Вирус переименовывает exe файлы на диске D:, добавляет в начало zw а сам подменяет оригинальный файл. Также создает ярлыки %windir%\system32\RunDll32.exe shell32.dll,ShellExec_RunDLL ".\*.exe". Еще создает на этом же диске папки типа антивирус.scr, не трогать!!!.scr и т.п. и файлы *.scr с именами папок. Avast находит и удаляет только следы деятельности exe файлы и папки. Что делать?
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Сделайте лог Гмер
Присылаю log.
Что-то не вышло...
- Сохраните текст ниже как 1.bat в ту же папку, где находится zw5wz4g3rj.exe(GMER) и запустите этот батник(1.bat):
Компьютер перезагрузится.Код:zw5wz4g3rj.exe -del service bnckoxg zw5wz4g3rj.exe -del service kvwuqx zw5wz4g3rj.exe -del service ogftunnlb zw5wz4g3rj.exe -del service qkfzfxhjr zw5wz4g3rj.exe -del file "C:\WINDOWS\system32\xbcek.dll" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\bnckoxg" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kvwuqx" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ogftunnlb" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\qkfzfxhjr" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\bnckoxg" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kvwuqx" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ogftunnlb" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\qkfzfxhjr" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\bnckoxg" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\qkfzfxhjr" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\ogftunnlb" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\qkfzfxhjr" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\ogftunnlb" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\qkfzfxhjr" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\ogftunnlb" zw5wz4g3rj.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\qkfzfxhjr" zw5wz4g3rj.exe -reboot
После перезагрузки:
- Сделайте повторные логи АВЗ
- Сделайте новый лог Gmer
GMER несколько раз подвисал.
Сделайте лог полного сканирования МВАМ
Log MBAM
Удалите в МВАМ -
- Повторите лог МВАМКод:Зараженные ключи в реестре: HKEY_CLASSES_ROOT\AppID\AutocompletePro.DLL (Adware.PredictAd) -> No action taken. HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RkHit (Rogue.SpywareCease) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0fb6a909-6086-458f-bd92-1f8ee10042a0} (Adware.PredictAd) -> No action taken. HKEY_CLASSES_ROOT\CLSID\{0fb6a909-6086-458f-bd92-1f8ee10042a0} (Adware.PredictAd) -> No action taken. Зараженные параметры в реестре: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers\c:\windows\cfdrive32.exe (Backdoor.Bot) -> No action taken. Зараженные папки: C:\Program Files\AutocompletePro (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\chrome (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected] (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome\content (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\defaults (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\defaults\preferences (Adware.PredictAd) -> No action taken. Зараженные файлы: C:\Program Files\AutocompletePro\FireFoxExtension.exe (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\InstTracker.exe (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\unins000.dat (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\unins000.exe (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\chrome\autocompleteprochrome.crx (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome.manifest (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\install.rdf (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome\content\browserOverlay.xul (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome\content\options.js (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome\content\options.xul (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\chrome\content\utils.js (Adware.PredictAd) -> No action taken. C:\Program Files\AutocompletePro\[email protected]\defaults\preferences\predictad.js (Adware.PredictAd) -> No action taken.
Лог MBAM
Удалите в МВАМ -- Больше плохого нет, что с проблемой?Код:Зараженные файлы: C:\WINDOWS\system32\inetsrv\iissync.exe (Virus.Expiro) -> No action taken.
К сожалению не помогло. Так и плодятся zw*.exe
Сделайте лог ComboFix
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Лог ComboFix.
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.Код:KillAll:: File:: Driver:: qkfzfxhjr kvwuqx bnckoxg ogftunnlb NetSvc:: qkfzfxhjr kvwuqx bnckoxg ogftunnlb FCopy:: c:\windows\ServicePackFiles\i386\regsvc.dll|c:\windows\System32\regsvc.dll Folder:: Registry:: [HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List] "6329:TCP"=- FileLook:: DirLook::
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
ЛОГ
Что с проблемой?
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Вроде все в порядке! Спасибо!!!
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Все началось по-новой!!! Как защититься и как удалить?
Уважаемый(ая) pyrotechnik73, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
