aadrive32 вирус

**VEX** · 28.01.2012, 19:05

Доброго времени суток. У меня стоял антивирус касперского. Постоянно кричал, что идут сетевые атаки. Удалил пару вирусов. Почистил флешки. Потом через несколько дней (5-6) при очередном крике о сетевой атаке он слетел. Сказал что базы повреждены, обновится не может, ключ потерян и тд. До этого отражал атаки нормально, блокировал компы. После того как он слетел, в процессах заметил aadrive32 и темповские с именами 32.tmp и тому подобные (*.tmp). Такой вирус я у вас уже лечил, сам никак не справлюсь с ним. Вот после переустановки виндовса снова залазит ко мне, причем постоянно, касперский в общей сложности продержался 19 дней. Прошу помочь в личении вируса и в дальнейшей профилактике, дабы снова ним не заразится.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 28.01.2012, 19:07

Уважаемый(ая) VEX, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 28.01.2012, 19:18

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\aadrive32.exe','');
 QuarantineFile('C:\WINDOWS\system32\85.exe','');
 QuarantineFile('C:\WINDOWS\system32\17.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\scleaner.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Fpbabf.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Fpbabf.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\scleaner.exe');
 DeleteFile('C:\WINDOWS\system32\17.exe');
 DeleteFile('C:\WINDOWS\system32\85.exe');
 DeleteFile('C:\WINDOWS\aadrive32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fpbabf');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

**VEX** · 28.01.2012, 19:48

Вот логи.

**regist** · 28.01.2012, 20:02

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\aadrive32.exe');
 TerminateProcessByName('c:\documents and settings\admin\application data\3f.tmp');
 TerminateProcessByName('c:\documents and settings\admin\application data\3e.tmp');
 QuarantineFile('C:\WINDOWS\system32\65.exe','');
 QuarantineFile('C:\WINDOWS\system32\60.exe','');
 QuarantineFile('C:\WINDOWS\system32\52.exe','');
 QuarantineFile('C:\WINDOWS\system32\46.exe','');
 QuarantineFile('C:\WINDOWS\system32\33.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Fpbabf.exe','');
 QuarantineFile('c:\windows\aadrive32.exe','');
 QuarantineFile('c:\documents and settings\admin\application data\3f.tmp','');
 QuarantineFile('c:\documents and settings\admin\application data\3e.tmp','');
 DeleteFile('c:\documents and settings\admin\application data\3e.tmp');
 DeleteFile('c:\documents and settings\admin\application data\3f.tmp');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Fpbabf.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\WINDOWS\aadrive32.exe');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe');
 DeleteFile('C:\WINDOWS\system32\33.exe');
 DeleteFile('C:\WINDOWS\system32\46.exe');
 DeleteFile('C:\WINDOWS\system32\52.exe');
 DeleteFile('C:\WINDOWS\system32\60.exe');
 DeleteFile('C:\WINDOWS\system32\65.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fpbabf');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFileMask('c:\RECYCLER\','true', ,' ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

**thyrex** · 29.01.2012, 13:03

Перед повторными логами

Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Также сделайте лог полного сканирования МВАМ

**VEX** · 30.01.2012, 12:30

Снова доброго времени суток. После последней перезагрузки компьютера, вирус мне заблокировал доступ к сайтам антивирусных програм и в том числе к вашему сайту. Вот наконецто я курейтом удалил какойто 1 вредоносный файл и снова появился доступ.

Написаный вами скрипт АВЗ выполнять не хочет, говорит ошибка в позиции 33:40, не хватает ")". Пробовал добавить, как-то не помогло. Прошу вашей помощи.
Так же выполнил все обновления, поставил ИЕ 8. Провел полное сканирование мбам, удалил вагон вирусов, но при запуске системы тот же мбам снова блокирует темповские файлы. В папке C:\Documents and Settings\Admin снова появился подозрительный файл feds.exe. но ни курейт ни мбам на него не ругаются.
Отправляю новые логи, прошу помощи.

