В терминальную перестали передоваться некторые сочетания клавиш [Trojan.Win32.Agent.afjco ]

[Dwenta]

Недели две назад в теминальную сессию перестало передаваться сочетание Win+E
Недавно не работало сочетание Ctrl+C (я подумал, что может это как-то связано с перехватчиком клавиатуры?)

Kaspersky Virus Removal Tool нашел трояна, но очень хотелось бы убедиться, что больше ничего не осталось!

(На компьютере стоит Avira, которая последнее время ругается на те или иные файлы (из кеша браузера)).

[Info_bot]

Уважаемый(ая) Dwenta, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте!

Закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\notepad.exe','');
 QuarantineFile('C:\WINDOWS\System32\BeTwinServiceXP.exe','');
 QuarantineFile('C:\WINDOWS\system32\msphqghu.exe','');
 QuarantineFile('c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe','');
 DeleteFile('C:\WINDOWS\system32\msphqghu.exe','32');
 DeleteService('Network Adapter Events');  
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Этот файл вам знаком?

c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe

Программой удаленного доступа BeTwinServiceXP пользуйтесь?

Сделайте новые логи AVZ

Сделайте логи RSIT.

[Dwenta]

скрипты выполнил, карантин отправил.

c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe - да, знаком. Я его ставил года три назад. Пользуюсь этой программой.

BeTwinServiceXP - НЕ пользуюсь

- - - Добавлено - - -

новые логи сделаю

[mike 1]

Закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\BeTwinServiceXP.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\BeTwinKF.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\BeTwinMF.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\BeTwinSystem.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\BeTwinVF.sys','');
 DeleteFile('C:\WINDOWS\System32\drivers\BeTwinKF.sys','32');     
 DeleteFile('C:\WINDOWS\System32\drivers\BeTwinMF.sys','32');  
 DeleteFile('C:\WINDOWS\System32\Drivers\BeTwinSystem.sys','32');     
 DeleteFile('C:\WINDOWS\System32\drivers\BeTwinVF.sys','32');     
 DeleteFile('C:\WINDOWS\system32\BeTwinServiceXP.exe','32');   
 DeleteService('BeTwinVideo');
 DeleteService('BeTwinSystem');
 DeleteService('BeTwinKeyboard');
 DeleteService('BeTwinMouse');        
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Программами удаленного доступа TeamViewer и Radmin пользуйтесь?

Сделайте новые логи AVZ, RSIT.

[Dwenta]

TeamViewer'ом пользуюсь
RAdmin'ом - нет

[mike 1]

На файл появился детект антивируса Trojan.Win32.Agent.afjco

c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe

Поэтому закройте все программы

Отключите
- Антивирус и Файрвол (http://virusinfo.info/showthread.php?t=130828)

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe');
 QuarantineFile('c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe','');
 DeleteFile('c:\documents and settings\admin\Главное меню\Программы\Автозагрузка\wbhotkeys.exe','32');  
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;    
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

O4 - Startup: wbhotkeys.exe

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

[Dwenta]

готово

[mike 1]

В MBAM удалите:

Обнаруженные параметры в реестре:  1
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры: ⾩趓풸쯁챙⾾꩝嬦峝鏒연흈명鴕躧纒署廄졖㢽姠Ζꗘtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀﳷ낇餜ᮚ좦錏޻⫖�滷甗�켯䅄꛼峭褟턚ᦹ�tฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀ꧞弹ᩝtฑ잲ﰀ﬈䕙鍙왭爏뀏⑞⯉tฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀtฑ잲ﰀ꼇㳯姃龶 -> Действие не было предпринято.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 23
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\главное меню\программы\автозагрузка\wbhotkeys.exe - Trojan.Win32.Agent.afjco