mspaint.exe не завершается процесс в диспетчере задач\yndrive32,nedpro0xz,nepro0xz,24naq грузят систему [Trojan.Win32.Jorik.IRCbot.wdk, Trojan.Win32.Jorik.Nrgbot.ene ]

[T1ara]

Сразу после загрузки виндовс в диспетчере задач множество непонятных процессов:
yndrive32
ywdrive32
nedpro0xz
nepro0xz
24naq
msprxysvc32
1.exe
всех их можно отключить в диспетчере, кроме mspaint.exe, который мгновенно включается заново
заходил в system32- там удалял msprxysvc32 и другие файлы, но они появлялись снова
так же в C:\Documents and Settings\555 появляется время от времени ddn.exe
в msconfig отключал автозагрузку этих файлов, но они снова там появлялись
переустанавливал виндоус-не помогло

[Info_bot]

Уважаемый(ая) T1ara, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

> Выполните скрипт в AVZ:

begin
 ClearQuarantine;
if not IsWOW64 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
 TerminateProcessByName('c:\windows\yndrive32.exe');
 QuarantineFile('C:\WINDOWS\ywdrive32.exe','');
 QuarantineFile('C:\WINDOWS\system32\msprxysvc32.exe','');
 QuarantineFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hostsn.exe','');
 QuarantineFile('C:\WINDOWS\yndrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe','');
 QuarantineFile('C:\Documents and Settings\555\Application Data\Microsoft\Fvgqgv.exe','');
 DeleteFile('C:\Documents and Settings\555\Application Data\Microsoft\Fvgqgv.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-106669\w68v12.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-917678\nepro0xz.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-46689\24naq.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-91768\nedpro0xz.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Fvgqgv');
 DeleteFile('C:\WINDOWS\yndrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hostsn.exe');
 DeleteFile('C:\WINDOWS\system32\msprxysvc32.exe');
 DeleteFile('C:\WINDOWS\ywdrive32.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine.zip.

> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.
+http://virusinfo.info/showthread.php?t=115256

_________________
> как выполнить скрипт в AVZ

[T1ara]

При загрузке виндоус в диспетчере задач нету этих програм, правда перестала отображаться языковая панель

[Никита Соловьев]

> Выполните скрипт в AVZ:

begin
 ClearQuarantine;
if not IsWOW64 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
QuarantineFile('C:\Documents and Settings\555\Application Data\7D.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\7C.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\7B.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\7A.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\79.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\6E.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\6D.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\6C.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\6B.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\C.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\B.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\168.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\167.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\166.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\A.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\9.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\8.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\7.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\6.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\5.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\4.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\3.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\2.exe','detected by rsit');
QuarantineFile('C:\Documents and Settings\555\Application Data\1.exe','detected by rsit');
DeleteFile('C:\Documents and Settings\555\Application Data\7D.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\7C.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\7B.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\7A.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\79.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\6E.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\6D.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\6C.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\6B.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\C.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\B.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\168.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\167.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\166.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\A.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\9.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\8.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\7.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\6.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\5.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\4.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\3.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\2.exe');
DeleteFile('C:\Documents and Settings\555\Application Data\1.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine_2.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер будет перезагружен.

> Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine_2.zip.

> Сделайте заново отчет программой RSIT.

Настоятельно рекомендуется: установить SP3 для Windows XP, все последующие обновления безопасности, Internet Explorer 8.

_________________
> как выполнить скрипт в AVZ

[T1ara]

Языковая панель отсутствует, в диспетчере снова появились эти процессы(

[regist]

Platform: Windows XP SP2

Уведомление

Установите SP3 (может потребоваться активация) + все новые обновления для Windows

Установите Internet Explorer 8 (даже если им не пользуетесь)

пока это не установите лечить его бесполезно, система слишком уязвима для вирусов.

после того как поставите

- Сделайте логи RSIT.
- Сделайте лог полного сканирования МВАМ.

[T1ara]

Переустановил свой виндовс, потом пропатчил до сп3, поставил интернет експлорер 8 и какую-то защиту для него(вообщем поставил галочки при скачивании на всё).
Пока не вылазят процессы.

[Никита Соловьев]

Отключите, а затем включите снова восстановление Windows, чтобы очистились контрольные точки. Больше ничего плохого. Закрываем?

[T1ara]

То есть следов вируса больше нету?
Простите, а как включить восстановление Windows?)

- - - Добавлено - - -

а нашёл, извините)

[Никита Соловьев]

То есть следов вируса больше нету?

