Перейти к содержанию
Правила раздела

Вирус Trojan.Win32.Yakes.enyg блокирует установку KIS 2013

zyablik

Автор zyablik
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

zyablik

zyablik

Опубликовано
Опубликовано (изменено)

Запущенный комп. CPU 2.4, RAM 504. Однозначно заражает флэшки вирусом Trojan.Win32.Yakes.enyg (на флэшках все имеющиеся папки и файлы скрываются с неснимаемыми атрибутами скрытости — в Total Commander'е снять можно разве что; вместо них появляются нескрытые одноименные ярлыки с предисполнением вируса, т.е. если открываем файл с флэшки — размножаем вирус с успехом; хотя флэшка заражается уже при вставке в USB). Вирус с флэшек легко удаляется на других компьютерах Касперским, атрибуты восстанавливаются с помощью всё того же Total Commander'а.
Но беда в другом: на сам зараженный компьютер Касперский /KIS2013/ не устанавливается (начинается всё хорошо, но на полпути /?/ требует перезагрузки, потом всё по-новой приходится начинать). Прогнал AVZ, ADW-Cleaner, MBAM'ом. ADW и MBAM чего-то находили. Но это не тот вирус (хотя папок "Карантин" они насоздавали): и после них вирус как жил, так и живёт. Сносить систему не охота, но, кажется, придется.
Спасибо.

virusinfo_syscure.zip virusinfo_syscheck.zip hijackthis.log AdwCleanerS0.txt AdwCleanerR0.txt

Изменено пользователем zyablik
SLASH_id

SLASH_id

Опубликовано
Опубликовано

Хелперы вам помогут, но сначала я бы прогнал машину через KRD.

  • Спасибо (+1) 1
zyablik

zyablik

Опубликовано
  • Автор
Опубликовано (изменено)

Хелперы вам помогут, но сначала я бы прогнал машину через KRD.

Что такое KRD?  :idontno:

Kaspersky Removal Tools еще на той неделе носил (просто с CD запускал) — почему-то, как мне сказали, ничего не нашел. Самому было некогда тогда досмотреть. Сегодня уже комп притащили на мою голову  :huh:

Изменено пользователем zyablik
SLASH_id

SLASH_id

Опубликовано
Опубликовано

Kaspersky Rescue Disk

Скачать, записать на диск, загрузиться, обновить базы если надо и провести скан дисков.

  • Спасибо (+1) 1
mike 1

mike 1

Опубликовано
Опубликовано
Здравствуйте! 

 


 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 




begin

 ExecuteAVUpdate;

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

if not IsWOW64

  then

   begin

    SearchRootkit(true, true);

    SetAVZGuardStatus(true);

   end;

 ClearQuarantine;   

 QuarantineFile('C:\Documents and Settings\Obidina\Application Data\Identities\Ggtuta.exe','');

 QuarantineFile('C:\DOCUME~1\Obidina\LOCALS~1\Temp\Adobe\Reader_sl.exe','');

 DeleteFile('C:\DOCUME~1\Obidina\LOCALS~1\Temp\Adobe\Reader_sl.exe','32');

 DeleteFile('C:\Documents and Settings\Obidina\Application Data\Identities\Ggtuta.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ggtuta');           

BC_ImportAll;

ExecuteSysClean;

ExecuteWizard('SCU', 2, 2, true);

BC_Activate;

RebootWindows(false);

end.


 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 




begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.


 

quarantine.zip из папки AVZ отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните скрипт из этой темы.

 

 

Сделайте новые логи

 

  • Спасибо (+1) 1
  • Согласен 1
zyablik

zyablik

Опубликовано
  • Автор
Опубликовано (изменено)

... Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 
begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;   
 QuarantineFile('C:\Documents and Settings\Obidina\Application Data\Identities\Ggtuta.exe','');
 QuarantineFile('C:\DOCUME~1\Obidina\LOCALS~1\Temp\Adobe\Reader_sl.exe','');
 DeleteFile('C:\DOCUME~1\Obidina\LOCALS~1\Temp\Adobe\Reader_sl.exe','32');
 DeleteFile('C:\Documents and Settings\Obidina\Application Data\Identities\Ggtuta.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Adobe System Incorporated');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ggtuta');           
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 

Wow! Спасибо! После выполнения скриптов флэшки перестали заражаться :ura: ! Я ж до сих пор тот комп к локалке не подключил: вожусь туда-сюда с одной "жертвенной" флэшкой  :think: , леча-перелечивая ея...

Остальное — уже завтра + попытка установки Касперского — тоже :coffee:.

Изменено пользователем zyablik
mike 1

mike 1

Опубликовано
Опубликовано (изменено)

Хорошо ждем новые логи

Изменено пользователем mike 1
zyablik

zyablik

Опубликовано
  • Автор
Опубликовано (изменено)

quarantine.zip из папки AVZ отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните скрипт из этой темы.

 

Сделайте новые логи

В вирусную лабораторию файл-архив отправлял, но он не дошел. По их рекомендации отправил с новым паролем.

Длинный скрипт выполнил. Возникли 2 reg-файла, попытаюсь их вложить. Ну и новый логи AVZ: virusinfo_syscure.zip virusinfo_syscheck.zip. Автокарантин.zip не отправляю. Папки Quarantine при создании логов на этот раз не возникло.

P.S. Reg-и вложить не даете — тогда вот архив: 2.rar  :face: Oops: не заметил на Рабочем Столе (на нем нет места!):Correct_wuauserv&BITS.log!

-------------------

Ну  :red: что-ты будешь делать, а?! Опять письмо из Лаборатории (Re: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0] [KLAN-1749235438]) с аналогичным ответом:

Здравствуйте,
...Отправленный Вами файл до нас не дошел. Возможно, он был вырезан антивирусом во время доставки.   Пожалуйста, вышлите экземпляр повторно, поместив его в архив с паролем infected.
С уважением, Лаборатория Касперского...
Изменено пользователем zyablik
mike 1

mike 1

Опубликовано
Опубликовано

Логи в порядке.

 

  • Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

  • Спасибо (+1) 1
zyablik

zyablik

Опубликовано
  • Автор
Опубликовано

Логи в порядке.

  • Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

SecurityCheck.txt

mike 1

mike 1

Опубликовано
Опубликовано
Обновляйте:

 

 

Автоматическое обновление отключено (1)

Автоматическое обновление (wuauserv) - Служба остановлена

Восстановление системы отключено

-------------AntiVirusFirewallInstall-------------

Kaspersky Internet Security 2012 v.12.0.0.374 - актуальная версия 2014.

Kaspersky Internet Security 2011 v.11.0.2.556

-------------Java---------------------------------

Java 6 Update 21 v.6.0.210 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-7u60-windows-i586.exe)^

-------------AdobeProduction----------------------

Adobe Reader X (10.0.1) - Russian v.10.0.1 Внимание! Скачать обновления

-------------Browser------------------------------

Opera 11.10 v.11.10.2092 Внимание! Скачать обновления

 

  • Спасибо (+1) 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...