Перейти к содержанию
Правила раздела

Китайский вирус Baidu

YJlTa

Автор YJlTa,
в Помощь в удалении вирусов

 Share Подписчики 0

Рекомендуемые сообщения

YJlTa

YJlTa 0

Опубликовано
Опубликовано

 На компьютере , после запуска ...exe файла , появилось стороннее программное обеспечение - Baidu. Это программа начала сильно тормозить компьютер. Но сейчас не тормозит (но хочу ее удалить, так как в иероглифах не силен).  Самому удалить не получалось с помощью всех знающих программ. Проверял антивирусом Dr Web, а толку ноль. 

Лог имеется...

CollectionLog-2014.11.10-11.48.zip

Ссылка на сообщение
Поделиться на другие сайты
Roman_Five

Roman_Five 598

Опубликовано
Опубликовано

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\program files\common files\baidu\bddownload\108\bddownloader.exe');
TerminateProcessByName('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe');
TerminateProcessByName('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe');
TerminateProcessByName('c:\program files\baidu\baiduan\3.0.0.3971\baiduansvc.exe');
SetServiceStart('bd0001', 4);
SetServiceStart('bd0002', 4);
SetServiceStart('BDArKit', 4);
SetServiceStart('BDDefense', 4);
SetServiceStart('BDMWrench', 4);
SetServiceStart('BDAntiExp', 4);
SetServiceStart('BDMRTP', 4);
SetServiceStart('BDKVRTP', 4);
StopService('bd0001');
StopService('bd0002');
StopService('BDArKit');
StopService('BDDefense');
StopService('BDMWrench');
StopService('AvFlt');
StopService('BDAntiExp');
StopService('BDMRTP');
StopService('BDKVRTP');
QuarantineFile('C:\Windows\System32\DRIVERS\ShlDrv51.sys','');
QuarantineFile('C:\Users\1DAC9~1\AppData\Roaming\METACR~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Program Files\Common Files\Baidu\BDDownload\108\dl.dll','');
QuarantineFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.1.0.733\ad.dll','');
QuarantineFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\ad.dll','');
QuarantineFile('c:\program files\common files\baidu\baiduhips\1.1.0.733\baiduhips.exe','');
QuarantineFile('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe','');
QuarantineFile('c:\program files\common files\baidu\bddownload\108\bddownloader.exe','');
QuarantineFile('c:\program files\baidu\baiduan\3.0.0.3971\baiduansvc.exe','');
DeleteFileMask('C:\Program Files\Common Files\Baidu\','*', true, '');
DeleteDirectory('C:\Program Files\Common Files\Baidu\');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDDefense.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFileMask('C:\Program Files\Baidu\','*', true, '');
DeleteDirectory('C:\Program Files\Baidu\');
DeleteFile('C:\Windows\system32\DRIVERS\BDAntiExp.sys','32');
DeleteFile('C:\PROGRA~1\SEARCH~2\Datamngr\DATAMN~1.EXE','32');
DeleteFile('C:\Windows\Tasks\MetaCrawler.job','32');
DeleteFile('C:\Users\1DAC9~1\AppData\Roaming\METACR~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\MetaCrawler','32');
DelCLSID('11292110-6F8D-4D56-863C-44902A1E7880');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DATAMNGR','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{11292110-6F8D-4D56-863C-44902A1E7880}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
DeleteService('bd0001');
DeleteService('bd0002');
DeleteService('BDArKit');
DeleteService('BDDefense');
DeleteService('BDMWrench');
DeleteService('BDAntiExp');
DeleteService('BDMRTP');
DeleteService('BDKVRTP');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDDefense.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnSvc.exe');
BC_DeleteFile('C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdSvc.exe');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDAntiExp.sys');
BC_DeleteSvc('BDKVRTP');
BC_DeleteSvc('BDMRTP');
BC_DeleteSvc('BDAntiExp');
BC_DeleteSvc('BDMWrench');
BC_DeleteSvc('BDDefense');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('bd0002');
BC_DeleteSvc('bd0001');
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7z.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.

Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал My Kaspersky (если являетесь пользователем продуктов Лаборатории Касперского и владеете действующим кодом активации одного из продуктов) или через портал Kaspersky Virus Desk.
Для получения ответа в более короткий срок отправьте Ваш запрос через портал My Kaspersky.

