Непрерывный спам и загрузка ненужных программ на жесткий диск [Trojan.MSIL.Agent.fedb ]

**Gorgul'ja** · 13.08.2014, 18:11

Кратко: Жесткий диск постоянно перегружается; Администратор оказался сломан и пришлось добавлять нового; Спам лезет всюду, удалил из реестра спамный раздел, который загружался раньше антивируса, теперь словно в насмешку особенно яростно атакуются сайты официальные и информационные об антивирусах. Антивирус "Avast!".

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 13.08.2014, 18:13

Уважаемый(ая) Gorgul'ja, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 13.08.2014, 22:07

Сделайте логи по правилам.

**Gorgul'ja** · 14.08.2014, 13:22

По приложениям не архивируется, заархивировал сам по инструкции.

**Vvvyg** · 14.08.2014, 13:51

Не надо было ничего переименовывать и паковать, AVZ сам должен был создать архивы virusinfo_syscheck.zip и virusinfo_syscheck.zip.

Выполните скрипт в AVZ:

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 StopService('Sysconfig');
 StopService('SuperFitch_x86');
 StopService('Officecompiler');
 StopService('MicrosoapFileManager');
 StopService('Loadmnge32');
 StopService('Host32manager');
 StopService('FirewallIntegrityChecker');
 StopService('dsp');
 StopService('DiskAnalysis');
 QuarantineFile('C:\ProgramData\Sysconfig\Sysconfig.exe','');
 QuarantineFile('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86\SuperFitch_x86.exe','');
 QuarantineFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler\Officecompiler.exe','');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager\MicrosoapFileManager.exe','');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32\Loadmnge32.exe','');
 QuarantineFile('C:\ProgramData\Host32manager\Host32manager.exe','');
 QuarantineFile('C:\ProgramData\Firewall Integrity Checker\FirewallIntegrityChecker.exe','');
 QuarantineFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector\dsp.exe','');
 QuarantineFile('C:\ProgramData\Disk Analysis\DiskAnalysis.exe','');
 DeleteFile('C:\ProgramData\Disk Analysis\DiskAnalysis.exe','32');
 DeleteFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector\dsp.exe','32');
 DeleteFile('C:\ProgramData\Firewall Integrity Checker\FirewallIntegrityChecker.exe','32');
 DeleteFile('C:\ProgramData\Host32manager\Host32manager.exe','32');
 DeleteFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32\Loadmnge32.exe','32');
 DeleteFile('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager\MicrosoapFileManager.exe','32');
 DeleteFile('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler\Officecompiler.exe','32');
 DeleteFile('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86\SuperFitch_x86.exe','32');
 DeleteFile('C:\ProgramData\Sysconfig\Sysconfig.exe','32');
 DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
 DeleteFile('C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
 DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsLiveUpdateTaskMachineUA','32');
 DeleteFile('C:\Windows\system32\Tasks\BonanzaDealsUpdate','32');
 DeleteFile('C:\Windows\system32\Tasks\UpnCH','32');
 DeleteFile('C:\Windows\system32\Tasks\VuuPCUpdate','32');
 DeleteFile('C:\Windows\system32\Tasks\VuuPCUpdateLogin','32');
 DelBHO('{fe063412-bea4-4d76-8ed3-183be6220d17}');
 DelBHO('{ad708c09-d51b-45b3-9d28-4eba2681febf}');
 DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
 DelBHO('{11111111-1111-1111-1111-110211771193}');
 DelBHO('{0FB6A909-6086-458F-BD92-1F8EE10042A0}');
 DelBHO('{0E8A89AD-95D7-40EB-8D9D-083EF7066A01}');
 DeleteService('VuuPCConnectivity');
 DeleteService('Sysconfig');
 DeleteService('SuperFitch_x86');
 DeleteService('RemoteEngineService');
 DeleteService('Officecompiler');
 DeleteService('MicrosoapFileManager');
 DeleteService('Loadmnge32');
 DeleteService('Host32manager');
 DeleteService('FirewallIntegrityChecker');
 DeleteService('dsp');
 DeleteService('DiskAnalysis');
 DeleteService('BrowserDefendert');
 DeleteService('bonanzadealslivem');
 DeleteService('bonanzadealslive');
 DeleteFileMask('C:\ProgramData\Sysconfig','*',true);
 DeleteFileMask('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86','*',true);
 DeleteFileMask('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler','*',true);
 DeleteFileMask('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager','*',true);
 DeleteFileMask('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32','*',true);
 DeleteFileMask('C:\ProgramData\Host32manager','*',true);
 DeleteFileMask('C:\ProgramData\Firewall Integrity Checker','*',true);
 DeleteFileMask('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector','*',true);
 DeleteFileMask('C:\ProgramData\Disk Analysis','*',true);
 DeleteDirectory('C:\ProgramData\Sysconfig');
 DeleteDirectory('C:\Users\Default\AppData\Local\Microsoft\Super Fitch x86');
 DeleteDirectory('C:\Users\Default\AppData\Local\Microsoft\Windows\Officecompiler');
 DeleteDirectory('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Microsoap File Manager');
 DeleteDirectory('C:\Users\Default\AppData\Roaming\Microsoft\Windows\Loadmnge32');
 DeleteDirectory('C:\ProgramData\Host32manager');
 DeleteDirectory('C:\ProgramData\Firewall Integrity Checker');
 DeleteDirectory('C:\Users\Default\AppData\Local\Microsoft\Windows\Default settings protector');
 DeleteDirectory('C:\ProgramData\Disk Analysis');
BC_ImportDeletedList;
 ExecuteWizard('TSW',2,2,true);
 ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Скачайте утилиту OTL by OldTimer. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

