Вредносные программа на китайском

[Sandor]

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления потребуется перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве (http://safezone.cc/threads/22250/#post-157088).


Далее еще раз лог uVS (http://safezone.cc/threads/14508/#post-79351).

[skripkina_i]

Это все?

[Sandor]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/threads/18577/).
Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
;uVS v3.85.2 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
BREG
zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BAIDUPROTECT.EXE
bl 29EAD88642160E551A76F7AC5D676A6B 1931880
addsgn 1A6A7F9A5583EE8FF42B627DA804DEC9E946303A4536D387A09333E9501ABD80EFDB0F9BF29951CA16B8B1C446163DD72854 04F1B9D233C8D5AAB80B35090E77 8 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\SAFEBROWSERDLL.DLL
bl 23E6942FA11DC181D740B2E2D5A8B668 332616
addsgn 71905392541F499A6FD0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023DB0F9BF2995185E74C4853C52B119E79CF E806788F3BC0AE9BACAC23FEFF6F 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BDMREPORT.DLL
bl 00DD64B08BBB6C88A2A29835891EDB7B 1091976
addsgn 71905392541F499AE7D2AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023DB3C7222119059D4A5A4DB4B06B6DF599B E562AAFF986820675B0AEB422F63 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\DYNPLUGINS\FIXSEPLUGIN.DLL
bl A1B0A697D70142EC9CBDEE934F43D9AB 86856
addsgn 71905392541F499A12D0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023E8E62F9F558DB60EEC259F56E96C92DCDF F88D70BA112C3D1F3511C716468C 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\DYNPLUGINS\HOSTPLUGIN.DLL
bl 76E99BA43290AAF93FA900E08948C08F 373576
addsgn 71905392541F499A72D0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB3402394FEC33B508D495FADD114AA95A5F2FE3B 10AF49FE4223017380E604851FE7 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\DYNPLUGINS\ARKIT.DLL
bl E6BD1B35BDCA7A71CA9F966A3FC31EE2 66376
addsgn 71905392541F499A48D0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023E8E643BF558DB60E98059F56E96CDAFCDF F81A84AFB03C4988912FC70622F8 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BDMDOWNLOAD.DLL
bl 37743968455DA6232200E6823C73B65B 108936
addsgn 71905392541F499A14D0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB340237DD73FD64F9C59C34E859F46952C067D20 A5622DE03B61255CE9234E4B2A8C 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BDMNET.DLL
bl AD6C0BC96A9B6960F1C6561D90628E44 1231240
addsgn 71905392541F499AF7D7AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023DB3C7236309059E74C48538ADA8536B113 24BEAAFFAC49206768E30BCAEEBF 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\PLUGINS\HIPS.DLL
bl 151AA60CDC3D86452226CA9B46FD1A89 2050440
addsgn 71905392541F499A24D2AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023E8E61B38428DCA1684088256163DD72854 04F1B9D233C8D5AAB80B35090E77 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\DRIVERMANAGER.DLL
bl E4BF715CD6BC2E1971A4479EEF4D5C32 178568
addsgn 71905392541F499A54D7AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB340234248BBBFB9B54A2B8027A71814597370EB B6704553A51C7375B4A6DA2A7C71 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\AD.DLL
bl A86F6F8D5321BD5A82F73033FA64FF9D 473480
addsgn 71905392541F499AA2D7AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023E8E65F4D518D85E74C48538ADA8536B15F 113226CF30D50D04A22062C4F193 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\PLUGINS\BAIDUREPAIR.DLL
bl E43F340F30090EE56BBFD6679414C4C3 203144
addsgn 71905392541F499A6FD0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB340237DCBEF4EF39C59C35D809F46E93CF2FEBA 1472BDA54BD3D22E2D6A2B8D679F 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BDKITUTILS.DLL
bl D0AC64F41ABB41889AEB9E182DAF6877 62280
addsgn 71905392541F499A48D0AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023E8E65BBF558DB60E90059F56E96CE2FCDF F81A14ABB03C4988912FC70622F8 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\DYNPLUGINS\FILEUPDATEPLUGIN.DLL
bl DA92920D763FB8C3990C8FC90FF7E06E 349000
addsgn 71905392541F499AC0D7AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023FE86533E5551B60E48F69C56DA8536B113 248D7006C22F3D8881CFB50532BF 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\DYNPLUGINS\ASSISTREPORTPLUGIN.DLL
bl 6A554CA0ED87451611A7F89FA5A34073 369480
addsgn 71905392541F499A48D3AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023E8E647BD568DB60E94079C56DA8536B113 24BE99167CE0E1BB68ACFADAC877 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BDLOGICUTILS.DLL
bl 360557503E4D6FC8BA2453AC045C642C 760200
addsgn 71905392541F499A59D2AEB19BBC3601AEC6D8E602AE3B746D0E3B43AF8FB34023DB0F9BF2995185E74C7BBA2E8541EAB113 24BE99167CE0E1BB24D6877537F3 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\7Z.DLL
bl F6E2648CA5C81B480F74B04E43BC4D58 368520
addsgn 71905392541F499ABE98AEB19BBC3601AEC6D8E602AE3B746D2E3B43AF8FB340234248BBBFB9B54A2B8027D73A135973709B 94774553A56C5172B4A6DA3A5E76 64 baidu

zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\SAFEBROWSERHELPER.DLL
bl 442A27B8C9B736BD5EDC19A45D935855 55112
addsgn 79132211B9E9317E0AA1AB59CADF1205DAFFF47DC4EA942D892B2942AF292811E11BC33D323DCDD32B906C045316497108D7 6D8421AF33110DB0A43FC4736119 64 baidu

deldir %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU
deldir %SystemDrive%\PROGRAM FILES\BAIDU
deldir %SystemDrive%\PROGRAM FILES\BAIDUEX
chklst
delvir

deltmp
czoo
restart В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
Если архив отсутствует, то заархивруйте папку ZOO (http://safezone.cc/threads/19310) с паролем virus.
Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Подробнее читайте в этом руководстве (http://safezone.cc/threads/14509/#post-79352).


Еще раз повторите лог uVS (http://safezone.cc/threads/14508/#post-79351). С ответом постарайтесь не затягивать.

[skripkina_i]

все отправили

[Sandor]

Сделаем по-другому:

Скачайте ComboFix здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://safezone.cc/threads/18577/). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, заархивируйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/threads/2773)

[skripkina_i]

Что дальше

[Sandor]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::

File::


Driver::
BD0001
BD0002
bd0001
bd0002

Folder::
c:\documents and settings\All Users\Application Data\Baidu
c:\program files\Common Files\Baidu
c:\program files\BaiduSd3.0
c:\windows\system32\config\systemprofile\Application Data\Baidu
c:\documents and settings\LocalService\Application Data\Baidu

Registry::


FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[skripkina_i]

Вчера выключили свет, шлем вам отчет

[Sandor]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::

File::
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\drivers\BDArKit.SYS
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\BDSafeBrowser.sys

Driver::
BDSGRTP

Folder::


Registry::


FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[skripkina_i]

сделали

[Sandor]

Пожалуйста, переместите программу Combofix и следующий скрипт в корень диска C:

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::


File::
c:\windows\system32\drivers\BDMWrench.sys
c:\windows\system32\drivers\BDArKit.SYS
c:\windows\system32\drivers\bd0001.sys
c:\windows\system32\drivers\bd0004.sys
c:\windows\system32\drivers\BDSafeBrowser.sys
c:\documents and settings\Work\an.bat
c:\documents and settings\Work\sd.bat
c:\windows\system32\DRIVERS\BDAntiExp.sys

Driver::
BD0001
bd0002
BDMWrench
BDArKit

Folder::


Registry::


FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[skripkina_i]

отправляем

[Sandor]

Пожалуйста, загрузитесь в безопасном режиме и повторите предыдущий скрипт. Новый отчет покажите.

[skripkina_i]

Пожалуйста

[Sandor]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).

Выполните скрипт в АВЗ (http://forum.oszone.net/post-1430637-4.html) (Файл - Выполнить скрипт):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteSysClean;
BC_DeleteFile('c:\windows\system32\drivers\bd0004.sys');
BC_DeleteFile('c:\windows\system32\drivers\BDSafeBrowser.sys');
BC_DeleteSvc('bd0004');
BC_DeleteSvc('BDSafeBrowser');
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.


Подготовьте еще раз лог uVS (http://safezone.cc/threads/14508/#post-79351).

[skripkina_i]

Это сделали ,все.

[Sandor]

Приближаемся к финишу))

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/threads/18577/).
Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
;uVS v3.85.2 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
BREG
delall %SystemDrive%\PROGRAM FILES\BAIDU\BAIDUSD\2.1.0.3086\BDKVDESKBAND.DLL
delall %Sys32%\DRIVERS\BDANTIEXP.SYS
restart В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
Подробнее читайте в этом руководстве (http://safezone.cc/threads/14509/#post-79352).

Еще раз контрольный лог uVS.

[skripkina_i]

надеюсь это финиш :)

[Sandor]

Да, в логе чисто.

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

http://safezone.cc/images/combofix-uninstall.jpg

Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe), запустите, нажмите Clean up

И в заключение:

Выполните скрипт в AVZ (http://forum.oszone.net/post-1430637-4.html) при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Рекомендации после лечения. (http://forum.oszone.net/post-1838507-9.html)