Trojan:VBS/Movanide.A [Worm.VBS.Agent.gn, Worm.VBS.Agent.gl, Worm.VBS.Agent.gm]

[Jammmer]

Подхватил троян на флешку. 1 ПК заражён, другой чист, флешку я уже очистил тоже. Задача скинуть файлы для работы с заражённого ПК на чистый, не подхватив заразу на флешку(если я правильно понял, флешка будет заражена при подключении к заражённому ПК).
На заражённом ПК есть AVZ и пока что отсутствует подключение к интернету.

Первое фото это реакция чистого ПК на заразную флешку, второй это сам троян на заражённом ПК. Флешку очистил полным форматированием c помощью diskpart.


upd логи

[Info_bot]

Уважаемый(ая) Jammmer, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Пользователь\AppData\Roaming\WindowsServices\helper.vbs', '');
 QuarantineFileF('c:\users\пользователь\appdata\roaming\windowsservices', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
 DeleteFile('C:\Users\Пользователь\AppData\Roaming\WindowsServices\helper.vbs', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{4705B46D-2AD0-4F8A-90DB-F638A47D5381}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{9387CF3E-D718-4A83-A89C-61C96C14C290}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{B23CCF38-8CEC-46BD-A8E9-8EA3C9453665}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{B348ECE9-136E-4B9C-84CB-63AB6DDAE4D7}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{E8267DB3-D3F0-4711-B029-365A95943C19}" /F', 0, 15000, true);
 DeleteFileMask('c:\users\пользователь\appdata\roaming\windowsservices', '*', true);
 DeleteDirectory('c:\users\пользователь\appdata\roaming\windowsservices');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

[Jammmer]

upd

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} [URL] = http://webalta.ru/search?q={searchTerms}&from=IE - webalta Search
O4 - MSConfig\startupreg: Adobe Creative Cloud [command] = C:\Program Files\Adobe\Adobe Creative Cloud\ACC\Creative Cloud.exe --showwindow=false --onOSstartup=true (file missing) (HKLM) (2015/07/11)
O4 - MSConfig\startupreg: AdobeAAMUpdater-1.0 [command] = C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe  (file missing) (HKLM) (2015/07/11)
O4 - MSConfig\startupreg: Bonus.SSR.FR10 [command] = C:\Program Files\ABBYY FineReader 10\Bonus.ScreenshotReader.exe /autorun (file missing) (HKLM) (2012/12/12)
O4 - MSConfig\startupreg: KSS [command] = C:\Program Files\Kaspersky Lab\Kaspersky Security Scan\kss.exe autorun (file missing) (HKCU) (2015/02/01)
O4 - MSConfig\startupreg: Praetorian [command] = C:\Users\Пользователь\AppData\Local\Yandex\Updater\praetorian.exe  (file missing) (HKCU) (2013/01/12)
O4 - MSConfig\startupreg: hola [command] = C:\Program Files\Hola\app\hola.exe --silent (file missing) (HKLM) (2015/01/09)
O4 - MSConfig\startupreg: wmagent.exe [command] = C:\Program Files\WebMoney Agent\wmagent.exe  (file missing) (HKLM) (2013/01/12)
O22 - Task: MSIAfterburner - D:\MSI afterburner\MSIAfterburner.exe /s (file missing)
O22 - Task: Opera scheduled Autoupdate 1437601750 - C:\Opera1\launcher.exe --scheduledautoupdate $(Arg0) (file missing)
O22 - Task: {F933BFCF-24FD-4520-B068-917B523D0D6A} - C:\Users\Пользователь\AppData\Roaming\.minecraft\Пиратский лаунчер\x32\Minecraft.exe (file missing)

Сделайте лог Malwarebytes AdwCleaner.

[Jammmer]

upd

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите текущий билд Java 8.

Компьютер от трояна зачищен.

[Jammmer]

Спасибо!

[Vvvyg]

Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\пользователь\appdata\roaming\windowsservi ces\helper.vbs - Worm.VBS.Agent.gl
  2. c:\users\пользователь\appdata\roaming\windowsservi ces\installer.vbs - Worm.VBS.Agent.gm ( AVAST4: VBS:Agent-BQX [Trj] )
  3. c:\users\пользователь\appdata\roaming\windowsservi ces\movemenoreg.vbs - Worm.VBS.Agent.gn ( AVAST4: VBS:Agent-BQV [Trj] )