Помогите пожалуйста удалить Trojan.Win32.Inject.bkiu [Trojan.Win32.Scar.gajg, Backdoor.Win32.Cidox.bjd, Trojan-Dropper.Win32.VB.bwnu ]

[Павел Сбитнев]

Ни один браузер не работает коректно. на многих страницах предлагает ввести номер телефона. Рассылает спам. антивирус не спасет (не видет). касперкий не встал. стандартный виндовый не ставится.
Логи сделаны согласно инструкции.

[Info_bot]

Уважаемый(ая) Павел Сбитнев, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/pravila.html

[Павел Сбитнев]

файлы прикрепил

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\MsMpEng.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Павел Сбитнев]

карантин прислал

[thyrex]

Пофиксите в HiJack

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxxi.biz
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxxi.biz
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)

Сделайте лог полного сканирования МВАМ

[Павел Сбитнев]

всё выполнил, и прикрепляю лог

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\86444.exe', 'MBAM: Trojan.MSIL.Gen');
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\bitcoin-miner.exe', 'MBAM: PUP.BitMiner');
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\62831.exe', 'MBAM: Trojan.Dropper');
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\Rar$EX81.816\DD\zhack.exe', 'MBAM: HackTool.Agent');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\11AC.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\15E9.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\211E.exe', 'MBAM: Trojan.Cidox');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\2922.exe', 'MBAM: Trojan.Agent.Gen');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\4720.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\6420.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\689C.exe', 'MBAM: Trojan.Ransom.ANC');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\6FC6.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\745D.exe', 'MBAM: Trojan.Cidox');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\75F5.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\7AF8.exe', 'MBAM: Trojan.Ransom');
QuarantineFile('c:\users\dasha\appdata\roaming\mhhwhi.exe', 'MBAM: Backdoor.ngrBot');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\E154.exe', 'MBAM: Trojan.Cidox');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\E1B8.exe', 'MBAM: Trojan.Ransom');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\E9AC.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\EE94.exe', 'MBAM: Trojan.Ransom.ANC');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\F891.exe', 'MBAM: Trojan.Cidox');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\FE4C.exe', 'MBAM: Trojan.Cidox');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\AC9E.exe', 'MBAM: Heuristics.Shuriken');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\B34C.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\B738.exe', 'MBAM: Trojan.Ransom.ANC');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\btc.exe', 'MBAM: Trojan.Dropper');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\C7D5.exe', 'MBAM: Heuristics.Shuriken');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\CA11.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\D497.exe', 'MBAM: Trojan.Ransom');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\9FD0.exe', 'MBAM: Trojan.SpamLink');
QuarantineFile('C:\Users\Dasha\AppData\Roaming\worlduarchive\23c430b44a198fe2371682d4d6411de5', 'MBAM: PUP.SmsPay');
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\csrss.exe', 'MBAM: Trojan.Agent');
QuarantineFile('C:\Users\Dasha\AppData\Local\Temp\.exe', 'MBAM: Trojan.Agent');
DeleteFile('C:\Users\Dasha\AppData\Local\Temp\86444.exe');
DeleteFile('C:\Users\Dasha\AppData\Local\Temp\bitcoin-miner.exe');
DeleteFile('C:\Users\Dasha\AppData\Local\Temp\62831.exe');
DeleteFile('C:\Users\Dasha\AppData\Local\Temp\Rar$EX81.816\DD\zhack.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\11AC.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\15E9.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\211E.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\2922.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\4720.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\6420.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\689C.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\6FC6.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\745D.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\75F5.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\7AF8.exe');
DeleteFile('c:\users\dasha\appdata\roaming\mhhwhi.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\E154.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\E1B8.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\E9AC.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\EE94.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\F891.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\FE4C.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\AC9E.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\B34C.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\B738.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\btc.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\C7D5.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\CA11.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\D497.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\9FD0.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\worlduarchive\23c430b44a198fe2371682d4d6411de5');
DeleteFile('C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-09\avz00001.dta');
DeleteFile('C:\Users\Dasha\AppData\Local\Temp\csrss.exe');
DeleteFile('C:\Users\Dasha\AppData\Local\Temp\.exe');
DeleteFile('C:\Users\Dasha\AppData\Roaming\lol');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новый лог МВАМ

