Помогите! Не могу побороть вирус. Процессы из папки AppDATA/Roaming состоящие из 4 символов с расширением .exe вешают систему и перестал работать интернет. [Trojan.Win32.Cidox.sjq ]

[Alex Graph]

Добрый день.
Проблема следующая. Компьютер был судя по всему заражен с карточки мобильного и еще со Skype.
Симптомы: в папке User/AppDATA/Roaming появляются файлы состоящие из 4 символов с расширением .exe, которые грузят процессор на 100% и в описании диспетчера задач идут как Registry Editor. В автозагрузке постоянно появляется WINSXS32 со ссылкой на файл из папки Roaming.
До недавнего времени просто убивал процесс и работал дальше. Теперь проблема вылезла с интернетом. Перестали грузится почти все страницы. В безопасный режим не могу войти, компьютер перегружается в обычный режим сам.
Если есть возможность убить заразу без переустанови системы, буду премного благодарен.

[Info_bot]

Уважаемый(ая) Alex Graph, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Здравствуйте !!!

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Users\Alex\AppData\Roaming\6068.exe','');
  QuarantineFile('C:\Windows\system32\femuglf.dll','');
  QuarantineFile('C:\Windows\Fonts\ARIALUNI.exe','');
  DeleteFile('C:\Windows\system32\femuglf.dll');
  DeleteFile('C:\Users\Alex\AppData\Roaming\6068.exe');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WINSXS32');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[Alex Graph]

Файл сохранён как 121226_111614_quarantine_50dadc7e0a194.zip
Размер файла 46787315
MD5 d059436e3632f11013e81a7b1fd30fc9

[thyrex]

Сделайте лог полного сканирования МВАМ

[Alex Graph]

Лог MBAM

[Alex Graph]

Ау, куда все пропали?

[thyrex]

Удалите в МВАМ только указанные ниже записи

C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R2F5X96.exe (Trojan.Carberp) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R3DJIBS.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R4TGZUP.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R4YJSH6.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R5HW9OT.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R69BILF.exe (Trojan.Agent) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R6FNBPX.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R75WNS6.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R7GPXA5.exe (Backdoor.Cidox.WMP) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R7P288H.exe (Trojan.Agent) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R8HZ1A3.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$R9OCRI8.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RAM5NNF.exe (Backdoor.Cidox.WMP) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RAY9D3S.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RC7GLL3.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RCCNM5C.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RDZ3TPM.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$REGGNFA.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$REVM6ML.exe (Backdoor.Cidox.WMP) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RFKBKFS.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RG5GWEB.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RH79O4R.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RHMHB38.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RHRV2ZW.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RJA1IE4.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RL6O4FX.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RLGJLXB.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RLZ5OJP.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RNDSBYD.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RNE166D.exe (Malware.Packer) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RQ165QE.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RR2LJXQ.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RR2WZMC.exe (Backdoor.Cidox.WMP) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RR7XCHX.exe (Trojan.Carberp) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RRIS1UB.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RSFDLEU.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RSV5A5C.exe (Trojan.Agent) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RTOVNYS.exe (Trojan.Agent) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RULNMKY.exe (Trojan.PornoAsset.NVO) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RW868WG.exe (Trojan.Ransom) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RXDMKOU.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-1097843583-869446891-390578211-1000\$RY9VEW2.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Users\Alex\AppData\Roaming\E407.exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\Windows\System32\drhplkm.dll (Backdoor.Cidox.NOD) -> Действие не было предпринято.
C:\Windows\System32\efyjumd.dll (Backdoor.Cidox.NOD) -> Действие не было предпринято.
C:\Windows\System32\qtieion.dll (Backdoor.Cidox.NOD) -> Действие не было предпринято.
C:\Windows\System32\wsgfbpl.dll (Backdoor.Cidox.NOD) -> Действие не было предпринято.

[Alex Graph]

Все удалил.
Все равно запускается процесс в память и тормозит комп. Это происходит при загрузке и еще 1-2 раза на протяжении дня. при чем компьютер стоит включенный и на нем ничего не делается.

[mrak74]

Повторите лог MBAM, - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + Сделайте логи RSIT

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\femuglf.dll - Trojan.Win32.Cidox.sjq ( DrWEB: Trojan.Mayachok.18329, AVAST4: Win32:Malware-gen )