Много левых процессов(67A,67B,676 и т.п.), постоянно виснит компьютер. [Trojan-Dropper.Win32.Dapato.btmg, Trojan.Win32.Bublik.jhy ]

[Владимир Мишин]

Как я ни пытался удалять/блокировать эти процессы и файлы, ни чего не получалось(Antivir, AVZ, Uvs).
В диспетчера задач постоянно множество процессов типа(67A,67B,676 и т.п.)и копий процесса svhost. Завершение какого-либо процесса ни чего не даёт, они восстанавливаются через 5-7 сек. Так же присутствует Webalta. На сайт Касперского не пускает. Меню "Пуск" открывает, но ни на что нажать не могу.

И как я понял, процесс yodrive32.exe всем там заправляет))

[Info_bot]

Уважаемый(ая) Владимир Мишин, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12389\newcont9rnd8.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12387\newcont8rnd7.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12367\newcont7rnd6.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12356\newcont6rnd5.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12352\newcont5rnd4.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12341\newcont4rnd3.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12340\newcont1rnd.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12330\newcont3rnd2.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12310\newcont2rnd1.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\mscpmfp.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Tygagt.scr','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Rygagr.scr','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\19D.exe','');
 TerminateProcessByName('c:\windows\yodrive32.exe');
 QuarantineFile('c:\windows\yodrive32.exe','');
 TerminateProcessByName('c:\documents and settings\admin\servnl.exe');
 QuarantineFile('c:\documents and settings\admin\servnl.exe','');
 DeleteFile('c:\documents and settings\admin\servnl.exe');
 DeleteFile('c:\windows\yodrive32.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\19D.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSSMARTMON1');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Rygagr.scr');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Tygagt.scr');
 DeleteFile('C:\Documents and Settings\Admin\mscpmfp.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tygagt');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Rygagr');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ODI5Q0NCRDUzMTM1QTk2Q0');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12310\newcont2rnd1.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr2nd1');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12330\newcont3rnd2.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr3nd2');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12340\newcont1rnd.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr1nd');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12341\newcont4rnd3.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr4nd3');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12352\newcont5rnd4.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr5nd4');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12352\newcont5rnd4.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12367\newcont7rnd6.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12356\newcont6rnd5.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12389\newcont9rnd8.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12340\newcont1rnd.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12330\newcont3rnd2.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12387\newcont8rnd7.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12310\newcont2rnd1.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12341\newcont4rnd3.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe,EXPLORER.EXE');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12356\newcont6rnd5.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr6nd5');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12367\newcont7rnd6.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr7nd6');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12387\newcont8rnd7.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr8nd7');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-12389\newcont9rnd8.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newcontr9nd8');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','tbrena');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
F3 - REG:win.ini: load=C:\Documents and Settings\Admin\mscpmfp.exe
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

Установите все новые обновления для Windows

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Владимир Мишин]

Новые логи + скан MBAM пришлю утром, сейчас система обновляется.

[Владимир Мишин]

Скрипт выполнил. Профиксил. Карантин выслал. Пропали процессы в Диспетчере. Меню "Пуск" в порядке. на сайты пускает.

Выкладываю новые логи с проверкой MBMA.

[thyrex]

Удалите в МВАМ все, кроме

HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

C:\Documents and Settings\Admin\Мои документы\Shareman\Программы\Guitar Pro 5.2\Guitarpro 5.1 keygen.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Рабочий стол\пиратия\Clickermann v2.1\Clickermann.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Рабочий стол\пиратия\Clickermann v3.2 RC1\Clickermann.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Рабочий стол\WinRAR.v3.93.Russian.x32.Incl.Keygen-FFF\Keygen\Keygen.exe (Trojan.Agent.CK) -> Действие не было предпринято.
C:\Program Files\Total Commander\Plugins\arc\Default.sfx (Malware.Packer.Gen) -> Действие не было предпринято.
C:\Program Files\Total Commander\Utilites\SFX Tool\Upack.exe (Malware.Packer.Gen) -> Действие не было предпринято.
C:\WINDOWS\notepad.exe (Trojan.Agent) -> Действие не было предпринято.

[Владимир Мишин]

Спасибо большое! Все получилось!

[thyrex]

Проблема решена?

[Владимир Мишин]

Да

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 51
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\application data\\rygagr.scr - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Gen:Variant.Symmi.2389 )
  2. c:\\documents and settings\\admin\\application data\\tygagt.scr - Trojan.Win32.Bublik.jhy ( DrWEB: BackDoor.IRC.NgrBot.13, BitDefender: Gen:Variant.Symmi.2302 )
  3. c:\\documents and settings\\admin\\application data\\19d.exe - Backdoor.Win32.SpamBot.ed ( DrWEB: BackDoor.Siggen.48248, BitDefender: Trojan.Generic.KDV.751644 )
  4. c:\\documents and settings\\admin\\mscpmfp.exe - Trojan-FakeAV.Win32.Windef.xb ( DrWEB: BackDoor.Blackshades.4, BitDefender: Trojan.Generic.KDV.756329 )
  5. c:\\documents and settings\\admin\\servnl.exe - Trojan-FakeAV.Win32.Windef.xb ( DrWEB: BackDoor.Blackshades.4, BitDefender: Trojan.Generic.KDV.756329 )
  6. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12310\\newcont2rnd1.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.235, BitDefender: Trojan.Generic.7825325, AVAST4: Win32:IRCBot-ERV [Trj] )
  7. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12330\\newcont3rnd2.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.235, BitDefender: Trojan.Generic.7771489, AVAST4: Win32:IRCBot-ERV [Trj] )
  8. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12340\\newcont1rnd.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.236, BitDefender: Gen:Variant.Barys.2332, AVAST4: Win32:IRCBot-ERV [Trj] )
  9. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12341\\newcont4rnd3.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.236, BitDefender: Gen:Variant.Barys.2332, AVAST4: Win32:IRCBot-ERV [Trj] )
  10. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12352\\newcont5rnd4.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.253, BitDefender: Gen:Variant.Barys.2332, AVAST4: Win32:IRCBot-ERV [Trj] )
  11. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12356\\newcont6rnd5.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.241, BitDefender: Trojan.Generic.7738326, AVAST4: Win32:IRCBot-ERV [Trj] )
  12. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12367\\newcont7rnd6.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.241, BitDefender: Trojan.Generic.7738326, AVAST4: Win32:IRCBot-ERV [Trj] )
  13. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12387\\newcont8rnd7.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.253, BitDefender: Gen:Variant.Barys.2332, AVAST4: Win32:IRCBot-ERV [Trj] )
  14. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-12389\\newcont9rnd8.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.Ddoser.253, BitDefender: Gen:Variant.Barys.2332, AVAST4: Win32:IRCBot-ERV [Trj] )
  15. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-14699\\brenasa.exe - Trojan-Dropper.Win32.Injector.fuof ( DrWEB: DDoS.MP.2, BitDefender: Gen:Trojan.Heur.dGW@YUXZA@hK )
  16. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - Trojan-Dropper.Win32.Injector.fuof ( DrWEB: DDoS.MP.2, BitDefender: Gen:Trojan.Heur.dGW@YQ6zj!dK )
  17. c:\\windows\\yodrive32.exe - Trojan-Dropper.Win32.Dapato.btmg ( DrWEB: BackDoor.Siggen.637, BitDefender: Trojan.Generic.KDV.764551 )