При запуске windows открывается папка "Мои документы"

[grishka13]

+ помогите почистить комп, антивирус куреит нашёл 8 троянов при полной проверке.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) -  - (no file)

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);   
 TerminateProcessByName('c:\windows\system32\umdmgr.exe');
 TerminateProcessByName('c:\windows\widrive32.exe');
 QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\kppghnn.exe','');
 QuarantineFile('C:\WINDOWS\hpjwhwr.exe','');
 QuarantineFile('C:\WINDOWS\widrive32.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\jjigrcc.exe','');
 QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
 QuarantineFile('C:\WINDOWS\system32\57.exe','');
 QuarantineFile('C:\WINDOWS\system32\00.exe','');
 DeleteFile('C:\WINDOWS\system32\00.exe');
 DeleteFile('C:\WINDOWS\system32\57.exe');
 DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\jjigrcc.exe');
 DeleteFile('C:\WINDOWS\widrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','318');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','945');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','143');
 DeleteFile('C:\WINDOWS\hpjwhwr.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
 DeleteFile('C:\Documents and Settings\NetworkService\Application Data\kppghnn.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи

[grishka13]

Папка всё ещё открывается....
Карантин отправил.
Вот новые логи =)

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\Documents and Settings\Admin\Application Data\gbhlipu.exe');
 DeleteFile('C:\WINDOWS\kyjtoeo.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
 DeleteFile('C:\RECYCLER\S-1-5-21-7300471196-8802417060-751989780-0107\mcssc.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');                            
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Повторите логи АВЗ + сделайте лог полного сканирования МВАМ

[grishka13]

Спасибо, "Мои документы" не открываются.
Лог почему-то сохранился не в ту директорию =) вот отчёт в формате .txt

В принципе из заражённых файлов я бы удалил все 7, мне из них ни один не нужен =)
Хотя установка неро и ультраИСО может ещё пригодится, но если их желательно удалить, без проблем =) скачать всегда можно ^_^

[Никита Соловьев]

C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\RGO61XCQ\war[1].gif (Extension.Mismatch) -> No action taken.
C:\WINDOWS\innounp.exe (Malware.Packer.Gen) -> No action taken.

Это можно удалить. Больше ничего плохого.

[grishka13]

Спасибо за помощь =)

[olejah]

Рекомендуется

- Установить все важные обновления.
- Установить IE 8 - даже если Вы им не пользуетесь.

Просто ради интереса - "Мои документы" открываются, это ещё ладно, а Вы в курсе, что у Вас целая кипа вирусов была? Это к тому, что будьте осторожны в будущем.

[grishka13]

да, в курсе. Последнее время комп ловит вирусы только так. Я видел как много вирусов Вы удалили и добавили в карантин. Вот ещё "советы после лечения" сделал все надеюсь дополнения в мозиле помогут да и периодически уже задумываюсь, может вообще перейти на линукс
Ещё раз Вам большое спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\application data\\jjigrcc.exe - P2P-Worm.Win32.Palevo.axbq ( DrWEB: Trojan.DownLoader1.28582, BitDefender: Trojan.Generic.KDV.50006, NOD32: Win32/Peerfrag.IN worm, AVAST4: Win32:Trojan-gen )
  2. c:\\documents and settings\\networkservice\\application data\\kppghnn.exe - P2P-Worm.Win32.Palevo.axbq ( DrWEB: Trojan.DownLoader1.28582, BitDefender: Trojan.Generic.KDV.50006, NOD32: Win32/Peerfrag.IN worm, AVAST4: Win32:Trojan-gen )
  3. c:\\windows\\hpjwhwr.exe - P2P-Worm.Win32.Palevo.axbq ( DrWEB: Trojan.DownLoader1.28582, BitDefender: Trojan.Generic.KDV.50006, NOD32: Win32/Peerfrag.IN worm, AVAST4: Win32:Trojan-gen )
  4. c:\\windows\\system32\\umdmgr.exe - Trojan.Win32.Scar.cywj ( DrWEB: Trojan.DownLoader1.28625, BitDefender: Trojan.Generic.5044547, AVAST4: Win32:Agent-AMGN [Trj] )
  5. c:\\windows\\system32\\00.exe - P2P-Worm.Win32.Palevo.axbq ( DrWEB: Trojan.DownLoader1.28582, BitDefender: Trojan.Generic.KDV.50006, NOD32: Win32/Peerfrag.IN worm, AVAST4: Win32:Trojan-gen )
  6. c:\\windows\\system32\\57.exe - P2P-Worm.Win32.Palevo.axbq ( DrWEB: Trojan.DownLoader1.28582, BitDefender: Trojan.Generic.KDV.50006, NOD32: Win32/Peerfrag.IN worm, AVAST4: Win32:Trojan-gen )
  7. c:\\windows\\widrive32.exe - Trojan.Win32.Jorik.SdBot.kb ( DrWEB: Trojan.Packed.21077, BitDefender: Trojan.Swizzor.16743, AVAST4: Win32:Rebhip-AC [Trj] )