Virus.Win32.Neshta.a

[Straighthate]

Здравствуйте!на машине хозяйничает вирус Virus.Win32.Neshta.a, модифицирующий все запускаемые exe-файлы. Kaspersky Virus Removal Tool'ом в обычном режиме и Dr. Web CureIt!'ом в безопасном были сделаны полные сканирования, вылечены или удалены все найденные зловреды, но проблема остается. Восстановление системы было отключено, кэш браузера очищен. Виндоус установлена в каталог Windows.0

прикладываю логи.

[gjf]

А почему логи делались полиморфным AVZ, а не обычным?

[Straighthate]

обычный авз с экзешником заражается то ли при подключении флэшки, то ли при запуске утилиты, менять расширение у него я не решился. Если он нормально будет функционировать с измененным расширением, то могу переделать логи.
для корректного запуска и для избежания заражения менял расширение у Hijackthis, если что.
P.S. на зараженном ПК ещё характерная картина - нельзя включить отображение скрытых файлов и папок.

[gjf]

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрвол.
- Выполните скрипт AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS.0\svchost.com','');
 DeleteFile('C:\WINDOWS.0\svchost.com');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(1); {восстановление параметров запуска исполняемых файлов}
 BC_Activate;
 RebootWindows(true);
end.

Система перезагрузится.
После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Скачайте обычный AVZ и обновите его базы.
Выполните скрипт AVZ:

begin
 SetAVZPMStatus(true);
RebootWindows(false);
end.

Система перезагрузится.
Сделайте повторный лог только согласно пункта 2 Правил (Диагностика)
virusinfo_syscheck.zip
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно Правил (Приложение 3).
- Прикрепите новые логи к новому сообщению в этой ветке.

[Straighthate]

лог прикладываю, карантин пуст

в таскменеджере висят не совсем понятные приложения -
wscntfy.exe
wpabaln.exe
HPZipm12.exe

[gjf]

В логах ничего вредоносного не видно.
Эти процессы нормальные и необходимы для работы системы.
Обычные exe-файлы запускаться начали?

[Straighthate]

пока да, вроде. сейчас ещё погоняю, посмотрю.
спасибо за оперативную помощь

[gjf]

Миссия выполнена
Вы можете отблагодарить хелперов, которые Вам помогли, нажав им на кнопку "Спасибо", а также и весь проект VirusInfo вот тут.
Рекомендуется изменить все используемые пароли, поскольку теоретически зловред мог их отправить злоумышленникам. Также, рекомендуется провести полную проверку системы антивирусом.
В обязательном порядке установите Сервис Пак 3 - возможно потребуется активация. Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
Установите все последние обновления системы Windows и используемых программ. И вообще, постарайтесь выполнить все советы, указанные здесь - это максимально отдалит время нашей следующей с Вами встречи

[Straighthate]

к сожалению, миссия выполнена не до конца оставлял на ночь флэшку в компьютере, экзешники снова заразились Neshta.a(флэшку проверяю на другом компьютере с лицензионным Касперским).
На зараженном компьютере также не включается отображение скрытых файлов.
сейчас выложу свежие логи

Добавлено через 10 минут

выполнил скрипт лечения и карантина обычным AVZ, после выполнения скрипта и перезагрузки исполняемый exe-файл AVZ оказался тоже заражен
сейчас вылечу и сделаю второй лог...

выкладываю логи

[gjf]

Понятно. Видимо, где-то был заражённый файл, он и распространил заразу.
Для начала надо пролечиться, как описано здесь. Потом - выполните скрипт:

begin
 DeleteFile('C:\WINDOWS.0\svchost.com');
 ExecuteRepair(1); {восстановление параметров запуска исполняемых файлов}
end.

Потом - сделайте повторный лог только согласно пункта 2 Правил (Диагностика)
virusinfo_syscheck.zip

УЧТИТЕ: Neshta может заразить какие-то исполняемые файлы на Ваших флешках, потому их обязательно следует пролечить перед использованием в компьютере.

[Straighthate]

просканировал разделы жесткого диска LiveCD ДрВеба, вылечил все найденное.
Neshta.a судя по всему уже не беспокоит(с оставленной флешкой после перезагрузки эксцессов не было), но ссылка на svchost.com в shell'e судя по всему висит -_- и слетели ассоциации с exe файлами - предлагают теперь выбрать приложение для открытия.
лог прилагаю.

[gjf]

Потом - выполните скрипт:

begin
 DeleteFile('C:\WINDOWS.0\svchost.com');
 ExecuteRepair(1); {восстановление параметров запуска исполняемых файлов}
end.

Это делали?

[Straighthate]

делал, AVZ написал, что для удаления этого файла потребуется перезагрузка - перезагрузился. вроде после этого слетели ассоциации с расширением .exe. логи делал после выполнения скрипта.

[gjf]

Эта ерунда происходит в том случае, если Вы запускаете заражённый файл. Тогда все восстановления, которые делались AVZ, насмарку.

просканировал разделы жесткого диска LiveCD ДрВеба, вылечил все найденное.

А флешку тоже сканировали?

[Straighthate]

с флэшки предварительно были удалены все .exe файлы, либо переименованы в .com или в .pif лишний риск незачем )

[gjf]

Нет, дело не в этом. Если заражённый exe-файл потом был переименован, но запускается - он всё равно будет заражать систему. Так что переименованные файлы тоже нужно проверить.

[Straighthate]

запустил снова лайв СД Dr. Web - все чисто. -_- может, просто ссылка на svchost.com в реестре осталась, а сам он почил в бозе?
флешку проверяю каждый раз при подключении к другому ПК лицензионным Касперским для рабочих станций.

[gjf]

Тогда опять выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS.0\svchost.com','');
 DeleteFile('C:\WINDOWS.0\svchost.com');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(1); {восстановление параметров запуска исполняемых файлов}
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки проверьте - проблема осталась?

[Straighthate]

все, проблема решилась-таки наконец-то. спасибо!

[gjf]

Рад за Вас - вирус не абы какой вредный, но довольно приставучий оказался
Миссия выполнена
Вы можете отблагодарить хелперов, которые Вам помогли, нажав им на кнопку "Спасибо", а также и весь проект VirusInfo вот тут.
Установите все последние обновления системы Windows и используемых программ. И вообще, постарайтесь выполнить все советы, указанные здесь - это максимально отдалит время нашей следующей с Вами встречи