ВладМир 36 0 Опубликовано 20 февраля, 2015 Share Опубликовано 20 февраля, 2015 Помню как он попал ко мне, торопился и не внял предупреждению Вашего антивируса... Теперь кошмар. Сделал как читал в теме про этого китайского недруга. Заранее прошу прощения, специалист я никакой, возможны глупые вопросы. Прошу помощи. CollectionLog-2015.02.21-21.30.zip Ссылка на сообщение Поделиться на другие сайты
Roman_Five 598 Опубликовано 20 февраля, 2015 Share Опубликовано 20 февраля, 2015 Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"): begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); SearchRootkit(true, true); SetAVZGuardStatus(True); ClearQuarantine; TerminateProcessByName('c:\program files\common files\baidu\baiduprotect1.3\1.3.0.645\baiduprotect.exe'); TerminateProcessByName('c:\program files\common files\baidu\bddownload\107\bddownloader.exe'); TerminateProcessByName('c:\documents and settings\user\application data\1e00b2e0-1424465891-5c01-67ff-0022154139c9\nst28c.tmpfs'); SetServiceStart('bd0002', 4); SetServiceStart('BDArKit', 4); SetServiceStart('BDMWrench', 4); SetServiceStart('BDSafeBrowser', 4); SetServiceStart('bd0004', 4); SetServiceStart('bd0001', 4); SetServiceStart('7654Bao', 4); SetServiceStart('dyzoceto', 4); SetServiceStart('BDSGRTP', 4); StopService('bd0002'); StopService('BDArKit'); StopService('BDMWrench'); StopService('BDSafeBrowser'); StopService('JiH_39ac4d27'); StopService('7654JiHe'); StopService('bd0004'); StopService('bd0001'); StopService('0415B855'); StopService('7654Bao'); StopService('dyzoceto'); StopService('BDSGRTP'); QuarantineFile('C:\WINDOWS\system32\drivers\7654JiHe.sys',''); QuarantineFile('default_image_path.exe',''); QuarantineFile('C:\Documents and Settings\All Users\Application Data\7654\service.exe',''); QuarantineFile('C:\JiH_39ac4bab.sys',''); QuarantineFile('52152254.sys',''); QuarantineFile('0415B855.sys',''); QuarantineFile('c:\documents and settings\user\application data\1e00b2e0-1424465891-5c01-67ff-0022154139c9\nst28c.tmpfs',''); DeleteFileMask('c:\program files\common files\baidu\','*', true, '' ); DeleteDirectory('c:\program files\common files\baidu\',' '); DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0001.sys','32'); DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0004.sys','32'); DeleteFile('C:\WINDOWS\system32\DRIVERS\BDArKit.sys','32'); DeleteFile('C:\WINDOWS\system32\DRIVERS\BDSafeBrowser.sys','32'); DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\BaiduProtect.exe','32'); DeleteFile('C:\Documents and Settings\User\Application Data\1E00B2E0-1424465891-5C01-67FF-0022154139C9\nst28C.tmpfs','32'); DeleteFile('C:\Documents and Settings\All Users\Application Data\7654\service.exe','32'); DeleteFile('C:\WINDOWS\system32\DRIVERS\BDMWrench.sys','32'); DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0002.sys','32'); DeleteService('bd0002'); DeleteService('BDArKit'); DeleteService('BDMWrench'); DeleteService('BDSafeBrowser'); DeleteService('bd0004'); DeleteService('bd0001'); DeleteService('7654Bao'); DeleteService('dyzoceto'); DeleteService('BDSGRTP'); BC_ImportAll; ExecuteSysClean; BC_DeleteSvc('BDSGRTP'); BC_DeleteSvc('dyzoceto'); BC_DeleteSvc('7654Bao'); BC_DeleteSvc('bd0001'); BC_DeleteSvc('bd0004'); BC_DeleteSvc('BDSafeBrowser'); BC_DeleteSvc('BDMWrench'); BC_DeleteSvc('BDArKit'); BC_DeleteSvc('bd0002'); BC_Activate; RebootWindows(true); end. После выполнения скрипта компьютер перезагрузится. Для создания архива с карантином выполните скрипт: begin DeleteFile('Qurantine.zip',''); ExecuteFile('7z.