[решено] Диспетчер задач перегружен процессами calc.exe*32

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

Диспетчер задач перегружен процессами calc.exe*32

Доброго времени суток! Проблема стара как мир, зараженная флешка подключенная в период отключения антивирусной программы привела к заражению компьютера. Любой флеш-накопитель, вставленный в порт, становится зараженным, файлы меняются на ярлыки. Процессы calc.exe*32 не закрываются, само приложение калькулятор находится в папке SysWOW64, весит 758 KB. Видел, что на форуме вы уже помогали пользователю с такой проблемой, поэтому и решил обратиться. Лог прикрепляю к сообщению.

Заранее благодарю за помощь!

Здравствуйте,

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 TerminateProcessByName('C:\Users\Faust\AppData\Roaming\Microsoft\Windows\Zafmfl.exe');

 TerminateProcessByName('C:\Users\Faust\AppData\Roaming\Windows Live\hrxjroctku.exe');

 TerminateProcessByName('C:\Users\Faust\appdata\roaming\windowsupdate\live.exe');

 TerminateProcessByName('C:\Users\Faust\appdata\roaming\windowsupdate\mobsync.exe');

 QuarantineFile('C:\Users\Faust\appdata\roaming\c731200','');

 QuarantineFile('C:\Users\Faust\AppData\Roaming\Microsoft\Windows\Zafmfl.exe','');

 QuarantineFile('C:\Users\Faust\AppData\Roaming\Windows Live\hrxjroctku.exe','');

 QuarantineFile('C:\Users\Faust\appdata\roaming\windowsupdate\live.exe','');

 QuarantineFile('C:\Users\Faust\appdata\roaming\windowsupdate\mobsync.exe','');

 QuarantineFile('C:\Users\Faust\appdata\roaming\windowsupdate\updater.exe','');

 DeleteFile('C:\Users\Faust\appdata\roaming\c731200','32');

 DeleteFile('C:\Users\Faust\AppData\Roaming\Microsoft\Windows\Zafmfl.exe','32');

 DeleteFile('C:\Users\Faust\AppData\Roaming\Windows Live\hrxjroctku.exe','32');

 DeleteFile('C:\Users\Faust\appdata\roaming\windowsupdate\live.exe','32');

 DeleteFile('C:\Users\Faust\appdata\roaming\windowsupdate\mobsync.exe','32');

 DeleteFile('C:\Users\Faust\appdata\roaming\windowsupdate\updater.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Sync Center');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live Installer');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Live');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Installer');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Zafmfl');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Zafmfl','command');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

Код:

begin

 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Подготовьте лог AdwCleaner.

Отправил:) AVZ после второго скрипта сообщил, что скрипт выполнен верно.

Процессы из диспетчера задач пропали, машина летает! :D
Вот лог AdwCleaner:

И еще такой вопрос. Флешки, которые вирус изменял, также являются носителями, так? Как их теперь отформатировать так, чтобы не запустить заразу снова?

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.