Trojan.Packed.140

[Redis]

Здраствуйте!
Заходишь в мой компьютер, нажимаешь любой локальный диск, открывается в новом окне, хотя в свойствах стоит "открывать в одном окне"
Создаются файлы autorun.inf, uxdeiect.com, usdeiect.com на дисках.
Нельзя отобразить скрытые файлы и запустить некоторые приложения.
Проверяю антивирусом (avast!4.7), базы новые, ничего не видит.
Тестировал CureIT в безопасном режиме - найдены Trojan.PWS.Wsgame.2387 (C:\uxdeiect.com), Trojan.Packed.140 (C:\WINDOWS\system32\amvo1.dll), Trojan.PWS.Wsgame.2387 (D:\uxdeiect.com), Trojan.PWS.Wsgame.2387 (G:\uxdeiect.com)

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
 QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
 DeleteFile('C:\WINDOWS\system32\amvo0.dll');
 DeleteFile('C:\WINDOWS\system32\wincab.sys');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('G:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('ASPI32');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

[Redis]

Карантин выслал!

[Bratez]

Выполните такой скрипт:

begin
SetAVZGuardStatus(True);
 DeleteFile('C:\usdeiect.com');
 DeleteFile('D:\usdeiect.com');
 DeleteFile('G:\usdeiect.com');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ASPI32');
BC_Activate;
RebootWindows(true);
end.

Сделайте новые логи.

[Redis]

Что делать дальше?

[Bratez]

Больше ничего подозрительного нет.
Рекомендуется отключить все что вам не нужно из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[Redis]

А как отключить!?
Галочку убрать с "отключить восстановление системы на всех дисках"!?

Добавлено через 4 минуты

Скрытые файлы и папки не видны

[Bratez]

Скажите, что не нужно, сделаем скрипт.
Галочку можно убрать.

[Redis]

Не нужно:
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Добавлено через 2 минуты

Папки скрытые не видны.

[Bratez]

Вот скрипт:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.

Если есть локалка - первую строчку после begin уберите.
Показ скрытых должен заработать.

[Redis]

Всё работает, скрытые файлы и папки видны!
Огромное спасибо!

[Bratez]

Спасибо у нас не говорят, а нажимают

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\autorun.inf - Worm.Win32.AutoRun.bhx (DrWEB: Win32.HLLW.Autoruner.1053)
  2. c:\\windows\\system32\\amvo.exe - Trojan-GameThief.Win32.OnLineGames.mhp (DrWEB: Trojan.PWS.Wsgame.2387)
  3. c:\\windows\\system32\\amvo0.dll - Trojan-GameThief.Win32.OnLineGames.mhp (DrWEB: Trojan.PWS.Wsgame.2387)
  4. d:\\autorun.inf - Worm.Win32.AutoRun.bhx (DrWEB: Win32.HLLW.Autoruner.1053)
  5. g:\\autorun.inf - Worm.Win32.AutoRun.bhx (DrWEB: Win32.HLLW.Autoruner.1053)