Нет

[T1ara]

уряяя, а я уж думал безнадёжно всё будет)
спасители мои, спасибо вам большое!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 33
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\555\\application data\\a.exe - Trojan.Win32.Jorik.Nrgbot.ene ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )
  2. c:\\documents and settings\\555\\application data\\b.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Win32.HLLW.Autoruner1.33124, BitDefender: Gen:Win32.ExplorerHijack.amW@aeK05dj, AVAST4: Win32:Malware-gen )
  3. c:\\documents and settings\\555\\application data\\c.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  4. c:\\documents and settings\\555\\application data\\microsoft\\fvgqgv.exe - Backdoor.Win32.Ruskill.qcf ( DrWEB: BackDoor.IRC.NgrBot.42, BitDefender: Gen:Variant.Symmi.10640, NOD32: Win32/Injector.ABWP trojan, AVAST4: Win32:LockScreen-QK [Trj] )
  5. c:\\documents and settings\\555\\application data\\1.exe - Trojan.Win32.Jorik.Tedroo.cjy ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )
  6. c:\\documents and settings\\555\\application data\\166.exe - Trojan.Win32.Jorik.Tedroo.cjy ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )
  7. c:\\documents and settings\\555\\application data\\167.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  8. c:\\documents and settings\\555\\application data\\168.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  9. c:\\documents and settings\\555\\application data\\2.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  10. c:\\documents and settings\\555\\application data\\3.exe - Trojan.Win32.Jorik.Nrgbot.ene ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )
  11. c:\\documents and settings\\555\\application data\\4.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Win32.HLLW.Autoruner1.33124, BitDefender: Gen:Win32.ExplorerHijack.amW@aeK05dj, AVAST4: Win32:Malware-gen )
  12. c:\\documents and settings\\555\\application data\\5.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  13. c:\\documents and settings\\555\\application data\\6b.exe - Trojan.Win32.Jorik.Tedroo.cjy ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )
  14. c:\\documents and settings\\555\\application data\\6c.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  15. c:\\documents and settings\\555\\application data\\6d.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  16. c:\\documents and settings\\555\\application data\\6e.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  17. c:\\documents and settings\\555\\application data\\6.exe - HEUR:Trojan.Win32.Generic ( BitDefender: Trojan.Generic.KD.864327, AVAST4: Win32:Kryptik-LDN [Trj] )
  18. c:\\documents and settings\\555\\application data\\7a.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  19. c:\\documents and settings\\555\\application data\\7b.exe - Trojan.Win32.Jorik.Nrgbot.ene ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )
  20. c:\\documents and settings\\555\\application data\\7c.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Win32.HLLW.Autoruner1.33124, BitDefender: Gen:Win32.ExplorerHijack.amW@aeK05dj, AVAST4: Win32:Malware-gen )
  21. c:\\documents and settings\\555\\application data\\7d.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  22. c:\\documents and settings\\555\\application data\\7.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  23. c:\\documents and settings\\555\\application data\\79.exe - Trojan.Win32.Jorik.Tedroo.cjy ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )
  24. c:\\documents and settings\\555\\application data\\8.exe - Trojan.Win32.Jorik.Tedroo.cjy ( DrWEB: BackDoor.BlackEnergy.24, BitDefender: Trojan.Generic.KD.827479, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Jorik-SI [Trj] )
  25. c:\\documents and settings\\555\\application data\\9.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  26. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\hostsn.exe - Backdoor.Win32.Azbreg.qni ( BitDefender: Trojan.Generic.KDV.864000, AVAST4: Win32:Downloader-SOC [Trj] )
  27. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-106669\\w68v12.exe - Trojan.Win32.Jorik.Nrgbot.ene ( DrWEB: Trojan.Packed.23610, BitDefender: Trojan.Generic.KDZ.1286, AVAST4: Win32:Malware-gen )
  28. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-46689\\24naq.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  29. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-917678\\nepro0xz.exe - Trojan.Win32.Jorik.IRCbot.wdk ( DrWEB: Win32.HLLW.Phorpiex.54, BitDefender: Trojan.Generic.KDZ.3011, AVAST4: Win32:Malware-gen )
  30. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-91768\\nedpro0xz.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Win32.HLLW.Autoruner1.33124, BitDefender: Gen:Win32.ExplorerHijack.amW@aeK05dj, AVAST4: Win32:Malware-gen )
  31. c:\\windows\\system32\\msprxysvc32.exe - Packed.Win32.Klone.bz ( DrWEB: BackDoor.IRC.Rxbot.64, BitDefender: DeepScan:Generic.Sdbot.0818519D, AVAST4: Win32:Rbot-GQO [Trj] )
  32. c:\\windows\\yndrive32.exe - HEUR:Trojan.Win32.Generic ( BitDefender: Trojan.Generic.KD.864327, AVAST4: Win32:Kryptik-LDN [Trj] )
  33. c:\\windows\\ywdrive32.exe - Trojan-Ransom.Win32.PornoAsset.bthd ( DrWEB: Trojan.Winlock.7048, BitDefender: Trojan.Generic.KDZ.7043, AVAST4: Win32:Fareit-BF [Trj] )