Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 30.

Вирус создаёт .exe файл с именем родительской папки внутри каждой папки. [Trojan.Win32.Crypt.ddc ] (заявка № 191889)

  1. #1
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9

    Вирус создаёт .exe файл с именем родительской папки внутри каждой папки. [Trojan.Win32.Crypt.ddc ]

    Месяц назад одним из юзеров компьютера был запущен .exe файл на зараженной флешке, что в последствии заразило компьютер. Симптомы - первый, и самый заметный - создавались .exe файлы с именем родительской папки. Эти .exe можно было удалить, но при следующем посещении этой же папки .exe создавался вновь. Второй - ошибка при запуске диспетчера задач - написано запрещен администратором. Ну и третий - восстановление (откат) системы был отключен.
    Моим первым действием было лечение (полное сканирование всех дисков) при помощи DrWeb CureIt!, но это результатов не дало. Далее я загрузился с Kaspersky Rescue Disk, и так же провел полное сканирование всех дисков. После этого не включая зараженную винду, загрузился с Alkid Live CD (лайв на одной из флешек, хранится на черный день вроде этого), и просмотрел несколько папок на несистемных дисках, где до этого были замечены .exe, и не обнаружил их.
    Далее я форматировал системный раздел, установил Windows. В течении месяца всё работало стабильно, .exe файлов с именами папок обнаружено не было.
    Но видимо Kaspersy Rescue Disk пропустил один из них. Сегодня один из юзеров, перебирая свои старые файлы, наткнулся на подобный .exe и запустил его. Зачем - я так и не понял. В итоге - древнее зло пробудилось. Симптомы вернулись, но откат системы был возможен, что я и сделал. Скан AVZ и HijackThis был произведен после отката. На данный момент новые .exe не создаются, на системном диске их не обнаружил, нашел лишь один .exe на одном из логических дисков.
    Прошу объяснить мне, как искоренить эти .exe из памяти компьютера.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,465
    Вес репутации
    343
    Уважаемый(ая) Andrey Yershov, спасибо за обращение на наш форум!

    Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. Это понравилось:


  5. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
    RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
    RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
    RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
    RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
     QuarantineFile('L:\MusaLLaT.exe','');
     QuarantineFile('L:\autorun.inf','');
     DeleteFile('L:\autorun.inf','32');
     DeleteFile('L:\MusaLLaT.exe','32');
     BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(false);
    end.
    Будет выполнена перезагрузка компьютера.

    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  6. Это понравилось:


  7. #4
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Выполнено.
    Вложения Вложения

  8. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  9. Это понравилось:


  10. #6
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Лог создал, но он не прикрепляется, пишет вот что:
    Вложение 596777
    Загрузить лог на гугл драйв?
    И ещё, мне пока что не нажимать "удалить выбранное" в окошке результатов скана?
    Вложение 596778

    - - - - -Добавлено - - - - -

    Цитата Сообщение от thyrex Посмотреть сообщение
    вот, архивировал лог, теперь поместился.

  11. #7
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Я до сих пор нуждаюсь в помощи

  12. #8
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Удалите в МВАМ все найденное
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  13. Это понравилось:


  14. #9
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Сделал полный скан MBAM,на этот раз нажал удалить, но похоже ничего не произошло. Все снова заражено, повсюду .exe. Вот логи.

    - - - - -Добавлено - - - - -

    Сначала появилась идея проделать всё что вы написали выше заново, но похоже тот скрипт для AVZ уже недействителен.

  15. #10
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('L:\autorun.inf','');
     QuarantineFile('L:\MusaLLaT.exe','');
     QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\StartUp.exe','');
     QuarantineFile('C:\Users\Andrey\AppData\Roaming\MusaLLaT.exe','');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MusaLLaT');
     DeleteFile('C:\Users\Andrey\AppData\Roaming\MusaLLaT.exe','32');
     DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\StartUp.exe','32');
     DeleteFile('L:\MusaLLaT.exe','32');
     DeleteFile('L:\autorun.inf','32');
    RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
     BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(false);
    end.
    Будет выполнена перезагрузка компьютера.

    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  16. Это понравилось:


  17. #11
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Сделано.

  18. #12
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Новый лог МВАМ с подключенной флешкой сделайте
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  19. Это понравилось:


  20. #13
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Нашел заразу лишь в hosts. Но диспетчер задач до сих пор "запрещен администратором".

    - - - - -Добавлено - - - - -

    Вот логи после скана MBAM.

  21. #14
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Выполните скрипт в AVZ
    Код:
    begin
    ExecuteREpair(11); 
    RebootWindows(false);
    end.
    Будет выполнена перезагрузка компьютера.

    Проверьте вызов диспетчера задач
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  22. Это понравилось:


  23. #15
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Выполнил, диспетчер не включается

    - - - - -Добавлено - - - - -

    Обновил логи.

  24. #16
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Выполнил скрипт еще раз, диспетчер включился.
    Этот Mussallat.exe так и должен оставаться в автозагрузке, или лечение закончено?
    Вложение 597474

  25. #17
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Прошло 3 дня, полёт нормальный. Посмотрите пожалуйста по логам - система чистая?

  26. #18
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Выполните скрипт в AVZ
    Код:
    begin
    ExecuteREpair(13); 
    RebootWindows(false);
    end.
    Будет выполнена перезагрузка компьютера.

    Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  27. Это понравилось:


  28. #19
    Junior Member (OID) Репутация
    Регистрация
    27.10.2015
    Сообщений
    28
    Вес репутации
    9
    Выполнил. В автозапуске появилась подозрительная строчка под названием "Start" , без месторасположения.

  29. #20
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,559
    Вес репутации
    3022
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  • Уважаемый(ая) Andrey Yershov, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 5
      Последнее сообщение: 09.11.2014, 22:17
    2. Ответов: 2
      Последнее сообщение: 27.03.2013, 10:38
    3. вирус создаёт папки
      От Чингиз Малюков в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 15.07.2012, 14:51
    4. Ответов: 11
      Последнее сообщение: 13.03.2012, 17:24
    5. Ответов: 14
      Последнее сообщение: 20.10.2009, 00:07

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00069 seconds with 17 queries