Scan All Users
Include 64Bit Scans - в случае 64-разрядной системы;
Output: Minimal Output;
File Scans: Use Company-Name WhiteList и Skip Microsoft Files;
Lop Check;
Purity Check.

В окне File Age установите 30 days
Остальные параметры оставьте по умолчанию.
Скопируйте текст

Код:

%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%CommonProgramFiles%\*.*

в окно Custom Scans/Fixes и нажмите Run Scan.

После окончания сканирования программа создаст два файла: OTL.TXT и EXTRAS.TXT, упакуйте их в архив ZIP или RAR и прикрепите их к своему следующему сообщению в теме.

**Gorgul'ja** · 14.08.2014, 19:32

Сделал, надеюсь правильно.

**Vvvyg** · 14.08.2014, 19:44

Ок, жду лог OTL.

**Gorgul'ja** · 14.08.2014, 20:16

Сделал в "OTL by OldTimer"

**regist** · 14.08.2014, 20:44

LoviVideo - вам знакомо?

VuuPC Packages - если есть в установленных программах деинсталируйте. Программы от mail.ru если не используете тоже.

Выполните скрипт в AVZ

Код:

begin
 ExecuteRepair(3);
 ExecuteRepair(4);
 RebootWindows(false);
end.

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

**Vvvyg** · 14.08.2014, 22:47

Отключите до перезагрузки антивирус, запустите OTL (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора), скопируйте скрипт ниже в окно Custom Scans/Fixes, закройте все браузеры и нажмите Run Fix

Код:

:processes

:OTL
SRV - (Guard.Mail.ru) -- C:\Program Files\Mail.Ru\Guard\GuardMailRu.exe File not found
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\..\SearchScopes\{3E0C9769-C75E-4D54-9BA8-ACE7DDE006DD6B4}: "URL" = http://startru.net/?q={searchTerms}&utm_medium=cse&utm_source=afo6&utm_campaign=bp&utm_content=11-11
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1000\..\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633}: "URL" = http://webalta.ru/search?q={searchTerms}&from=IE
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1004\SOFTWARE\Microsoft\Internet Explorer\Main,bProtector Start Page = http://www.delta-search.com/?affID=122471&babsrc=HP_ss&mntrId=C665BCAEC596918D
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1004\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://www.delta-search.com/?q={searchTerms}&affID=122471&babsrc=SP_ss&mntrId=C665BCAEC596918D
IE - HKU\S-1-5-21-3593483874-728133789-3019071530-1004\..\SearchScopes\0D444DE227BD4EFCDACE1B8F46A01F00: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1269415&CUI=UN33829765232096953&UM=1
[2013.06.09 23:26:46 | 000,000,000 | ---D | M] ("CouponDropDown Plugin") -- C:\Users\111\AppData\Roaming\mozilla\Firefox\Profiles\nahd6ha2.default\extensions\a9528187-9e1d-47f0-8785-a2aee4da22a2@82b0648f-3df8-4fbb-bfb1-b8aa08d473a7.com
[2013.06.09 23:26:46 | 000,000,000 | ---D | M] (No name found) -- C:\Users\111\AppData\Roaming\mozilla\Firefox\Profiles\nahd6ha2.default\extensions\a9528187-9e1d-47f0-8785-a2aee4da22a2@82b0648f-3df8-4fbb-bfb1-b8aa08d473a7.com\chrome\content\extensionCode
[2012.03.13 00:34:56 | 000,000,412 | ---- | M] () -- C:\Users\111\AppData\Roaming\mozilla\firefox\profiles\nahd6ha2.default\searchplugins\webalta-search.xml
File not found (No name found) -- C:\USERS\Р”РЁРЈР°\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\NAHD6HA2.DEFAULT\EXTENSIONS\{6221D3F4-D69D-46E5-B989-B5FDE79C2247}.XPI
O4 - HKLM..\Run: [HFALoader] C:\Program Files\Hamster Soft\Hamster Lite Archiver\HamsterArc.exe -loader File not found
O4 - HKU\S-1-5-21-3593483874-728133789-3019071530-1000..\Run: [b0da6267226c171e64e775cfa130a1d416670b0cf956e52b] iexplore.exe File not found
[2012.10.07 16:50:20 | 000,000,000 | ---D | M] -- C:\Users\111\AppData\Roaming\Rublik
[2012.03.08 17:00:04 | 000,000,000 | ---D | M] -- C:\Users\111\AppData\Roaming\TicnoTemp
[2013.01.31 16:51:34 | 000,000,000 | ---D | M] -- C:\Users\Алена\AppData\Roaming\Zona
[2013.06.08 20:17:46 | 000,000,000 | ---D | M] -- C:\Users\Анатолий\AppData\Roaming\BabSolution
[2013.06.08 20:17:20 | 000,000,000 | ---D | M] -- C:\Users\Анатолий\AppData\Roaming\Babylon
[2013.11.20 15:30:44 | 000,000,000 | ---D | M] -- C:\Users\Анатолий\AppData\Roaming\0C1I1L1R1J0M1P0I1G
@Alternate Data Stream - 151 bytes -> C:\ProgramData\TEMP:41ADDB8A
@Alternate Data Stream - 136 bytes -> C:\ProgramData\TEMP:A064CECC


