Перейти к содержанию
Правила раздела

Trojan-Ranson. Win32.Blocker.ckeq

iv.56@mail.ru

Автор iv.56@mail.ru,
в Помощь в удалении вирусов

 Share Подписчики 0

Рекомендуемые сообщения

iv.56@mail.ru

iv.56@mail.ru 0

Опубликовано
Опубликовано

Добрый день. Выполнила скрипт утилитой avz 2- скрипт сбора информации для раздела "Помогите"; скрипт сбора неопознанных и подозрительных файлов; скрипт сбора файлов для экспресс анализа Пк 2 файла загрузить не смогла. Эта рабочая машина на которой браузер не загружается, много различных архивов которые сами появляюся и другие какие то файлы сами появляются работа по загрузке компьютера очень медленная, происходит отключение компьютера, произвольное закрытие файлов. Заражение по всей локальной сети пошло с этой рабочей машины. 


этот компьютер чист.

нужны логи с заражённого компьютера.

тогда я, возможно, напишу универсальный скрипт, чтобы можно было его применить на всех компьютерах сети.

Добрый день Подскажите, если этот компьютер чист то почему продолжают появляться различные архивы вместе с файлами разрешения exe. Отправила принт-скрин карантина касперского. Так каждый день в карантине. Что делать, как мне очистить мой сервер. Сегодня отправила логи и скрипты с зараженного компьютера.

virusinfo_syscheck.zip

AdwCleanerR0.txt

AdwCleanerR1.txt

info.txt

log.txt

Для форума.doc

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):





begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ygfns.exe');
TerminateProcessByName('c:\windows\system32\jgurldeutlqjnovdzliw.exe');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\qejxirjqgpl.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\qirjylhsmzznmik.bat','');
QuarantineFile('D:\qejxirjqgpl.bat','');
QuarantineFile('D:\mcjzmxrasdbnk.bat','');
QuarantineFile('C:\DOCUME~1\9335~1\APPLIC~1\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','');
QuarantineFile('c:\windows\system32\jgurldeutlqjnovdzliw.exe','');
DeleteFile('c:\windows\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\voyrhvseznoddadh.exe .','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\APPLIC~1\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
DeleteFile('D:\mcjzmxrasdbnk.bat','32');
DeleteFile('D:\qejxirjqgpl.bat','32');
DeleteFile('D:\qirjylhsmzznmik.bat','32');
DeleteFile('C:\WINDOWS\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile('C:\WINDOWS\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile(' C:\WINDOWS\system32\poedztwopjqlrudnlzyonj.exe','32');
DeleteFile(' C:\WINDOWS\poedztwopjqlrudnlzyonj.exe','32');
DeleteFile(' C:\WINDOWS\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\WINDOWS\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\WINDOWS\cwhbshfsodfvwuydw.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadh.exe','32');
DeleteFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile(' C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile(' C:\WINDOWS\system32\cwhbshfsodfvwuydw.exe','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001517.bat','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001518.bat','32');
DeleteFile('D:\System Volume Information\_restore{19E25812-18DF-4AB0-95AF-2CC0247BED5D}\RP12\A0001519.bat','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\qejxirjqgpl.bat','32');
DeleteFile('D:\autorun.inf','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wsfbullayptlooubwhd');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','lgsnfvuifvyprqvbvf');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','cwhbshfsodfvwuydw');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voyrhvseznoddadh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:





begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.

 

 

Исправьте через AVZ -> Файл -> Мастер поиска и устранения проблем -> Все проблемы -> отметить указанное -> Исправить

>> Блокировка редактора реестра
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
>> Повреждено меню настройки отображения папок
>> Повреждены настройки SafeBoot

 

Сделайте новые логи по правилам.

+

(отдельно скачайте Hijackthis и сделайте его лог)

 

а также:

avz - сервис - поиск файлов на диске - дата создания 19.02.2014

область поиска - все локальные диски 

пуск.

