Показано с 1 по 11 из 11.

Вирус-троян - помогите почистить (заявка № 95802)

  1. #1
    Junior Member Репутация
    Регистрация
    27.08.2010
    Сообщений
    24
    Вес репутации
    28

    Thumbs up Вирус-троян - помогите почистить

    Добрый день!
    Помогите почистить компьютер от трояна. Логи сделал и прикрепил к сообщению.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    528
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
     QuarantineFile('C:\Program Files\internet explorer\setupapi.dll','');
     QuarantineFile('C:\WINDOWS\system32\smphost.exe','');
     QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
     QuarantineFile('C:\Documents and Settings\User\Application Data\netprotocol.exe','');
     QuarantineFile('c:\windows\system32\smphost.exe','');
     TerminateProcessByName('c:\windows\system32\smphost.exe');
     QuarantineFile('c:\documents and settings\user\application data\netprotocol.exe','');
     QuarantineFile('c:\documents and settings\user\application data\xtaxl1c2r1pcrxwdi3ktmdyb1usrf3o2\csrss.exe','');
     TerminateProcessByName('c:\documents and settings\user\application data\xtaxl1c2r1pcrxwdi3ktmdyb1usrf3o2\csrss.exe');
     QuarantineFile('c:\docume~1\user\locals~1\temp\6622010.exe','');
     TerminateProcessByName('c:\docume~1\user\locals~1\temp\6622010.exe');
     DeleteFile('c:\docume~1\user\locals~1\temp\6622010.exe');
     DeleteFile('c:\documents and settings\user\application data\xtaxl1c2r1pcrxwdi3ktmdyb1usrf3o2\csrss.exe');
     DeleteFile('c:\documents and settings\user\application data\netprotocol.exe');
     DeleteFile('c:\windows\system32\smphost.exe');
     DeleteFile('C:\Documents and Settings\User\Application Data\netprotocol.exe');
     DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','smphost');
     DeleteFile('C:\WINDOWS\system32\smphost.exe');
     DeleteFile('C:\Program Files\internet explorer\setupapi.dll');
     QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
     QuarantineFile('%windir%\system32\sfcfiles.dll','');
       if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
          begin
            RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
            CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
            AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
          end
         else
          begin
            AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных или отсутствует');
            if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                begin
                 RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
                 CopyFile('%windir%\ServicePackFiles\i386\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                 AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                end
               else 
                begin
                 AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных или отсутствует');
                end;
    	 end;
      //sfcfiles.log сохранится в папке, из которой был запущен AVZ
      DeleteFile('%windir%\system32\drivers\sfc.sys');
      DeleteFile('%windir%\system32\sfcfiles.bak');
      QuarantineFile('%windir%\system32\mssfc.dll','');
      DeleteFile('%windir%\system32\mssfc.dll');
      SaveLog('sfcfiles.log');
      BC_ImportALL;
      ExecuteSysClean;
      ExecuteRepair(16);
      ExecuteWizard('TSW', 2, 2, true);
      ExecuteWizard('SCU', 2, 2, true);
      RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
      RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
      RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
      RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
      RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
      RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
      BC_DeleteFile('%windir%\System32\sfcfiles.bak');
      BC_DeleteSvc('sfc');
      BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
    - файл sfcfiles.log прикрепите к сообщению
    - Сделайте лог MBAM

  4. #3
    Junior Member Репутация
    Регистрация
    27.08.2010
    Сообщений
    24
    Вес репутации
    28
    Те логи, которые удалось сделать, прикрепил к сообщению. MBAM будет чуточку позднее.
    Файл с карантином почему-то не могу загрузить, как положено. Можно ли его прикрепить к сообщению или дальше пробововать согласно инструкции?