[Павел Сбитнев]

Карантин прислал. сейчас лог выложу

[Павел Сбитнев]

а вот и лог

[thyrex]

Удалите в МВАМ только указанные ниже записи

Обнаруженные параметры в реестре:  1
HKCU\Software\Microsoft\Windows\CurrentVersion\Run|Microsoft Essentials (Trojan.Agent.Gen) -> Параметры: C:\Users\Dasha\AppData\Local\Temp\MsMpEng.exe -> Действие не было предпринято.

Обнаруженные файлы:  34
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00001.dta (Trojan.MSIL.Gen) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00002.dta (PUP.BitMiner) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00003.dta (Trojan.Dropper) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00004.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00005.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00006.dta (Trojan.Cidox) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00007.dta (Trojan.Agent.Gen) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00008.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00009.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00010.dta (Trojan.Ransom.ANC) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00011.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00012.dta (Trojan.Cidox) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00013.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00014.dta (Trojan.Ransom) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00015.dta (Backdoor.ngrBot) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00016.dta (Trojan.Cidox) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00017.dta (Trojan.Ransom) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00018.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00019.dta (Trojan.Ransom.ANC) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00020.dta (Trojan.Cidox) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00021.dta (Trojan.Cidox) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00023.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00024.dta (Trojan.Ransom.ANC) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00025.dta (Trojan.Dropper) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00027.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00028.dta (Trojan.Ransom) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00029.dta (Trojan.SpamLink) -> Действие не было предпринято.
C:\Users\Dasha\Desktop\avz439\avz4\Quarantine\2012-10-14\avz00030.dta (PUP.SmsPay) -> Действие не было предпринято.

[Павел Сбитнев]

Большое спасибо. всё заработало.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 102
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\dasha\\appdata\\local\\temp\\bitcoin-miner.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.bko ( DrWEB: Tool.BtcMine.25 )
  2. c:\\users\\dasha\\appdata\\local\\temp\\.exe - Trojan-Dropper.Win32.Injector.czok ( DrWEB: BackDoor.Blackshades.2, AVAST4: Win32:Kryptik-HQT [Trj] )
  3. c:\\users\\dasha\\appdata\\local\\temp\\62831.exe - Trojan.Win32.Scar.gajg ( DrWEB: Trojan.KillProc.14716, BitDefender: Trojan.Generic.7262265, NOD32: Win32/CoinMiner.L trojan, AVAST4: Win32:VBCrypt-WC [Trj] )
  4. c:\\users\\dasha\\appdata\\local\\temp\\86444.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Comet.55, AVAST4: MSIL:Crypt-HR [Trj] )
  5. c:\\users\\dasha\\appdata\\roaming\\ac9e.exe - Trojan-Dropper.Win32.VB.bwnu ( DrWEB: BackDoor.IRC.NgrBot.209 )
  6. c:\\users\\dasha\\appdata\\roaming\\btc.exe - Trojan.Win32.Scar.gajg ( DrWEB: Trojan.KillProc.14716, BitDefender: Trojan.Generic.7262265, NOD32: Win32/CoinMiner.L trojan, AVAST4: Win32:VBCrypt-WC [Trj] )
  7. c:\\users\\dasha\\appdata\\roaming\\b34c.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  8. c:\\users\\dasha\\appdata\\roaming\\b738.exe - Trojan-Downloader.Win32.Small.cpaq ( DrWEB: Trojan.DownLoad3.14299, BitDefender: Trojan.Generic.KDV.751234 )
  9. c:\\users\\dasha\\appdata\\roaming\\ca11.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  10. c:\\users\\dasha\\appdata\\roaming\\c7d5.exe - Trojan-Dropper.Win32.VB.bwnu ( DrWEB: BackDoor.IRC.NgrBot.209 )
  11. c:\\users\\dasha\\appdata\\roaming\\d497.exe - Trojan.Win32.Yakes.bdwx ( DrWEB: Trojan.Spamlink.5, BitDefender: Worm.Generic.390127 )
  12. c:\\users\\dasha\\appdata\\roaming\\ee94.exe - Trojan-Downloader.Win32.Small.cpaq ( DrWEB: Trojan.DownLoad3.14299, BitDefender: Trojan.Generic.KDV.751234 )
  13. c:\\users\\dasha\\appdata\\roaming\\e1b8.exe - Trojan.Win32.Yakes.bdwx ( DrWEB: Trojan.Spamlink.5, BitDefender: Worm.Generic.390127 )
  14. c:\\users\\dasha\\appdata\\roaming\\e154.exe - Backdoor.Win32.Cidox.bfl ( DrWEB: Trojan.Inject1.11097 )
  15. c:\\users\\dasha\\appdata\\roaming\\e9ac.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  16. c:\\users\\dasha\\appdata\\roaming\\fe4c.exe - Backdoor.Win32.Cidox.bjd ( DrWEB: Trojan.Mayachok.17986 )
  17. c:\\users\\dasha\\appdata\\roaming\\f891.exe - Backdoor.Win32.Cidox.bfl ( DrWEB: Trojan.Inject1.11097 )
  18. c:\\users\\dasha\\appdata\\roaming\\mhhwhi.exe - Worm.Win32.Ngrbot.mbn ( DrWEB: BackDoor.IRC.NgrBot.42 )
  19. c:\\users\\dasha\\appdata\\roaming\\worlduarchive\ \23c430b44a198fe2371682d4d6411de5 - Hoax.Win32.ArchSMS.mpnr ( DrWEB: Trojan.SMSSend.2316, BitDefender: Gen:Variant.Buzy.4698, NOD32: Win32/Hoax.ArchSMS.GC application, AVAST4: Win32:SMSSend-RR [PUP] )
  20. c:\\users\\dasha\\appdata\\roaming\\11ac.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  21. c:\\users\\dasha\\appdata\\roaming\\15e9.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  22. c:\\users\\dasha\\appdata\\roaming\\211e.exe - Backdoor.Win32.Cidox.bfl ( DrWEB: Trojan.Inject1.11097 )
  23. c:\\users\\dasha\\appdata\\roaming\\2922.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.Spamlink.1, BitDefender: Gen:Variant.Barys.7649 )
  24. c:\\users\\dasha\\appdata\\roaming\\4720.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  25. c:\\users\\dasha\\appdata\\roaming\\6fc6.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  26. c:\\users\\dasha\\appdata\\roaming\\6420.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  27. c:\\users\\dasha\\appdata\\roaming\\689c.exe - Trojan-Downloader.Win32.Small.cpaq ( DrWEB: Trojan.DownLoad3.14299, BitDefender: Trojan.Generic.KDV.751234 )
  28. c:\\users\\dasha\\appdata\\roaming\\7af8.exe - Trojan.Win32.Yakes.bdwx ( DrWEB: Trojan.Spamlink.5, BitDefender: Worm.Generic.390127 )
  29. c:\\users\\dasha\\appdata\\roaming\\745d.exe - Backdoor.Win32.Cidox.bfl ( DrWEB: Trojan.Inject1.11097 )
  30. c:\\users\\dasha\\appdata\\roaming\\75f5.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )
  31. c:\\users\\dasha\\appdata\\roaming\\9fd0.exe - Trojan-Spy.Win32.Zbot.fnjo ( DrWEB: Trojan.Spamlink.2, BitDefender: Trojan.Agent.AWZW )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !