Zaberg + несколько подозрительных процессов [Trojan.Win32.Inject.ehxu, , Trojan.Win32.Inject.ejdr ]

[Татьяна Бусалаева]

iexplorer не был запущен пользователем, ещё было 4 процесса, которые пришлось закрыть что бы не грузили систему, в авто запуске их следы
Снимок.PNGvirusinfo_syscheck.zipvirusinfo_syscure.ziphijackthis.log

[Info_bot]

Уважаемый(ая) Татьяна Бусалаева, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Users\Tania\AppData\Roaming\Wqsasw.scr','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','tbrena');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 DeleteFile('C:\Users\Tania\AppData\Roaming\Wqsasw.scr');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Wqsasw');
 ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

Компьютер перезагрузится.

Файл quarantine.zip пришлите нам, используя ссылку "прислать запрошенный карантин" над первым сообщением в этой теме.

Повторите действия, указанные в правилах. Прикрепите новые отчеты AVZ/hijackthis.

Сделайте отчёт программы RSIT.

[Татьяна Бусалаева]

Спасибо. А не подскажите? - у меня этот вирус судя по всему на всех флешках, а авто запуск у меня отключен через "административные шаблоны", мне стоит отключить его через реестр или эффект от этих двух мер одинаковый?
[QUOTE]Файл сохранён как 120727_150102_virus_5012ad2ebddcf.zip
Размер файла 198750
MD5 108d75e7cf4768a6bb297217af0fa915

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\Tania\AppData\Roaming\*.gonewiththewings',' ');
 DeleteFileMask('C:\Users\Tania\AppData\Roaming','*.gonewiththewings',false);
 ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory+'quarantine_2.zip');
 RebootWindows(true);
end.

Компьютер перезагрузится.

Файл quarantine_2.zip пришлите нам, используя ссылку "прислать запрошенный карантин" над первым сообщением в этой теме.


Подключите Ваши флешки к компьютеру и не открывая их сделайте новый avz_syscheck.zip

Сделайте новый отчёт RSIT.

[Татьяна Бусалаева]

Флешки сделаю сразу как смогу.

Файл сохранён как 120727_171131_virus_5012cbc3d70b9.zip
Размер файла 2748601
MD5 f86fb98bed32378e87c39b0bf28a1268

info.txtlog.txt

[Никита Соловьев]

Здесь всё чисто. Если желаете вылечить флеш носители выполните мои рекомендации выше.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 77
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-14699\\brenasa.exe - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  2. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  3. c:\\users\\tania\\appdata\\roaming\\aab8.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.82169 )
  4. c:\\users\\tania\\appdata\\roaming\\aae7.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  5. c:\\users\\tania\\appdata\\roaming\\aa3a.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitb ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.81326 )
  6. c:\\users\\tania\\appdata\\roaming\\ae91.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.82169 )
  7. c:\\users\\tania\\appdata\\roaming\\af8a.exe.gonew iththewings - Trojan.Win32.Inject.ejdr ( DrWEB: Trojan.Necurs.21, BitDefender: Gen:Variant.Graftor.37297 )
  8. c:\\users\\tania\\appdata\\roaming\\a0f3.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  9. c:\\users\\tania\\appdata\\roaming\\a057.exe.gonew iththewings - Trojan.Win32.Menti.obhj ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.81326 )
  10. c:\\users\\tania\\appdata\\roaming\\a103.exe.gonew iththewings - Trojan.Win32.Menti.obhj ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.81326 )
  11. c:\\users\\tania\\appdata\\roaming\\a568.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  12. c:\\users\\tania\\appdata\\roaming\\a596.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  13. c:\\users\\tania\\appdata\\roaming\\a633.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: Gen:Win32.ExplorerHijack.auY@a8On7hei )
  14. c:\\users\\tania\\appdata\\roaming\\a672.exe.gonew iththewings - Trojan.Win32.Menti.obhj ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.81326 )
  15. c:\\users\\tania\\appdata\\roaming\\a673.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  16. c:\\users\\tania\\appdata\\roaming\\a681.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  17. c:\\users\\tania\\appdata\\roaming\\a690.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  18. c:\\users\\tania\\appdata\\roaming\\a808.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.82169 )
  19. c:\\users\\tania\\appdata\\roaming\\a913.exe.gonew iththewings - Trojan.Win32.Inject.ejdr ( DrWEB: Trojan.Necurs.21, BitDefender: Gen:Variant.Graftor.37297 )
  20. c:\\users\\tania\\appdata\\roaming\\a930.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  21. c:\\users\\tania\\appdata\\roaming\\a951.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  22. c:\\users\\tania\\appdata\\roaming\\a98e.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  23. c:\\users\\tania\\appdata\\roaming\\bb82.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.82169 )
  24. c:\\users\\tania\\appdata\\roaming\\bc5b.exe.gonew iththewings - Trojan.Win32.Menti.obhj ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.81326 )
  25. c:\\users\\tania\\appdata\\roaming\\bdb4.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  26. c:\\users\\tania\\appdata\\roaming\\bd65.exe.gonew iththewings - Trojan.Win32.Menti.oahj ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.81326, AVAST4: Win32:Downloader-NVR [Trj] )
  27. c:\\users\\tania\\appdata\\roaming\\be41.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  28. c:\\users\\tania\\appdata\\roaming\\be42.exe.gonew iththewings - Trojan.Win32.Menti.oesm ( DrWEB: Trojan.Necurs.20 )
  29. c:\\users\\tania\\appdata\\roaming\\b009.exe.gonew iththewings - Trojan.Win32.Menti.oesm ( DrWEB: Trojan.Necurs.20 )
  30. c:\\users\\tania\\appdata\\roaming\\b074.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  31. c:\\users\\tania\\appdata\\roaming\\b162.exe.gonew iththewings - HEUR:Trojan.Win32.Generic
  32. c:\\users\\tania\\appdata\\roaming\\b3b3.exe.gonew iththewings - Trojan.Win32.Menti.oesm ( DrWEB: Trojan.Necurs.20 )
  33. c:\\users\\tania\\appdata\\roaming\\b305.exe.gonew iththewings - Trojan.Win32.Menti.oahj ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.81326, AVAST4: Win32:Downloader-NVR [Trj] )
  34. c:\\users\\tania\\appdata\\roaming\\b362.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  35. c:\\users\\tania\\appdata\\roaming\\b40e.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  36. c:\\users\\tania\\appdata\\roaming\\b49c.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  37. c:\\users\\tania\\appdata\\roaming\\b5a4.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  38. c:\\users\\tania\\appdata\\roaming\\b74a.exe.gonew iththewings - Trojan.Win32.Inject.ejdr ( DrWEB: Trojan.Necurs.21, BitDefender: Gen:Variant.Graftor.37297 )
  39. c:\\users\\tania\\appdata\\roaming\\b8ff.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  40. c:\\users\\tania\\appdata\\roaming\\c505.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  41. c:\\users\\tania\\appdata\\roaming\\c7e6.exe.gonew iththewings - Trojan.Win32.Inject.ejdr ( DrWEB: Trojan.Necurs.21, BitDefender: Gen:Variant.Graftor.37297 )
  42. c:\\users\\tania\\appdata\\roaming\\c8c1.exe.gonew iththewings - Trojan.Win32.Inject.ejdr ( DrWEB: Trojan.Necurs.21, BitDefender: Gen:Variant.Graftor.37297 )
  43. c:\\users\\tania\\appdata\\roaming\\d821.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: Trojan.DownLoader6.30367, BitDefender: Gen:Variant.Kazy.82169 )
  44. c:\\users\\tania\\appdata\\roaming\\eac9.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  45. c:\\users\\tania\\appdata\\roaming\\ed4f.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  46. c:\\users\\tania\\appdata\\roaming\\e08c.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  47. c:\\users\\tania\\appdata\\roaming\\e132.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  48. c:\\users\\tania\\appdata\\roaming\\fe14.exe.gonew iththewings - Trojan.Win32.Menti.oesm ( DrWEB: Trojan.Necurs.20 )
  49. c:\\users\\tania\\appdata\\roaming\\f45f.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  50. c:\\users\\tania\\appdata\\roaming\\f6f4.exe.gonew iththewings - Trojan.Win32.Inject.ejdr ( DrWEB: Trojan.Necurs.21, BitDefender: Gen:Variant.Graftor.37297 )
  51. c:\\users\\tania\\appdata\\roaming\\wqsasw.scr - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.Winlock.6426, BitDefender: Gen:Variant.Zusy.12284 )
  52. c:\\users\\tania\\appdata\\roaming\\136.exe.gonewi ththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  53. c:\\users\\tania\\appdata\\roaming\\299c.exe.gonew iththewings - Trojan.Win32.Menti.oesm ( DrWEB: Trojan.Necurs.20 )
  54. c:\\users\\tania\\appdata\\roaming\\3af0.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  55. c:\\users\\tania\\appdata\\roaming\\4e3b.exe.gonew iththewings - Backdoor.Win32.Azbreg.bwy ( DrWEB: Trojan.Siggen.65039, BitDefender: Trojan.Generic.KDV.681807 )
  56. c:\\users\\tania\\appdata\\roaming\\4496.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  57. c:\\users\\tania\\appdata\\roaming\\57c2.exe.gonew iththewings - Trojan.Win32.Menti.oesm ( DrWEB: Trojan.Necurs.20 )
  58. c:\\users\\tania\\appdata\\roaming\\804c.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: Gen:Win32.ExplorerHijack.auY@a8On7hei )
  59. c:\\users\\tania\\appdata\\roaming\\8750.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  60. c:\\users\\tania\\appdata\\roaming\\9af7.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  61. c:\\users\\tania\\appdata\\roaming\\9c50.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  62. c:\\users\\tania\\appdata\\roaming\\9fab.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  63. c:\\users\\tania\\appdata\\roaming\\9fca.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitb ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.81326 )
  64. c:\\users\\tania\\appdata\\roaming\\9f4e.exe.gonew iththewings - Trojan-Downloader.Win32.Pakes.oo ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Kazy.82169 )
  65. c:\\users\\tania\\appdata\\roaming\\91c0.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  66. c:\\users\\tania\\appdata\\roaming\\924d.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  67. c:\\users\\tania\\appdata\\roaming\\9327.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  68. c:\\users\\tania\\appdata\\roaming\\9386.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: Gen:Win32.ExplorerHijack.auY@a8On7hei )
  69. c:\\users\\tania\\appdata\\roaming\\94dd.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  70. c:\\users\\tania\\appdata\\roaming\\950c.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  71. c:\\users\\tania\\appdata\\roaming\\97db.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  72. c:\\users\\tania\\appdata\\roaming\\9700.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  73. c:\\users\\tania\\appdata\\roaming\\977d.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )
  74. c:\\users\\tania\\appdata\\roaming\\9809.exe.gonew iththewings - Trojan.Win32.Inject.ehxu ( DrWEB: BackDoor.Gurl.2, BitDefender: MemScan:Backdoor.IRCBot.ADFF )
  75. c:\\users\\tania\\appdata\\roaming\\99a0.exe.gonew iththewings - Net-Worm.Win32.Kolab.bitz ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Kazy.82169 )