 порт прокинут для Kodeks-a если вы об этом

c:\windows\system32\i7816 - папка пуста
c:\windows\system32\i8453 - папка пуста

хх.ехе - отсутствует

[thyrex]

Вы старый лог ComboDFix прикрепили повторно

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - Backdoor.Win32.Floder.is ( DrWEB: BackDoor.Ddoser.213, BitDefender: Trojan.Generic.KD.252582, AVAST4: Win32:Malware-gen )