**regist** · 30.01.2012, 12:55

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\43.exe','');
 QuarantineFile('C:\WINDOWS\system32\37.exe','');
 QuarantineFile('C:\WINDOWS\system32\21.exe','');
 QuarantineFile('C:\WINDOWS\system32\16.exe','');
 QuarantineFile('C:\WINDOWS\system32\12.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Fpbabf.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Fpbabf.exe');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe');
 DeleteFile('C:\WINDOWS\system32\12.exe');
 DeleteFile('C:\WINDOWS\system32\16.exe');
 DeleteFile('C:\WINDOWS\system32\21.exe');
 DeleteFile('C:\WINDOWS\system32\37.exe');
 DeleteFile('C:\WINDOWS\system32\43.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

+ прикрепите лог MBAM

Добавлено через 10 минут

Сообщение от VEX

В папке C:\Documents and Settings\Admin снова появился подозрительный файл feds.exe.

загрузите его в карантин согласно правилам.

**VEX** · 30.01.2012, 16:53

Вот, все сделал.

**regist** · 30.01.2012, 17:07

чисто.

**VEX** · 31.01.2012, 00:53

Спасибо Вам огромное!

**CyberHelper** · 01.02.2012, 00:53

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 38
В ходе лечения обнаружены вредоносные программы:
1. c:\\documents and settings\\admin\\application data\\fpbabf.exe - Backdoor.Win32.Floder.gmq ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Trojan.Generic.7148769, AVAST4: Win32:FakeAlert-BWZ [Trj] )
2. c:\\documents and settings\\admin\\application data\\fpbabf.exe - Trojan.Win32.Jorik.IRCbot.gzf ( DrWEB: BackDoor.IRC.Bot.896, BitDefender: Gen:Variant.Kazy.54028, AVAST4: Win32:Bredolab-HC [Trj] )
3. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\scleaner.exe - Backdoor.Win32.Floder.gmq ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Heur.Krypt.14, AVAST4: Win32:FakeAlert-BXH [Trj] )
4. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - Trojan.Win32.Inject.ctrj ( DrWEB: BackDoor.Siggen.637, BitDefender: Gen:Variant.Kazy.52959, AVAST4: Win32:FakeAlert-BXP [Trj] )
5. c:\\windows\\aadrive32.exe - Net-Worm.Win32.Kolab.bdpi ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Win32.Worm.Kolab.BJ, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:FakeAlert-BXP [Trj] )
6. c:\\windows\\system32\\12.exe - Trojan.Win32.Jorik.IRCbot.gzd ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.52959, AVAST4: Win32:Bredolab-HC [Trj] )
7. c:\\windows\\system32\\16.exe - Trojan.Win32.Jorik.IRCbot.gzd ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.52959, AVAST4: Win32:Bredolab-HC [Trj] )
8. c:\\windows\\system32\\17.exe - Backdoor.Win32.Floder.gmq ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Heur.Krypt.14, AVAST4: Win32:FakeAlert-BXH [Trj] )
9. c:\\windows\\system32\\21.exe - Trojan.Win32.Jorik.IRCbot.gzd ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.52959, AVAST4: Win32:Bredolab-HC [Trj] )
10. c:\\windows\\system32\\37.exe - Trojan.Win32.Jorik.IRCbot.gzd ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.52959, AVAST4: Win32:Bredolab-HC [Trj] )
11. c:\\windows\\system32\\43.exe - Trojan.Win32.Jorik.IRCbot.gzd ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.52959, AVAST4: Win32:Bredolab-HC [Trj] )
12. c:\\windows\\system32\\85.exe - Backdoor.Win32.Floder.gmq ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Heur.Krypt.14, AVAST4: Win32:FakeAlert-BXH [Trj] )

aadrive32 вирус (заявка № 115714)

Опции темы

aadrive32 вирус

Это понравилось:

Антивирусная помощь

Это понравилось:

Итог лечения

Похожие темы

Помогите! Вирус dorkbot.a и в добавок aadrive32.exe

Поймал вирус с процессами ac 32, aadrive32. Требуется Ваша помощь.

Вирус aadrive32.exe

Вирус aadrive32.exe (заявка №101523)

Вирус aadrive32.exe

Метки для этой темы

Ваши права в разделе