RECYCLER, runauto.. и другие флешковые вирусы

[Richard_Bullet]

Добрый день, уважаемые администраторы и хелперы! Суть моего обращения к Вам заключается в том, что в июне 2009 года я обнаружил на своем mp3-плеере странную папку RECYCLER, которая не отображалась в обычном режиме на нем. Далее пошли проблемы с kaspersky.ru - он просто перестал открываться. Понял, что дело-дрянь, причем редкостная, помчался гуглить и там нашел решение, установив Аваст, который, в свою очередь обновил и поставил скан до загрузки- поудалял он мне изрядное количество мусора, Касперский вновь заработал, но вот папки RECYCLER даже после их удаления с дисков с помощью Total Commander, регенерировались снова. Разумеется, к тому, что место на диске улетало "в трубу", добавились еще 2 проблемы- постоянные разрывы с инетом и неиграбельные лаги на самых малотребовательных игрушках, что очень сильно осложняло все. Далее, вышел на Вас случайно- искал способ удалить ключ реестра, что находился в этой папке и вышел на этот сайт, после прочел правила и решил провериться, если можно, конечно. Сканировал систему в безопасном режиме CureIT, логи AVZ и HiJackThis прилагаются.
Буду признателен за помощь.

[Rene-gad]

обнаружил на своем mp3-плеере странную папку RECYCLER

Здравствуйте,

Папка RECYCLER создаётся только на дисках. Её появление на FlashMemoryDrive - верный признак заразы. Сохраните музыкальные файлы с плеера под Линуксом где-нибудь на диске и отформатируйте плеер под Линуксом.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.


-Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteService('qynai');
RegKeyResetSecurity('HKLM','SYSTEM\CurrentControlSet\Services\qynai');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.

Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.

После перезагрузки:

- Сделайте лог GMER.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[Richard_Bullet]

Даю отчет по проделанной работе:

Сохраните музыкальные файлы с плеера под Линуксом где-нибудь на диске и отформатируйте плеер под Линуксом.

Честно говоря, у меня Линукса нет и никогда не было- никогда с ним не работал. Музыкальные файлы у меня на компе итак есть, но вот плеер пока не отформатирован- надо найти Линукс, чтобы сделать это.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

Сделано.
Скрипт выполнен, устройство действительно появлялось после перезагрузки- удалил. Все логи сделал заново- приложил. Спасибо за помощь.

[Rene-gad]

Честно говоря, у меня Линукса нет и никогда не было- никогда

Для начала скачайте отсюда образ: http://www.puppylinux.com/ и сделайте LiveCD.
Проверьте в BIOS последовательность носителей для поиска загрузочной записи (Boot Sequence).
Рекомендуемая:
- дискета (если есть флоппи-драйв)
- USB (если предусмотрено в BIOS)
- CD-ROM
- жёсткий диск.
Положите LiveCD в CD-ROM и перегрузите систему.
На запрос Для загрузки с CD-ROM нажмите... надавите пробел - после загрузки получите Linux.
После выгрузки и удаления LiveCD из CD-ROM ПК будет грузиться в обычном режиме.

- Выполните код в GMER.

yhy6lnm6.exe -del service zwyehvqn
yhy6lnm6.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\qynai"
yhy6lnm6.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\qynai"
yhy6lnm6.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\qynai"
yhy6lnm6.exe -del file "C:\WINDOWS\system32\rgxibcs.dll"
yhy6lnm6.exe -reboot

После перезагрузки:

- Повторите лог GMER.

[Richard_Bullet]

Повторяю логи.
Линукс пока качается.

[thyrex]

В логе чисто. Что с проблемой?

[Richard_Bullet]

Проблема, скорее всего, исчезла. Пока плеер под Линуксом не форматну- не буду его засовывать, да и вообще все флешки отформатирую. Далее, выражаю Вам благодарность в борьбе с проблемой, без Вас бы я точно не справился, однако тему попрошу пока оставить/заморозить - вдруг зараза еще осталась...