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true); end. Отправьте на проверку файл Quarantine.zip из папки AVZ через портал My Kaspersky (если являетесь пользователем продуктов Лаборатории Касперского и владеете действующим кодом активации одного из продуктов) или через портал Kaspersky Virus Desk. Для получения ответа в более короткий срок отправьте Ваш запрос через портал My Kaspersky. Порядок действий на портале My Kaspersky:: 1) Пройдите авторизацию в Kaspersky Account, используя адрес электронной почты/логин и пароль. Если Вы ещё не зарегистрированы в Kaspersky Account, выберите Создать Kaspersky Account и следуйте инструкциям. На вкладке Мои коды портала My Kaspersky добавьте действующий код активации используемого Вами продукта; 2) На вкладке Мои запросы выберите Создать запрос и создайте запрос в Вирусную лабораторию; 3) В меню Выберите тип запроса выберите Запрос на исследование вредоносного файла; 4) В окне Опишите проблему укажите: Выполняется запрос консультанта. Пароль на архив - infected; 5) Чтобы прикрепить к запросу архив карантина, установите флажок Я принимаю условия соглашения о загрузке файлов и нажмите на ссылку Загрузить. Важно: размер архива не должен превышать 15 МБ; 6) В строке EMail укажите адрес своей электронной почты; 7) Проверьте правильность введенных данных и нажмите на кнопку Отправка запроса. Порядок действий на портале Kaspersky Virus Desk:: 1) Установите флажок Я хочу получить результаты проверки по электронной почте и укажите адрес своей электронной почты; 2) Нажмите на ссылку Выбрать файл и прикрепите архив карантина. Важно: размер архива не должен превышать 12 МБ; 3) Убедившись в наличии строки Я хочу отправить на проверку Quarantine.zip, нажмите повторно на ссылку Выбрать файл. 4) Дождитесь ответа об успешной загрузке карантина. Полученный через электронную почту ответ сообщите в этой теме. Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть): R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4bd77e67c4c9f7bfd70cc9093fb33dbd&text={searchTerms} R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4bd77e67c4c9f7bfd70cc9093fb33dbd&text={searchTerms} R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yandex.ru/?win=163&clid=2154477 O2 - BHO: Визуальные закладки - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file) O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file) Сделайте новые логи по правилам (только пункт 3).+ Скачайте ComboFix здесь или здесь и сохраните в корень диска С. 1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix. 2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению. Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в explorer.exe Подробнее про использование ComboFix - http://safezone.cc/forum/showpost.php?p=10294&postcount=1 1 Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 20 февраля, 2015 Автор Share Опубликовано 20 февраля, 2015 Уважаемый Роман, в архиве карантина ФМЯ 17 файлов, отправлять пофайлово? сорри за нубость. архив AVZ)) Речь идет об отправке файлов в Kaspersky Virus Desk. Ссылка на сообщение Поделиться на другие сайты
mike 1 1 093 Опубликовано 20 февраля, 2015 Share Опубликовано 20 февраля, 2015 Вам нужно архив Quarantine.zip отправить через эту http://newvirus.kaspersky.ru/ форму. 1 Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 20 февраля, 2015 Автор Share Опубликовано 20 февраля, 2015 Он в папке LOG был)) Зовется virusinfo_autoquarantine.zip. Его отправил по указанному адресу. Ссылка на сообщение Поделиться на другие сайты
mike 1 1 093 Опубликовано 20 февраля, 2015 Share Опубликовано 20 февраля, 2015 Выполняйте остальные рекомендации. 1 Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 20 февраля, 2015 Автор Share Опубликовано 20 февраля, 2015 Вот результат работы ComboFix: log.txt Ссылка на сообщение Поделиться на другие сайты