:Files

msiexec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022F0} /quiet /qn /norestart /c
msiexec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216035FF} /quiet /qn /norestart /c

:Commands
[EMPTYTEMP]
[purity]
[Reboot]

Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

**Gorgul'ja** · 15.08.2014, 14:09

Отправляю следующие вложения

**Vvvyg** · 15.08.2014, 19:58

Запустите OTL.EXE и нажмите Cleanup.

Запустите повторно AdwCleaner (by Xplode) (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора)), нажмите кнопку Сканировать, по окончании сканирования уберите галочки на вкладке Папки и со всех пунктов, где упоминаются Mail.Ru если используете программы от этого портала и MediaGet2/Media Get LLC - если пользуете этот торрент-качальщик.

Затем нажмите Очистить и по окончании удаления перезагрузите систему по требованию программы.

Сообщите, что с проблемой.

**Gorgul'ja** · 16.08.2014, 22:11

Реклама продолжает лезть. Преимущественно порнографического характера. Открываются новые страницы игровых порталов. Я, конечно могу поставить на браузеры "Adblock Plus": "chrome-extension://cfhdojbkjhnklbpkdaibdccddilifddb/options.html" - но это не решает проблемы. Очень хочется избавиться от диверсантов.

- - - Добавлено - - -

Да, и подскажите, как восстановить администратора. Неужели придется переустанавливать систему?

**Vvvyg** · 16.08.2014, 22:22

Если есть учётная запись с правами администратора - не нужно.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

**Gorgul'ja** · 17.08.2014, 14:07

Прикрепил "образ админитсратора". Что делать дальше?

**Vvvyg** · 17.08.2014, 21:32

Выполните скрипт в uVS:

Код:

;uVS v3.83 BETA 16 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

exec MsiExec.exe /I{12644DC5-2271-442B-816F-8CFFD3DDDF32} /qn /quiet
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022F0} /qn /quiet
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216035FF} /qn /quiet
exec MsiExec.exe /I{D492942E-9368-48D9-BB8B-68E8E4CE2D43} /qn /quiet
exec MsiExec.exe /I{BD06D01B-EB89-4B53-8814-ADFE562D0434} /qn /quiet
exec MsiExec.exe /I{65C64E3D-539F-4B81-993B-364C6169F8F5} /qn /quiet
regt 29
deltmp
delnfr
restart

Компьютер перезагрузится.

Уведомление

Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Обновите Java 7 до Java 7 Update 67. Уязвимости Java являются частой причиной взлома и заражения системы и поэтому это потенциальная дыра в безопасности.

Очистите кэш и cookies-файлы браузеров.
Очистите кэш Java.

**Gorgul'ja** · 20.08.2014, 16:11

Всё вычистил, всё вроде бы нормально.

**regist** · 20.08.2014, 17:14

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

**CyberHelper** · 20.08.2014, 17:24

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 9
В ходе лечения обнаружены вредоносные программы:
1. c:\programdata\disk analysis\diskanalysis.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
2. c:\programdata\firewall integrity checker\firewallintegritychecker.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
3. c:\programdata\host32manager\host32manager.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
4. c:\programdata\sysconfig\sysconfig.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
5. c:\users\default\appdata\local\microsoft\super fitch x86\superfitch_x86.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
6. c:\users\default\appdata\local\microsoft\windows\d efault settings protector\dsp.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
7. c:\users\default\appdata\local\microsoft\windows\o fficecompiler\officecompiler.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
8. c:\users\default\appdata\roaming\microsoft\windows \loadmnge32\loadmnge32.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )
9. c:\users\default\appdata\roaming\microsoft\windows \microsoap file manager\microsoapfilemanager.exe - Trojan.MSIL.Agent.fedb ( BitDefender: Trojan.Generic.11380619 )

Непрерывный спам и загрузка ненужных программ на жесткий диск [Trojan.MSIL.Agent.fedb ] (заявка № 164857)

Опции темы

Непрерывный спам и загрузка ненужных программ на жесткий диск [Trojan.MSIL.Agent.fedb ]

Загрузка приложений

Уведомление

Итог лечения

Похожие темы

Жесткий диск

Забивается жесткий диск

жесткий диск

Не открывается жесткий диск

Жесткий диск IBM

Метки для этой темы

Ваши права в разделе