    P.S. После выполнения скрипта - компьютер не смог перезагрузиться. Синий экран - STOP 0x0000008E Beginning dump of physical memory

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    528
    - карантин пришлите
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     if FileExists ('%windir%\system32\sfcfiles.dll') then
       begin
        if CheckFile('%windir%\system32\sfcfiles.dll')=3 then
           begin
             QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
             QuarantineFile('%windir%\system32\sfcfiles.dll','');
             QuarantineFile('%windir%\system32\mssfc.dll','');
             DeleteFile('%windir%\system32\drivers\sfc.sys');
             DeleteFile('%windir%\system32\mssfc.dll');
             AddToLog('%windir%\system32\sfcfiles.dll прошел по базе безопасных');
           end
          else
           begin
             AddToLog('%windir%\system32\sfcfiles.dll не прошел по базе безопасных');
             QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
             QuarantineFile('%windir%\system32\sfcfiles.dll','');
             QuarantineFile('%windir%\system32\mssfc.dll','');
             DeleteFile('%windir%\system32\drivers\sfc.sys');
             DeleteFile('%windir%\system32\mssfc.dll');
             RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
             if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
               begin
                if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
                  begin
                   CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                   AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
                  end
                 else
                  begin
                   AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
                   SaveLog('sfcfiles.log');
                   if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
                     begin
                      if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                        begin
                         CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                         AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                        end
                       else
                        begin
                         AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                        end;
                     end
                    else
                     begin
                      AddToLog('Файл sfcfiles.dll отсутствует в i386');
                     end;
                  end;
               end
              else
               begin
                AddToLog('Файл sfcfiles.dll отсутствует в кеше');
                if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
                  begin
                   if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                     begin
                      CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                      AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                     end
                   else
                    begin
                      AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                    end;
                  end
                 else
                  begin
                   AddToLog('Файл sfcfiles.dll отсутствует в i386');
                  end;
               end;
             DeleteFile('%windir%\system32\sfcfiles.bak');
           end;
       end
      else
       begin
         AddToLog('файл sfcfiles.dll отсутствует в  %windir%\system32\');
         QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
         QuarantineFile('%windir%\system32\mssfc.dll','');
         DeleteFile('%windir%\system32\drivers\sfc.sys');
         DeleteFile('%windir%\system32\mssfc.dll');
         if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
           begin
            if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
              begin
               CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
               AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
              end
             else
              begin
               AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
               SaveLog('sfcfiles.log');
               if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
                 begin
                  if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                    begin
                     CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                     AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                    end
                   else
                    begin
                     AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                    end;
                 end
                else
                 begin
                  AddToLog('Файл sfcfiles.dll отсутствует в i386');
                 end;
              end;
           end
          else
           begin
            AddToLog('Файл sfcfiles.dll отсутствует в кеше');
            SaveLog('sfcfiles.log');
            if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
              begin
               if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                 begin
                  CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                  AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                 end
               else
                begin
                  AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                end;
              end
             else
              begin
               AddToLog('Файл sfcfiles.dll отсутствует в i386');
              end;
           end;
         DeleteFile('%windir%\system32\sfcfiles.bak');
       end;
     SaveLog('sfcfiles.log');
     BC_ImportALL;
     ExecuteSysClean;
     BC_DeleteFile('%windir%\System32\sfcfiles.bak');
     BC_DeleteSvc('sfc');
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - файл sfcfiles.log прикрепите к сообщению

  6. #5
    Junior Member Репутация
    Регистрация
    27.08.2010
    Сообщений
    24
    Вес репутации
    28
    При перезагрузке - появился тот же самый синий экран. Лог прикрепляю к сообщению. А файл с карантином отправить по-прежнему не могу (может вирус блокирует) через форму по ссылке вверху темы - могу отправить по электропочте (сообщите в ЛС куда отправить).
    Вложения Вложения

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    528
    - Восстановите файл C:\WINDOWS\System32\sfcfiles.dll из дистрибутива или отсюда
    - Сделайте повторный лог virusinfo_syscheck.zip;

  8. #7
    Junior Member Репутация
    Регистрация
    27.08.2010
    Сообщений
    24
    Вес репутации
    28
    Цитата Сообщение от polword Посмотреть сообщение
    - Восстановите файл C:\WINDOWS\System32\sfcfiles.dll из дистрибутива или отсюда
    Возможно ли просто заменить файл в папке? Без консоли?

