bitcoin-miner и его друзья

[Icipher]

Прицепился треклятый бот-клиент, никак не отделаюсь. Плохо маскируется под svchost. При включенном инете загружает проц на 50%, если отключить - продолжает висеть, но не ест ресурсы. После ручного удаления файлов и вычищения из автозагрузки, прохода CureIt'ом в безопасном режиме, на старте ОС всё начинается по новой. Притом пихает себя в "корень" всех доступных ему папок учётной записи (в Users, Documents and Settings и ещё в один какой-то). Каждый раз имя распаковщика новое, хотя описание процесса одно и тот же - One.
Вдобавок, еспокоит какая-то странно огромная длина Application Data, притом как в Users, так и в Documents and Settings. Клонов-вложений от десятка до "бесконечности". Это норма для семерки или всё же какой-то вредитель поработал?
Заранее благодарю за помощь в Избавлении и Очищении.

[Info_bot]

Уважаемый(ая) Icipher, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Александр\appdata\local\temp\svchost.exe','');
 QuarantineFile('C:\Users\Александр\clage.exe','');
 QuarantineFile('C:\Users\Александр\AppData\Roaming\Bvkgkh.exe','');
 QuarantineFile('c:\users\8523~1\appdata\local\temp\svchost.exe','');
 TerminateProcessByName('c:\users\8523~1\appdata\local\temp\svchost.exe');
 DeleteFile('c:\users\8523~1\appdata\local\temp\svchost.exe');
 DeleteFile('C:\Users\Александр\AppData\Roaming\Bvkgkh.exe');
 BC_DeleteFile('C:\Users\Александр\AppData\Roaming\Bvkgkh.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Bvkgkh');
 DeleteFile('C:\Users\Александр\clage.exe');
 BC_DeleteFile('C:\Users\Александр\clage.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
 DeleteFile('C:\Users\Александр\appdata\local\temp\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=105048

4. Сделайте повторный лог virusinfo_syscure.

[Icipher]

Готово. Вроде не проявляется больше, но кто его знает.

[Aleksandra]

Плохого не увидела.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\александр\\appdata\\local\\temp\\svchos t.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.a ( DrWEB: Tool.BtcMine.1 )
  2. c:\\users\\александр\\appdata\\roaming\\bvkgkh.exe - Backdoor.Win32.Ruskill.aai ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Trojan.Generic.KDV.277367, AVAST4: Win32:Ruskill-BD [Trj] )
  3. c:\\users\\александр\\clage.exe - Packed.Win32.Katusha.o ( DrWEB: BackDoor.Tofsee.7, BitDefender: Gen:Variant.Kazy.7882, NOD32: Win32/Tofsee.AA trojan, AVAST4: Win32:MalOb-FJ [Cryp] )
  4. c:\\users\\8523~1\\appdata\\local\\temp\\svchost.e xe - not-a-virus:RiskTool.Win32.BitCoinMiner.a ( DrWEB: Tool.BtcMine.1 )
  5. \\miner2.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.a ( DrWEB: Tool.BtcMine.1 )