Перейти к содержанию
Правила раздела

Trojan-Ranson. Win32.Blocker.ckeq

iv.56@mail.ru

От iv.56@mail.ru
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

iv.56@mail.ru Новичок

iv.56@mail.ru

Опубликовано
Опубликовано

Добрый день. Выполнила скрипт утилитой avz 2- скрипт сбора информации для раздела "Помогите"; скрипт сбора неопознанных и подозрительных файлов; скрипт сбора файлов для экспресс анализа Пк 2 файла загрузить не смогла. Эта рабочая машина на которой браузер не загружается, много различных архивов которые сами появляюся и другие какие то файлы сами появляются работа по загрузке компьютера очень медленная, происходит отключение компьютера, произвольное закрытие файлов. Заражение по всей локальной сети пошло с этой рабочей машины. 


этот компьютер чист.

нужны логи с заражённого компьютера.

тогда я, возможно, напишу универсальный скрипт, чтобы можно было его применить на всех компьютерах сети.

Добрый день Подскажите, если этот компьютер чист то почему продолжают появляться различные архивы вместе с файлами разрешения exe. Отправила принт-скрин карантина касперского. Так каждый день в карантине. Что делать, как мне очистить мой сервер. Сегодня отправила логи и скрипты с зараженного компьютера.

virusinfo_syscheck.zip

AdwCleanerR0.txt

AdwCleanerR1.txt

info.txt

log.txt

Для форума.doc

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):





begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ygfns.exe');
TerminateProcessByName('c:\windows\system32\jgurldeutlqjnovdzliw.exe');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\qejxirjqgpl.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\qirjylhsmzznmik.bat','');
QuarantineFile('D:\qejxirjqgpl.bat','');
QuarantineFile('D:\mcjzmxrasdbnk.bat','');
QuarantineFile('C:\DOCUME~1\9335~1\APPLIC~1\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','');
QuarantineFile('c:\windows\system32\jgurldeutlqjnovdzliw.exe','');
DeleteFile('c:\windows\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe .','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\APPLIC~1\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
DeleteFile('D:\mcjzmxrasdbnk.bat','32');
DeleteFile('D:\qejxirjqgpl.bat','32');
DeleteFile('D:\qirjylhsmzznmik.bat','32');
DeleteFile('C:\WINDOWS\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile('C:\WINDOWS\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile(' C:\WINDOWS\system32\poedztwopjqlrudnlzyonj.exe','32');
DeleteFile(' C:\WINDOWS\poedztwopjqlrudnlzyonj.exe','32');
DeleteFile(' C:\WINDOWS\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\WINDOWS\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\WINDOWS\cwhbshfsodfvwuydw.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile(' C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile(' C:\WINDOWS\system32\cwhbshfsodfvwuydw.exe','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001517.bat','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001518.bat','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001519.bat','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\qejxirjqgpl.bat','32');
DeleteFile('D:\autorun.inf','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wsfbullayptlooubwhd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','lgsnfvuifvyprqvbvf');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','cwhbshfsodfvwuydw');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voyrhvseznoddadh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:





begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.

 

 

Исправьте через AVZ -> Файл -> Мастер поиска и устранения проблем -> Все проблемы -> отметить указанное -> Исправить

>> Блокировка редактора реестра
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
>> Повреждено меню настройки отображения папок
>> Повреждены настройки SafeBoot

 

Сделайте новые логи по правилам.

+

(отдельно скачайте Hijackthis и сделайте его лог)

 

а также:

avz - сервис - поиск файлов на диске - дата создания 19.02.2014

область поиска - все локальные диски 

пуск.

протокол сохраните и приложите


post-9410-0-60018300-1396418958_thumb.jpg

Ссылка на комментарий
Поделиться на другие сайты
iv.56@mail.ru Новичок

iv.56@mail.ru

Опубликовано
  • Автор
Опубликовано

Добрый день Выполнила предложенный скрипт, создала архив с карантином, исправила через avz, сделала новые логи, произвела поиск файлов прилагаю протокол. Не смогла сделать лог программой Hijackthis, она не запускается, скачала обе предложенные программы они обе не запустились. Компьютер ведет себя по прежнему. Подскажите по предложенному скрипту можно прочистить все остальные машины?

virusinfo_syscheck.zip

virusinfo_syscheck.xml

virusinfo_syscheck.htm

протокол файлов поиска 19.02.2014.txt

протокол 2.txt

протокол 3.txt

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

 

 


Подскажите по предложенному скрипту можно прочистить все остальные машины?

боюсь, что нет. придётся лечить по отдельности.

зловред генерирует своё имя из случайного набора символов и находится в памяти...

 

отключайте машины от сети по очереди и лечите с помощью Kaspersky Rescue Disk 

http://support.kaspersky.ru/viruses/disinfection/8005#block2

 

эти два компьютера вылечим здесь. логи для компьютера секретаря я вынес в отдельную тему.

