На флешке скрывает все файлы и создает их ярлыки [Trojan.Win32.Agent.iexm ]

[Алексей Саблин]

На флешке скрывает все файлы и создает их ярлыки. Чистил разными утилитами, но он опять появился, вся надежда на Вас.

[Info_bot]

Уважаемый(ая) Алексей Саблин, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\Windows\System32\d3dadapter.dll', '');
 DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys', '32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys', '32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys', '32');
 DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys', '32');
 DeleteFile('C:\Windows\system32\Drivers\KAVBootC.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\KNBDrv.sys', '32');
 DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksnetm\kisnetm.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\kisknl.sys', '32');
 DeleteFile('C:\Windows\System32\d3dadapter.dll', '32');
 DeleteService('KNBDrv');
 DeleteService('kisnetm');
 DeleteService('kisknl');
 DeleteService('KDHacker');
 DeleteService('bd0002');
 DeleteService('bd0001');
 DeleteService('BDEnhanceBoost');
 DeleteService('kxescore');
 DeleteService('knbcenter');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 DelCLSID('{11292110-6F8D-4D56-863C-44902A1E7880}');
 DelCLSID('{754DF2CE-51E8-4895-B53C-6381418B84AE}');
 DelCLSID('{D21D88E8-4123-48BA-B0B1-3FDBE4AE5FA4}');
 DelCLSID('{CBDECEF7-7A29-4cbf-A009-2673D82C7BF9}');
 DelCLSID('{63332668-8CE1-445D-A5EE-25929176714E}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ QQPCTray', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BaiduAnTray', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kxesc', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{D21D88E8-4123-48BA-B0B1-3FDBE4AE5FA4}');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys');
 BC_DeleteFile('C:\Windows\system32\Drivers\KAVBootC.sys');
 BC_DeleteSvc('KAVBootC');
 BC_DeleteSvc('BdSandBox');
 BC_DeleteSvc('BDMNetMon');
 BC_DeleteSvc('BDEnhanceBoost');
 BC_DeleteSvc('kisknl');
 BC_DeleteSvc('KNBDrv');
 ExecuteRepair(3);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Алексей Саблин]

Полный образ автозапуска uVS

[Vvvyg]

Выполните скрипт в uVS:

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
cexec tools\CreateRestorePoint.exe BeforeCure
zoo %Sys32%\IHCTRL32.DLL
zoo %Sys32%\THEMCTRL.DLL
zoo %Sys32%\WBIOSRVP.DLL
zoo %Sys32%\WSAUDIO.DLL
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CKCMDPMHIEKIIHMFJFFDEHHBHGLLPAPG\12.21_0\ULTIMATE DISCOUNTER
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\KCKNBENJNKKJKNPHMNIDANJIFBGPHJKE\4.18_0\THE SAFE SURFING
zoo %Sys32%\BIOSYSRT.DLL
uidel "C:\Users\User\AppData\Local\Amigo\Application\32.0.1709.113\Installer\setup.exe" --uninstall
sreg
delref %SystemDrive%\PROGRAM FILES\BAIDU\BAIDUSD\3.0.0.4605\EXPLUGIN\NPBAIDUSDDETECTPLUG.DLL
del %SystemDrive%\PROGRAM FILES\BAIDU\BAIDUSD\3.0.0.4605\EXPLUGIN\NPBAIDUSDDETECTPLUG.DLL
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\KOMETA
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\AMIGO
deldir %SystemDrive%\PROGRAM FILES\TENCENT
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\109\BDCOMPROXY.DLL
del %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\109\BDCOMPROXY.DLL
delref %Sys32%\DRIVERS\BD0004.SYS
del %Sys32%\DRIVERS\BD0004.SYS
delref %Sys32%\DRIVERS\BDFILEDEFEND.SYS
del %Sys32%\DRIVERS\BDFILEDEFEND.SYS
del %Sys32%\DRIVERS\KSAPI.SYS
delref %Sys32%\DRIVERS\KSAPI.SYS
delref %SystemDrive%\PROGRAM FILES\KINGSOFT\KINGSOFT ANTIVIRUS\KWANSVC.DLL
delref %SystemDrive%\PROGRAM FILES\KINGSOFT\KINGSOFT ANTIVIRUS\NPKWS.DLL
delref %Sys32%\DRIVERS\BD0001.SYS
delref %Sys32%\DRIVERS\BD0002.SYS
delref %Sys32%\DRIVERS\BDMWRENCH.SYS
delref %Sys32%\DRIVERS\MBAMSWISSARMY.SYS
delref %Sys32%\DRIVERS\RDVGKMD.SYS
delref %SystemDrive%\PROGRA~1\AUSLOG~1\BOOSTS~1\DISKDO~1.DLL
delref %SystemDrive%\PROGRAM FILES\KINGSOFT\KINGSOFT ANTIVIRUS\KOMSADD.DLL
delref %SystemDrive%\PROGRAM FILES\KINGSOFT\KINGSOFT ANTIVIRUS\KWEATHERBAND.DLL
delref %SystemDrive%\PROGRA~1\AUSLOG~1\BOOSTS~1\TASKMA~1.DLL
delref %SystemDrive%\PROGRAM FILES\AUSLOGICS\BOOSTSPEED\RESCUECENTER.EXE
delref %SystemDrive%\PROGRAM FILES\AUSLOGICS\BOOSTSPEED\BOOSTSPEED.EXE
delref %SystemDrive%\PROGRAM FILES\AUSLOGICS\BOOSTSPEED\BOOSTSPEED.EXE
deltmp
czoo
areg

Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Сообщите. что с проблемой.

[Алексей Саблин]

На флешки больше не лезет ничего. Большое спасибо за помощь!

[Vvvyg]

Дочистим остатки.

Выполните скрипт в uVS:

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
; C:\WINDOWS\SYSTEM32\IHCTRL32.DLL
addsgn 79132211B9E9317E0AA1AB5997A11205DAFFF47DC4EA942D892B2942AF292811E11BC3EFAE749E59E82124E445061F9069816DB220DD082C2F77A4C4C13DE40E 14 TrojanDownloader.Stantinko.Related1

; C:\WINDOWS\SYSTEM32\BIOSYSRT.DLL
addsgn 79132211B9E9317E0AA1AB5916F01205DAFFF47DC4EA942D892B2942AF292811E11BC36C338D7F483BF5866C85FFA2C27DDF638D00515CA7ECFCE9270006D202 14 TrojanDownloader.Stantinko.Related

; C:\WINDOWS\SYSTEM32\THEMCTRL.DLL
addsgn 79132211B9E9317E0AA1AB59C9A01205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5C37EAA9F469D04F2F497FC2F963241022D772FE74C47361A 14 TrojanDownloader.Stantinko.related2

; C:\WINDOWS\SYSTEM32\WBIOSRVP.DLL
addsgn 79132211B9E9317E0AA1AB59B4B21205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5AA6CAC9C4616EA3A3EDBF8FB5866F3283DFEB197840232FA 14 TrojanDownloader.Stantinko.related3

; C:\WINDOWS\SYSTEM32\WSAUDIO.DLL
addsgn 79132211B9E9317E0AA1AB591A961205DAFFF47DC4EA942D892B2942AF292811E11BC3DCC10016A5A8FD8C9F323BB68F75B5E88D60628E2B3D88B15F070532F6 14 TrojanDownloader.Stantinko.related4

chklst
delvir

restart

Новый лог выполнения скрипта прикрепите к сообщению.

Сделайте лог сканирования МВАМ.

[Алексей Саблин]

Лог mbam

[Vvvyg]

Удалите в MBAM:

PUP.Optional.Amigo, C:\AdwCleaner\Quarantine\C\Users\User\AppData\Local\Amigo\Application\32.0.1709.113\chrome.exe.vir, , [a3402f0c7821cc6aa4c8ac1db14f58a8], 
Trojan.Agent.BHO, C:\Users\User\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper_64.dll, , [2cb7b28903966acc1a90b98d1de4619f],

Загрузите SecurityCheck by glax24 отсюда и сохраните на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[Алексей Саблин]

security check

[Vvvyg]

Контроль учётных записей пользователя отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

Несмотря на многочисленные "полезные советы", UAC полезная вещь, нужно только реагировать адекватно на вопросы "Разрешить внесение изменений на данном компьютере следующей программе неизвестного издателя?". Многие вирусы при таких условиях не установятся в систему и не запустятся без уведомления.

Загружать автоматически обновления и устанавливать по заданному расписанию
Дата установки обновлений: 2014-11-11 19:00:02
Центр обновления Windows (wuauserv) - Служба остановлена

"Правильная" пиратка, без патченных модулей ядра, обновляется без проблем.

Брандмауэр Windows (MpsSvc) - Служба остановлена

Должен быть включён и настроен.

Microsoft Silverlight v.5.1.30514.0 Внимание! Скачать обновления

Обновите или удалите, в Silverlight весьма серьёзная уязвимость.

Adobe Flash Player 20 NPAPI v.20.0.0.267 Внимание! Скачать обновления
Adobe Flash Player 20 PPAPI v.20.0.0.267 Внимание! Скачать обновления
Adobe Shockwave Player + Authorware Web Player v.v12.0.7.148 Внимание! Скачать обновления

Mozilla Firefox 43.0.1 (x86 ru) v.43.0.1 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Firefox!^

Продукты Adobe и браузеры обязательно держать актуальных версий.

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\d3dadapter.dll - Trojan.Win32.Agent.iexm ( AVAST4: Win32:Trojan-gen )