Заражаются флэшки

[cjkbcn]

Доброго вам здравия!!!
Помогите пожалуйста, у меня такая ситуация, проверю флэшку на вирусы на работе - чистая, а принесу из дома...снова на ней вирусы появляются. Похоже заболел у меня компьютер домашний. Посмотрите пожалуйста в чем дело?

[DefesT]

Доброго времени суток
Пофиксите в Hijackthis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\2c545b26.exe,

Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\tnqQIc.EXE','');
 QuarantineFile('E:\tnqQiC.EXe','');
 QuarantineFile('E:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\2c545b26.exe','');
 QuarantineFile('C:\WINDOWS\system32\01.tmp','');
 QuarantineFile('c:\windows\system32\csrcs.exe','');
 TerminateProcessByName('c:\windows\system32\csrcs.exe');
 DeleteService('fchfql');
 DeleteFile('c:\windows\system32\csrcs.exe');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
 DeleteFile('C:\WINDOWS\system32\2c545b26.exe');
 DeleteFile('E:\autorun.inf');
 DeleteFile('E:\tnqQiC.EXe');
 DeleteFile('E:\tnqQIc.EXE');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам (virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log)

[cjkbcn]

Все сделал как вы сказали. Карантин отправил. Логи повторяю. Кстати, флэшку проверяю, там вирусняки нет сейчас.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\user\Local Settings\Temporary Internet Files\Content.IE5\I94NSEMS\10009[1].exe','');
DeleteFile('C:\Documents and Settings\user\Local Settings\Temporary Internet Files\Content.IE5\I94NSEMS\10009[1].exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи + лог gmer

[cjkbcn]

Видимо совсем я комп запустил. Уж извините)
Все сделал, вот новые логи.
Сейчас еще и карантин вышлю.

[DefesT]

Пофиксите в Hijackthis:

R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe (gmer)

gmer.exe -del service msqogi
gmer.exe -del file "C:\WINDOWS\system32\fkflwnjf.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\msqogi"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\msqogi"
gmer.exe -reboot

И запустите cleanup.bat.
Компьютер перезагрузится!
Сделать новый лог gmer.

[cjkbcn]

Я все сделал, правда когда запустил бат файл, мне пару окошек повыскакивало, что не может найти какие-то файлы. Но на перезагрузку пошел. Вот новые логи.

[thyrex]

При создании последнего лога gmer на кнопку Scan явно забыли нажать. Переделать

[cjkbcn]

Ок. Переделаю.

[cjkbcn]

Переделал.

[thyrex]

Лог чист. Проблема решена?

[cjkbcn]

Да, спасибо. Сейчас по крайне мере флешки из этого компа чистыми выходят. Примного благодарен.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 32
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\csrcs.exe - Worm.Win32.AutoIt.tc ( DrWEB: archive: Win32.HLLW.Autoruner.based, BitDefender: Gen:Trojan.Heur.AutoIT.Pq3@byN3TgiO )
  2. c:\windows\system32\2c545b26.exe - Backdoor.Win32.Bredolab.dek
  3. e:\tnqqic.exe - Worm.Win32.AutoIt.tc ( DrWEB: archive: Win32.HLLW.Autoruner.based, BitDefender: Gen:Trojan.Heur.AutoIT.Pq3@byN3TgiO )