карантин на форуме не прикрепляйте.

 

у Вас на компьютерах пользуются проводником в качестве файлового менеджера?


Загрузившись в безопасном режиме, 

выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\ywljexzqqjpjoqyherpec.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ygfns.exe');
QuarantineFile('E:\qejxirjqgpl.bat','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\qejxirjqgpl.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\qejxirjqgpl.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','');
QuarantineFile('C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cwhbshfsodfvwuydw.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\lgsnfvuifvyprqvbvf.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','');
QuarantineFile('c:\windows\system32\ywljexzqqjpjoqyherpec.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cwhbshfsodfvwuydw.exe','32');
DeleteFile('C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\system32\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\qejxirjqgpl.bat','32');
DeleteFile('D:\autorun.inf','32');
DeleteFile('D:\qejxirjqgpl.bat','32');
DeleteFile('E:\autorun.inf','32');
DeleteFile('E:\qejxirjqgpl.bat','32');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\DigitalSites\UpdateProc\info.dat','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\ygfnsvhisvlpeqibifnmuzcopzc.wlx ','32');
DeleteFile('C:\Program Files\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\Program Files\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\WINDOWS\system32\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
DeleteFile('C:\WINDOWS\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\WINDOWS\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ncixjtmulvsd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wsfbullayptlooubwhd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','lgsnfvuifvyprqvbvf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','qirjylhsmzznmik');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','cwhbshfsodfvwuydw');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voyrhvseznoddadh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
deletefilemask ('C:\Documents and Settings\Администратор\Local Settings\Temp\','*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:
begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.
Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.

Сделайте новые логи по правилам.

 

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe
Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

Ссылка на комментарий
Поделиться на другие сайты
iv.56@mail.ru Новичок

iv.56@mail.ru

Опубликовано
  • Автор
Опубликовано

Kaspersky Rescue Disk работает на современных машинах, на машинах на которых системные требования слабые он не работает. Не могли бы вы мне предложить что нибудь полегче, для прочистки компьютеров (старых). Для выполнения предложенного скрипта машина не загружается в безопасном режиме, скрипт не выполнила.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Ivy_Sekoru
      Trojan
      От Ivy_Sekoru
      После включения ноутбука начала появляться сообщения от касперски по поводу обнаружения HEUR:Trojan.Multi.GenBadur.genw
      Выполняла лечение с перезагрузкой но после этого снова появляется тоже самое сообщение
    • Seraph Luteus
      NET:MALWARE.URL и trojan siggen 20 2783
      От Seraph Luteus
      Доброго времени суток. Решил провести проверку системы на майнеры и прочие вирусы. Как итог, я выявил сначала такой файл trojan siggen 20 2783, после чего удалил (на что надеюсь) его через антивирусник. После сделал ещё проверки и обнаружил уже net malware.url, а его удалить не получается.  Прошу совета и помощи в решении проблемы у знатоков.
       
      По уже похожей проблеме у другого пользователя собрал нужные логи и прикреплю их. 
      PIKA_2024-11-18_15-41-59_v4.99.4v x64.7z
      FRST.txt Addition.txt AV_block_remove_2024.11.18-15.35.log
    • Aman2008
      trojan multi genbadur genw
      От Aman2008
      решил в игрульки поиграть, скачал и касперский находит троян, я перезапускаю и касперский снова его находит, и снова и снова, что делать
    • Ra11lex
      HEUR: Trojan. Multi.GenBadur.genw после лечения появляется опять.
      От Ra11lex
      Касперский плюс нашел вирус HEUR: Trojan. Multi.GenBadur.genw Расположение: Системная память, после лечения с перезагрузкой опять его нашел, а потом лечение с перезагрузкой и опять он тут. AVT его тоже находит, лечит, но после перезагрузки он опять тут. Пробовал в безопасном режиме, AVT его уже не находит. Windows 11, с последними обновлениями. Протокол прилагается. Также логи FRST. И результаты отчета uvs. 
      Это уже мой второй ноутбук. Видимо я переносил данные и вирус перенес. Прошлая ветка и решение: 
       
      ОтчетКасперский.txt Addition.txt FRST.txt ITAN_RA_2024-10-24_23-37-40_v4.99.2v x64.7z
    • parnishka
      UDS.Trojan Multigeneric и UDS Trojan Shelm, помогите!
      От parnishka
      Вот такая проблема, при сканировании касперский обнаружил какие-то Luiminati в Media get 2 и в папке яндекса троян UDS Shelm, логи скоро сделаю
       
      А и да, компьютер виснет намертво после удаления, приложения открывает через 20 минут а при выключении через кнопку (Пуск не работает, меню не открывается) он пишет что выключается а не выключается 
×
×
  • Создать...