Решена Win32.Dorkrobot. Дальше непомню

wetalik · 10 Фев 2013

Помогите !!! Мой антивирус , не может очистить этот вирус!!! Но когда я скачал программу MalwareBytes Anti-malware я нашел и не один вирус. А целых 17!!!

Ботан · 10 Фев 2013

Приветствую wetalik, вы обратились в раздел оказания помощи в удалении вредоносного ПО. Консультанты в ближайшее время ответят на ваш запрос.

__________________________________________________

Пожалуйста убедитесь в том, что вы подготовили и прикрепили к теме необходимые логи для проведения анализа:

virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt

Если вы этого еще не сделали, то вам необходимо прочесть тему Правила оформления запроса о помощи и подготовить логи.

***

Рекомендации, подготовленные нашими специалистами, разрабатываются индивидуально для каждого пользователя. Не используйте рекомендации, которые подготовлены для другого пользователя - это может повредить вашей системе.

***

Во время лечения четко придерживайтесь рекомендаций Консультантов, не удаляйте никаких файлов, не делайте дополнительные настройки утилит, не используйте других утилит без прямого указания Консультанта - любое из этих действий может привести к повреждению операционной системы и потере пользовательских данных!

__________________________________________________
С уважением, администрация SafeZone.

wetalik · 10 Фев 2013

Червь у меня быстро прогрессирует , надеюсь на быстрый ответ.

regist · 10 Фев 2013

wetalik написал(а):
надеюсь на быстрый ответ.

тогда надо было сделать набор логов по правилам

. Пока ждём логи

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

Подробнее читайте в руководстве

Код:

Обнаруженные ключи в реестре:  7
HKCR\CLSID\{f34c9277-6577-4dff-b2d7-7d58092f272f} (PUP.Datamngr) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\AdTools, Inc. (Adware.AdTools) -> Действие не было предпринято.
Обнаруженные параметры в реестре:  2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Rxbkbb (Heuristics.Shuriken) -> Параметры: C:\Users\User\AppData\Roaming\Rxbkbb.exe -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры:  -> Действие не было предпринято.
Объекты реестра обнаружены:  5
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Search Page (Hijack.SearchPage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com/) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Default_Search_URL (Hijack.Homepage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Search Bar (Hijack.Search) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.google.com/) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Search|SearchAssistant (Hijack.SearchPage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com/) -> Действие не было предпринято.
HKCU\SOFTWARE\Policies\Microsoft\Internet Explorer\control panel|HomePage (PUM.Hijack.HomePageControl) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
C:\Users\User\AppData\Roaming\Rxbkbb.exe (Heuristics.Shuriken) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-2477580328-1725021383-2815283753-1000\$R3R202U.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-2477580328-1725021383-2815283753-1000\$R8PEZQZ.exe (PUP.BundleInstaller.ML) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-2477580328-1725021383-2815283753-1000\$RFBLXUA.exe (Trojan.Agent) -> Действие не было предпринято.
C:\$Recycle.Bin\S-1-5-21-2477580328-1725021383-2815283753-1000\$RPMOAYR.exe (PUP.BundleInstaller.ML) -> Действие не было предпринято.
C:\Users\User\AppData\Roaming\61.exe (Trojan.Banker) -> Действие не было предпринято.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

wetalik · 10 Фев 2013

От лог позабыл чтото вставить

regist · 10 Фев 2013

Виталик

Пожалуйста убедитесь в том, что вы подготовили и прикрепили к теме необходимые логи для проведения анализа:virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt

wetalik · 10 Фев 2013

Пока Nod 32 его не нашел надеюсь так и будет , и можете мне порекомендовать Антивирус ?

Добавлено через 2 минуты 18 секунд
Это прежний лог щас жду нового

wetalik · 10 Фев 2013

От результаты второго сканирования.

wetalik · 10 Фев 2013

regist, эээй вверху второй лог

akok · 10 Фев 2013

Какие то проблемы с AVZ? Давайте полный комплект логов, а то будем лечить несколько недель...

wetalik · 10 Фев 2013

какие именно info.txt i log.txt ?

akok · 10 Фев 2013

Нет
virusinfo_syscure.zip, virusinfo_syscheck.zip

wetalik · 10 Фев 2013

Все за все сканирования ?

Добавлено через 31 секунду
Где они находятся в какой папке ?

Добавлено через 5 минут 12 секунд
Так я не понял , а с чего то сканировать надо из Malwarebytes Anti-Malware или AVZ ?

shestale · 10 Фев 2013

Правила

wetalik · 10 Фев 2013

0 я понял щас все будет!

wetalik · 10 Фев 2013

От они !

wetalik · 10 Фев 2013

Когда я перезагружал комп , он вклюсился только на 4 раз.

Добавлено через 57 минут 53 секунды

wetalik написал(а):
вклюсился

Включился!!!

shestale · 10 Фев 2013

1. Закройте все программы, отключите антивирус, файрволл и прочее защитное ПО.

AVZ, меню Файл - Выполнить скрипт - Скопировать ниже написанный скрипт-Нажать кнопку Запустить.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\User\AppData\Roaming\Rxbkbb.exe','');
 QuarantineFile('C:\Users\User\AppData\Roaming\61.exe','');
 DeleteFile('C:\Users\User\AppData\Roaming\61.exe');
 DeleteFile('C:\Users\User\AppData\Roaming\Rxbkbb.exe');
 DelCLSID('{E6FB5E20-DE35-11CF-9C87-00AA005127ED}');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Rxbkbb');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

2. После перезагрузки, выполните такой скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

3. Полученный архив quarantine.zip из папки с AVZ, отправьте с помощью этой формы или на этот почтовый ящик: quarantine<at>safezone.cc (замените <at> на @), укажите ссылку на тему и ник на форуме.

4. Удалите в МВАМ

HKCU\SOFTWARE\AdTools, Inc. (Adware.AdTools) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры: -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры: Поиск WebAlta -> Действие не было предпринято.

5. Сделайте новые логи AVZ и Rsit-с подключенным интернетом и прикрепите к сообщению.

6.

AVZ - сервис - поиск данных в реестре.
В поле "образец" впишите webalta, нажмите "пуск" после окончания сохраните протокол и выложите сюда.
Поиск не закрывайте

wetalik · 10 Фев 2013

И это все ?

Tiare · 10 Фев 2013

wetalik написал(а):
И это все ?

этого мало? ))) Выполняйте.

Решена Win32.Dorkrobot. Дальше непомню

wetalik

Участник

Вложения

Ботан

Злостный спам-бот

wetalik

Участник

regist

гоняюсь за туманом

wetalik

Участник

Вложения

regist

гоняюсь за туманом

wetalik

Участник

wetalik

Участник

Вложения

wetalik

Участник

akok

wetalik

Участник

akok

wetalik

Участник

shestale

wetalik

Участник

wetalik

Участник

Вложения

wetalik

Участник

shestale

wetalik

Участник

Tiare