Порядок действий на портале My Kaspersky::


1) Пройдите авторизацию в Kaspersky Account, используя адрес электронной почты/логин и пароль. Если Вы ещё не зарегистрированы в Kaspersky Account, выберите Создать Kaspersky Account и следуйте инструкциям. На вкладке Мои коды портала My Kaspersky добавьте действующий код активации используемого Вами продукта;
2) На вкладке Мои запросы выберите Создать запрос и создайте запрос в Вирусную лабораторию;
3) В меню Выберите тип запроса выберите Запрос на исследование вредоносного файла;
4) В окне Опишите проблему укажите: Выполняется запрос консультанта. Пароль на архив - infected;
5) Чтобы прикрепить к запросу архив карантина, установите флажок Я принимаю условия соглашения о загрузке файлов и нажмите на ссылку  Загрузить.
Важно: размер архива не должен превышать 15 МБ;
6) В строке EMail укажите адрес своей электронной почты;
7) Проверьте правильность введенных данных и нажмите на кнопку Отправка запроса.



Порядок действий на портале Kaspersky Virus Desk::


1) Установите флажок Я хочу получить результаты проверки по электронной почте и укажите адрес своей электронной почты;
2) Нажмите на ссылку Выбрать файл и прикрепите архив карантина.
Важно: размер архива не должен превышать 12 МБ;
3) Убедившись в наличии строки Я хочу отправить на проверку Quarantine.zip, нажмите повторно на ссылку Выбрать файл.
4) Дождитесь ответа об успешной загрузке карантина.


 
Полученный через электронную почту ответ сообщите в этой теме.

Сделайте новые логи по правилам (только пункт 3).

Скачайте ComboFix здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe
Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1

Ссылка на сообщение
Поделиться на другие сайты
YJlTa

YJlTa 0

Опубликовано
  • Автор
Опубликовано

Сделал


Инструкции выполняются в том порядке, в котором они вам даны. 

 

Инструкции выполняются в том порядке, в котором они вам даны. 

Тоесть все напрасно, если я сделал сначало комбо, а потом аутологер?


Спасибо большое, я разобрался. "Китайская байда пропала". Вот последний отчет от комбофикс.

CollectionLog-2014.11.10-16.57.zip

combofix.txt

ComboFix.txt

Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 468

Опубликовано
Опубликовано
SpyHunter удалите через Установку программ

 

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С 

KillAll::

 

File::



c:\windows\system32\drivers\BDEnhanceBoost.sys

c:\windows\system32\drivers\BDMNetMon.sys



 

Driver::



bd0003

BaiduHips

BDEnhanceBoost

BDMNetMon

 



Folder::



c:\users\APPDAT~1

c:\users\Администратор\AppData\Roaming\Baidu

c:\users\Администратор\AppData\Roaming\Systweak

c:\users\Администратор\AppData\Local\Babylon

c:\users\Администратор\AppData\Roaming\Babylon

c:\programdata\Babylon

c:\users\Гость1\AppData\Roaming\Baidu

c:\programdata\Baidu

c:\program files\Common Files\Baidu

c:\program files\Baidu



 

Registry::

 

FileLook::

 

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

cfscript.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 468

Опубликовано
Опубликовано

Странные люди - написано же по-русски

 

 


в корень диска С

Ан нет - все равно лепят на Рабочий стол да еще в учетной записи с русским именем. А ComboFix отказывается выполнять такой скрипт. Переделывайте выполнение сообщения №8

  • Улыбнуло 1
Ссылка на сообщение
Поделиться на другие сайты
YJlTa

YJlTa 0

Опубликовано
  • Автор
Опубликовано

ясно, понял, ща переделаю 


Все сделал.


 

 

 


в корень диска С

Ан нет - все равно лепят на Рабочий стол да еще в учетной записи с русским именем. А ComboFix отказывается выполнять такой скрипт. Переделывайте выполнение сообщения №8

Что дальше? И много ли еще нужно проделать такой работы? 

ComboFix.txt.txt

Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 468

Опубликовано
Опубликовано

Байду тоже победили

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить, в окне наберите команду c:\users\Администратор\Desktop\ComboFix.exe /Uninstall, нажмите кнопку "ОК"

 

Скачайте OTCleanIt, запустите, нажмите Clean up

Ссылка на сообщение
Поделиться на другие сайты
YJlTa

YJlTa 0

Опубликовано
  • Автор
Опубликовано

Байду тоже победили

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить, в окне наберите команду c:\users\Администратор\Desktop\ComboFix.exe /Uninstall, нажмите кнопку "ОК"

 

Скачайте OTCleanIt, запустите, нажмите Clean up

Сделал. Все логи тоже удалять? 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 0
Перейти к списку тем

  • Похожий контент

    • skyilar
      вирус Baidu
      От skyilar
      каждый раз при запуске windows вылезает этот baidu касперский сразу выдает сообщение и предлагает вылечить с перезагрузкой но это не помогает удаляла его несколько раз чистила реестр  а он опять появляется в чем может быть дело даже незнаю помогите плиз разобраться?
×
×
  • Создать...