Вирус Kido

**Anna_7** · 28.10.2010, 12:19

При переходе в безопасный режим - выходит синий экран с ошибкой.
Самопроизвольно закрываются антивирусные программы, ограничен доступ ко многим сайтам.
При загрузке windows многочисленные ошибки.
Пожалуйста помогите вылечить ПК.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**polword** · 28.10.2010, 12:31

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\ekugb3.bat','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('H:\autorun.inf','');
 DeleteFile('H:\autorun.inf');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\ekugb3.bat');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте лог Gmer

**Anna_7** · 28.10.2010, 13:29

quarantine.zip - загрузился.

Сделать лог Gmer невозможно. После запуска сканирования, через несколько секунд выходит синий экран с ошибкой.

**polword** · 28.10.2010, 13:46

- сделайте лог Combofix, если не получится попробуйте сделать лог Combofix в безопасном режиме

**Anna_7** · 28.10.2010, 14:18

спасибо, сделала лог combofix

**polword** · 28.10.2010, 14:22

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

KillAll::

File::
c:\windows\system32\wbluel.dll

Driver::
hyegu

NetSvc::
hyegu

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4112:TCP"=-
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\hyegu]

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

- Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

**Anna_7** · 28.10.2010, 14:42

сделано

**Anna_7** · 28.10.2010, 14:44

сейчас сделаю лог MBAM

**polword** · 28.10.2010, 14:49

- Обязательно!!! Отключите системное восстановление!!! как- посмотреть можно тут
- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
  DeleteFile('C:\autorun.inf');
 DeleteFile('C:\ekugb3.bat');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

**Anna_7** · 28.10.2010, 15:21

лог virusinfo_syscheck.zip

А лог MBAM... буду делать очень долго... (полная проверка идет скорее всего несколько часов)

Восстановление системы отключенно

**polword** · 28.10.2010, 15:27

Сообщение от Anna_7

А лог MBAM... буду делать очень долго... (полная проверка идет скорее всего несколько часов)

- оставьте на ночь- утром выложите.

Пришлите файлы

C:\ekugb3.bat
C:\autorun.inf

запакованным в архив ZIP с паролем: virus по ссылке Прислать запрошенный карантин вверху темы

**Anna_7** · 28.10.2010, 15:36

Сообщение от polword

- оставьте на ночь- утром выложите.

Пришлите файлы запакованным в архив ZIP с паролем: virus по ссылке Прислать запрошенный карантин вверху темы

C:\ekugb3.bat
C:\autorun.inf

найти невозможно (они не отображаются) (хотя галочку отображать скрытые файлы и папки поставила)

Добавлено через 5 минут

C:\ekugb3.bat - не найден.

C:\autorun.inf - отправила в архиве (по ссылке выше)
с трудом нашла через обычный поиск, по директории с:\qoobox\quarantine\c

Добавлено через 49 секунд

Файл сохранён как 101028_153632_virus_4cc960407c191.zip

**Anna_7** · 28.10.2010, 15:45

лог MBAM

**V_Bond** · 28.10.2010, 15:53

удалите в mbam

Код:

HKEY_CURRENT_USER\SOFTWARE\44 (Malware.Trace) -> No action taken.

повторите лог авз

**Anna_7** · 28.10.2010, 17:29

Сделала, какие-нибудь еще логи нужны?

**polword** · 28.10.2010, 17:45

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
  DeleteFile('C:\ekugb3.bat');
 DeleteFile('C:\autorun.inf');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteFile('C:\ekugb3.bat');
 BC_DeleteFile('C:\autorun.inf');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;

**Anna_7** · 28.10.2010, 19:32

Сделано

**V_Bond** · 28.10.2010, 20:30

у вас диски расшарены ?

**Anna_7** · 28.10.2010, 20:33

нет

**V_Bond** · 28.10.2010, 20:43

выполните скрипт

Код:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
 BC_DeleteFile('C:\autorun.inf');
 BC_DeleteFile('C:\ekugb3.bat');
BC_Activate;
RebootWindows(true);
end.

повторите лог авз