mike 1 1 093 Опубликовано 20 февраля, 2015 Share Опубликовано 20 февраля, 2015 Running from: c:\documents and settings\User\¦юш фюъєьхэЄv\¦руЁєчъш\ComboFix.exe Утилиту просили сохранить на диск С. Перенесите Combofix на диск С. Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С. KillAll:: File:: c:\program files\WelcomeToPunto.bat c:\program files\layouts.bat c:\program files\punto.bat c:\program files\diary.bat c:\program files\ps.bat Driver:: BDMWrench BAPIDRV Folder:: c:\documents and settings\All Users\Application Data\Baidu c:\documents and settings\User\Local Settings\Application Data\GetNowUpdater c:\documents and settings\User\Application Data\VOPackage c:\documents and settings\All Users\Application Data\360Quarant C:\$360Section c:\program files\360 c:\documents and settings\User\Local Settings\Application Data\CrashRpt c:\program files\Аудио и видео скачивание Registry:: [-HKEY_LOCAL_MACHINE\SOFTWARE\~\Browser Helper Objects\{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}] FileLook:: C:\JiH_1d10b525.sys c:\windows\system32\drivers\7654JiHe.sys DirLook:: c:\documents and settings\User\Local Settings\Application Data\1E00B2E0-1424466095-5C01-67FF-0022154139C9 c:\documents and settings\User\Application Data\1E00B2E0-1424465891-5C01-67FF-0022154139C9 Reboot:: После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe. Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению. 1 Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 21 февраля, 2015 Автор Share Опубликовано 21 февраля, 2015 После перезагрузки, Касперский IS 2013 поместил Combofix в Недоверенные программы. Как это отменить? Не могу закончить анализ Combofix. И еще, пытаюсь отправить virusinfo_autoquarantine.zip на сайт Kaspersky Virus Desk, требует "Прикрепите архив с паролем «infected»". Как это сделать? Скачал по-новой Combofix. Вот отчет: Получилось запаролить и отправить virusinfo_autoquarantine.zip на сайт Kaspersky Virus Desk. Прочитал "ЧаВо". Реклама еще всплывает. log.txt Ссылка на сообщение Поделиться на другие сайты
Roman_Five 598 Опубликовано 21 февраля, 2015 Share Опубликовано 21 февраля, 2015 пытаюсь отправить virusinfo_autoquarantine.zip на сайт Kaspersky Virus Desk кто просил? Касперский IS 2013 поместил Combofix в Недоверенные программы. Как это отменить? Не могу закончить анализ Combofix. отключите антивирус. Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. приложите все эти файлы. ComboFix2.txt 2015-02-22 06:11 ComboFix3.txt 2015-02-22 05:33 ComboFix4.txt 2015-02-21 21:11 + Утилиту просили сохранить на диск С. Перенесите Combofix на диск С. Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 21 февраля, 2015 Автор Share Опубликовано 21 февраля, 2015 Об отправке говорится в посте №4. Прикладываю файлы. ComboFix4.txt ComboFix2.txt ComboFix3.txt Ссылка на сообщение Поделиться на другие сайты
mike 1 1 093 Опубликовано 21 февраля, 2015 Share Опубликовано 21 февраля, 2015 Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С. KillAll:: File:: Driver:: Folder:: c:\documents and settings\User\Application Data\1E00B2E0-1424465891-5C01-67FF-0022154139C9 c:\documents and settings\User\Local Settings\Application Data\1E00B2E0-1424466095-5C01-67FF-0022154139C9 Registry:: FileLook:: DirLook:: Reboot:: После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe. Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению. 1 Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 21 февраля, 2015 Автор Share Опубликовано 21 февраля, 2015 Вот что получилось: ComboFix.txt Ссылка на сообщение Поделиться на другие сайты
mike 1 1 093 Опубликовано 21 февраля, 2015 Share Опубликовано 21 февраля, 2015 Сделайте еще раз логи Автологгером. Ссылка на сообщение Поделиться на другие сайты
ВладМир 36 0 Опубликовано 21 февраля, 2015 Автор Share Опубликовано 21 февраля, 2015 Прикрепляю: CollectionLog-2015.02.22-16.58.zip Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения