Здравствуйте! Помогите избавится от Keylogger. [Trojan-Spy.Win32.KeyLogger.aiwk ]

[Владимир Гринько]

При запуске системы антивирус НОД32 выдаёт такое красное сообщение:
\Device\HarddiskVolume2\Windows\System32\vdssvr.ex e
модифицированный Win32/KeyLogger.EliteKeylogger.AB приложение удален - изолирован.
Помогите если это возможно. Заранее спасибо!

[Info_bot]

Уважаемый(ая) Владимир Гринько, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Скачайте Malwarebytes' Anti-Malware, установите (во время установки откажитесь от использования Пробной версии), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2013-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве

[Владимир Гринько]

Вот то что вы просили

[mrak74]

http://virusinfo.info/showthread.php?t=120678 - такой лог приложите дополнительно.

[Владимир Гринько]

Вот

[mrak74]

Поищите на диске файл

C:\Windows\System32\vdssvr.exe

запакуйте его в Rar или Zip архив с паролем virus пришлите его по красной ссылке вверху темы Прислать запрошенный карантин

Выполните проверку системного диска, в командной строке (cmd) введите команду chkdsk c: /f /r На предложение ввыполнить проверку при следующем запуске, соглашаемся Y и перезагружаем компьютер.

В настройках своего антивируса, параметр "Защита в режиме реального времени" - Настройка параметров модуля ThreadSense - Настройка - (пункт) Методы - установите галочку на "Потенциально опасное ПО", перед установкой этой галочки добавьте в настройках антивируса, пункт "Исключения по путям", через кнопку "Добавить" файлы: C:\Windows\KMService.exe, папку D:\КОСТЯ\Install\Microsoft и т.п. "ценные" файлы, вернитесь в параметр "Защита в режиме реального времени" - Настройка параметров модуля ThreadSense - Настройка - пункт "Очистка" передвиньте ползунок из среднего положения в крайнее правое в сторону Тщательная очистка.

Ждем карантин запрошенного файла.

[Владимир Гринько]

Через AVZ что-то не находит указанный Вами файл, выдаёт такое:
Ошибка карантина файла, попытка прямого чтения (C:\Windows\System32\vdssvr.exe)
Карантин с использованием прямого чтения - ошибка

- - - - -Добавлено - - - - -

Разобрался, выслал уже. Оказывается НОД помещал этот файл в карантин и поэтому его не находило.

[mrak74]

отключите антивирусную программу
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Windows\System32\vdssvr.exe','');
 DeleteFile('C:\Windows\System32\vdssvr.exe');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Отпишитесь, что с проблемой после выполнения скрипта.

[Владимир Гринько]

Сейчас попробую скрипт. Чекдиск так и не удалось выполнить, выдаёт следующее:

Cannot open volume for direct access.
Autochk cannot run due to an error caused by a recently installed software package.
Use the system restore feature from the control panel to restore the system to a point prior to the recent software package installation.
An unspecified error occurred (766f6c756d652e63 3f1)

- - - - -Добавлено - - - - -

Выполнил скрипт. После перезагрузки НОД выдал сообщение:

28.03.2015 10:36:24 Защита в режиме реального времени файл C:\Windows\System32\vdssvr.exe модифицированный Win32/KeyLogger.EliteKeylogger.AB приложение удален - изолирован NT AUTHORITY\система Событие произошло в новом файле, созданном следующим приложением: C:\Windows\System32\wininit.exe.

[mrak74]

Cannot open volume for direct access.
Autochk cannot run due to an error caused by a recently installed software package.
Use the system restore feature from the control panel to restore the system to a point prior to the recent software package installation.
An unspecified error occurred (766f6c756d652e63 3f1)

Система предлагает выбрать ближайшую контрольную точку восстановления, т.к. имеются нарушения в работе системы, поэтому у Вас путь до

\Device\HarddiskVolume2\Windows\System32\vdssvr.ex e

определялся изначально не верно. Должен быть C:\Windows\System32\vdssvr.exe. Откатите систему на последнюю удачную контрольную точку восстановления. После этого, выполните в Безопасном режиме скрипт из моего последнего поста. Отпишитесь после всех этих процедур, что с проблемой.

[Владимир Гринько]

Всё выполнил. Антивирус выдаёт:
28.03.2015 11:44:17 Защита в режиме реального времени файл C:\Windows\System32\vdssvr.exe модифицированный Win32/KeyLogger.EliteKeylogger.AB приложение удален - изолирован NT AUTHORITY\система Событие произошло в новом файле, созданном следующим приложением: C:\Windows\System32\wininit.exe.

- - - - -Добавлено - - - - -

Всё выполнил. Антивирус выдаёт:
28.03.2015 11:44:17 Защита в режиме реального времени файл C:\Windows\System32\vdssvr.exe модифицированный Win32/KeyLogger.EliteKeylogger.AB приложение удален - изолирован NT AUTHORITY\система Событие произошло в новом файле, созданном следующим приложением: C:\Windows\System32\wininit.exe.

[mrak74]

Сделайте полный образ автозапуска uVS

[Владимир Гринько]

Вот

[mrak74]

Выполните скрипт в uVS Как выполнить скрипт в uVS

;uVS v3.85 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
zoo %Sys32%\BATCOM.DAT.DLL
zoo %Sys32%\WWACACHE.DLL
deltmp
restart

Не забудьте выполнить 6-й пункт.

6. Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)

Что в данный момент с вирусом, антивирус его продолжает обнаруживать ?

[Владимир Гринько]

до выполнения вышеуказанного скрипта, при загрузке, уже антивирус не обнаруживал вирус. хотя файл vdssvr.exe так и находится здесь C:\Windows\System32\

[mrak74]

Пришлите vdssvr.exe еще раз, запаковав его в архив с паролем virus по ссылке вверху темы Прислать запрошенный карантин.

[Владимир Гринько]

В общем папка ZOO через Zip никак не хотела архивироваться, Через ВинРар получилось, но загрузить не удалось. Заархивировал папку ZOO через AVZ, не знаю правильно ли получилось.

[mrak74]

C:\Windows\System32\vdssvr.exe - этот файл я просил прислать в последний раз.

В общем папка ZOO через Zip никак не хотела архивироваться, Через ВинРар получилось, но загрузить не удалось

Какую ошибку выдает при загрузке ?

[Владимир Гринько]

Сбрасывает соединение. и при загрузке карантина с vdssvr.exe тоже сбрасывает. И еще при создании карантина антивирус выдал такое:

28.03.2015 21:45:15 Защита в режиме реального времени файл C:\Users\Admin\Desktop\avz4\avz4\Quarantine\2015-03-28\avz00001.dta модифицированный Win32/KeyLogger.EliteKeylogger.AB приложение удален - изолирован Admin-PC\Admin Событие произошло в новом файле, созданном следующим приложением: C:\Users\Admin\Desktop\avz4\avz4\avz.exe.