протокол сохраните и приложите


post-9410-0-60018300-1396418958_thumb.jpg

Ссылка на сообщение
Поделиться на другие сайты
iv.56@mail.ru

iv.56@mail.ru 0

Опубликовано
  • Автор
Опубликовано

Добрый день Выполнила предложенный скрипт, создала архив с карантином, исправила через avz, сделала новые логи, произвела поиск файлов прилагаю протокол. Не смогла сделать лог программой Hijackthis, она не запускается, скачала обе предложенные программы они обе не запустились. Компьютер ведет себя по прежнему. Подскажите по предложенному скрипту можно прочистить все остальные машины?

virusinfo_syscheck.zip

virusinfo_syscheck.xml

virusinfo_syscheck.htm

протокол файлов поиска 19.02.2014.txt

протокол 2.txt

протокол 3.txt

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано

 

 


Подскажите по предложенному скрипту можно прочистить все остальные машины?

боюсь, что нет. придётся лечить по отдельности.

зловред генерирует своё имя из случайного набора символов и находится в памяти...

 

отключайте машины от сети по очереди и лечите с помощью Kaspersky Rescue Disk 

http://support.kaspersky.ru/viruses/disinfection/8005#block2

 

эти два компьютера вылечим здесь. логи для компьютера секретаря я вынес в отдельную тему.

карантин на форуме не прикрепляйте.

 

у Вас на компьютерах пользуются проводником в качестве файлового менеджера?


Загрузившись в безопасном режиме, 

выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\ywljexzqqjpjoqyherpec.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\ygfns.exe');
QuarantineFile('E:\qejxirjqgpl.bat','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\qejxirjqgpl.bat','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\qejxirjqgpl.bat','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','');
QuarantineFile('C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cwhbshfsodfvwuydw.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe .','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\lgsnfvuifvyprqvbvf.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','');
QuarantineFile('c:\windows\system32\ywljexzqqjpjoqyherpec.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\ygfns.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\jgurldeutlqjnovdzliw.exe .','32');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\cwhbshfsodfvwuydw.exe','32');
DeleteFile('C:\WINDOWS\system32\jgurldeutlqjnovdzliw.exe','32');
DeleteFile('C:\WINDOWS\system32\lgsnfvuifvyprqvbvf.exe','32');
DeleteFile('C:\WINDOWS\system32\wsfbullayptlooubwhd.exe','32');
DeleteFile('C:\WINDOWS\system32\ywljexzqqjpjoqyherpec.exe','32');
DeleteFile('C:\autorun.inf','32');
DeleteFile('C:\qejxirjqgpl.bat','32');
DeleteFile('D:\autorun.inf','32');
DeleteFile('D:\qejxirjqgpl.bat','32');
DeleteFile('E:\autorun.inf','32');
DeleteFile('E:\qejxirjqgpl.bat','32');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\DigitalSites\UpdateProc\info.dat','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\ygfnsvhisvlpeqibifnmuzcopzc.wlx ','32');
DeleteFile('C:\Program Files\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\Program Files\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
DeleteFile('C:\WINDOWS\system32\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\WINDOWS\system32\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
DeleteFile('C:\WINDOWS\voyrhvseznoddadhzhakdtheqlzappmptltmwp.tqc','32');
DeleteFile('C:\WINDOWS\ygfnsvhisvlpeqibifnmuzcopzc.wlx','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ncixjtmulvsd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wsfbullayptlooubwhd');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','lgsnfvuifvyprqvbvf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','nemdrdyibnmzxs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','qirjylhsmzznmik');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','cwhbshfsodfvwuydw');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voyrhvseznoddadh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mcjzmxrasdbnk');
deletefilemask ('C:\Documents and Settings\Администратор\Local Settings\Temp\','*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:
begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.
Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.

Сделайте новые логи по правилам.

 

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe
Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

Ссылка на сообщение
Поделиться на другие сайты
iv.56@mail.ru

iv.56@mail.ru 0

Опубликовано
  • Автор
Опубликовано

Kaspersky Rescue Disk работает на современных машинах, на машинах на которых системные требования слабые он не работает. Не могли бы вы мне предложить что нибудь полегче, для прочистки компьютеров (старых). Для выполнения предложенного скрипта машина не загружается в безопасном режиме, скрипт не выполнила.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем
×
×
  • Создать...