    Прикрепляю еще лог МБАМ - хотя должен был раньше его прикрепить.

  9. #8
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,547
    Вес репутации
    3021
    Смените все пароли

    Удалите в МВАМ
    Код:
    Заражённые параметры в реестре:
    HKEY_CURRENT_USER\Software\Microsoft\bk (Malware.Trace) -> Value: bk -> No action taken.
    
    Заражённые папки:
    c:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.
    
    Заражённые файлы:
    c:\program files\mozilla firefox\setupapi.dll (Trojan.Agent) -> No action taken.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  10. #9
    Junior Member Репутация
    Регистрация
    27.08.2010
    Сообщений
    24
    Вес репутации
    28
    Удалил все
    Цитата Сообщение от thyrex Посмотреть сообщение
    Смените все пароли
    Пароли, которые использую при заходе на сайты через Мозиллу?

    P.S. Стали закачиваться файлы! Закачал файл с карантином - правда он наверно сейчас не актуален?
    Вложения Вложения

  11. #10
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,547
    Вес репутации
    3021
    Цитата Сообщение от Dmitry_Che Посмотреть сообщение
    Пароли, которые использую при заходе на сайты через Мозиллу?
    И пароли, используемые в системе тоже

    Лог в порядке
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  12. #11
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 29
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\documents and settings\\user\\application data\\netprotocol.exe - Trojan-Dropper.Win32.Drooptroop.koy ( DrWEB: Trojan.Click1.29386, BitDefender: Trojan.Generic.KDV.113666, AVAST4: Win32:MalOb-IJ [Cryp] )
      2. c:\\documents and settings\\user\\application data\\xtaxl1c2r1pcrxwdi3ktmdyb1usrf3o2\\csrss.exe - Trojan-Banker.Win32.Banker.bfmf ( DrWEB: Trojan.DownLoader1.56202, BitDefender: Gen:Variant.Kazy.8559, AVAST4: Win32:Kryptik-YX [Trj] )
      3. c:\\docume~1\\user\\locals~1\\temp\\6622010.exe - Backdoor.Win32.Agent.bezn ( DrWEB: BackDoor.Siggen.27809, BitDefender: Trojan.Generic.KDV.113614, AVAST4: Win32:BHO-ADC [Trj] )
      4. c:\\program files\\internet explorer\\setupapi.dll - Trojan.Win32.Zapchast.cwd ( DrWEB: Trojan.WinSpy.967, BitDefender: Trojan.Generic.5397047, AVAST4: Win32:Patched-TI [Trj] )
      5. c:\\windows\\system32\\sfcfiles.dll - Trojan.Win32.Patched.lq ( DrWEB: Trojan.WinSpy.988, BitDefender: Gen:Variant.Kazy.5984, AVAST4: Win32:Small-NTF [Trj] )
      6. c:\\windows\\system32\\smphost.exe - Trojan-Spy.Win32.Lpxenur.dp ( DrWEB: Trojan.PWS.Spy.10095, BitDefender: Gen:Variant.Buzy.254, AVAST4: Win32:BHO-ADC [Trj] )

    Рекомендации:
    1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !


  • Уважаемый(ая) Dmitry_Che, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 4
      Последнее сообщение: 05.07.2012, 11:46
    2. Троян - помогите, пожалуйста, почистить.
      От Sibirian в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 07.03.2012, 00:22
    3. Дочистить SMS-вымогатель троян Winlock
      От orthodox в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 04.02.2010, 13:10
    4. Помогите пожалуйста вычистить вирус
      От ZamUtil в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 16.07.2009, 11:09
    5. Вирус Trojan.Virtumod.260, Помогите вычистить.
      От Jhon10 в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 22.02.2009, 03:53

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01272 seconds with 17 queries