Failo4ka 10.5 [Trojan.Win32.Fail.a, P2P-Worm.Win32.Socks.ny ]

[askkk]

Странно работала мышка, потом клава, потом експлорер (браузер) стал сам закрываться. Дошло до того, что повредились системные файлы и ось перестала загружаться. Восстановил битые сектора регенератором, сделал чекдиск - ось загрузилась. Проверил cureitом на вирусы.
Спасибо.

[Info_bot]

Уважаемый(ая) askkk, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Techno]

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('AMInit.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 QuarantineFile('\\ee.interbrew.net\netlogon\russia\u_logon.bat','');
 QuarantineFile('C:\WINDOWS\systen\i.exe','');
 QuarantineFile('C:\WINDOWS\systen\a.exe','');
 DeleteFile('C:\WINDOWS\systen\a.exe');
 DeleteFile('C:\WINDOWS\systen\i.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','1');
 DeleteFile('\\ee.interbrew.net\netlogon\russia\u_logon.bat');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте лог полного сканирования MBAM.

- Обновите базы АВЗ (АВЗ -> меню "Файл" -> "Обновление баз" -> "Пуск") и повторите логи.

[askkk]

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
mbam-log-2012-06-30 (11-57-35).txt

[миднайт]

В HiJackThis пофиксите:

F2 - REG:system.ini: UserInit=userinit.exe,

В AVZ выполните скрипт:

begin
ExecuteWizard('TSW',2,2,true);
end.

172.23.230.75:8080 - прокси сами прописывали?

[askkk]

Выполнил.
Это рабочий ноут и не мой.Пришлось его домой взять. насколько знаю прокся в ручную писалась

[миднайт]

Сейчас как самочувствие машины?

[askkk]

Вроде все хорошо. Спасибо за помощь.
В ближайшее время надо будет еще несколько ноутов с файлочкой вылечить.

[askkk]

Как оказалось все не слишком хорошо. Все логи я отправлял с учетки лок админа, когда пришли в фирму и подключились к домену сразу же начались проблемы (раскладка странная, експлорер закрывается и тд). Посмотрел авторансом автозагрузку увидел какие-то странные процессы.
Логи:
hijackthis.log
virusinfo_syscheck.zip
virusinfo_syscure.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('F:\m.exe','');
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 QuarantineFile('C:\Documents and Settings\Ulia.Osipova\svchost.exe','');
 QuarantineFile('C:\DOCUME~1\ULIA~1.OSI\LOCALS~1\Temp\Startup\userinit.exe','');
 DeleteFile('C:\DOCUME~1\ULIA~1.OSI\LOCALS~1\Temp\Startup\userinit.exe');
 DeleteFile('C:\Documents and Settings\Ulia.Osipova\svchost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winlogon');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','winlogon');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','[system]');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','[system]');
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\m.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[askkk]

Новые логи, вирус отправил.
hijackthis.log
virusinfo_syscheck.zip
virusinfo_syscure.zip

[Techno]

Всё с начала... Нужно лечить все компьютеры в сети.

Попробуйте просканировать все компьютере сети как написано в первом сообщении тут http://virusinfo.info/showthread.php?t=15927

Потом повторите логи.

[askkk]

Все компьютеры в сети вылечить почти невозможно.
Компьютеров не одна сотня...

[regist]

Все компьютеры в сети вылечить почти невозможно.

тогда это сизифов труд, будем лечить компьютер, потом на нём будут открывать файлы с другого заражённого компьютера и опять будем лечить по новой ...

- - - Добавлено - - -

Сделайте лог Gmer

- - - Добавлено - - -

а также

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

+ Установите все новые обновления для Windows

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\ulia.osipova\\svchost.exe - P2P-Worm.Win32.Socks.ny ( DrWEB: Win32.HLLW.Nosok.1, BitDefender: Trojan.Generic.977289, NOD32: Win32/AutoRun.Agent.DL worm, AVAST4: Win32:Agent-AFBO [Wrm] )
  2. f:\\autorun.inf - Trojan.Win32.Fail.a ( NOD32: INF/Autorun virus )