Итак сегодня мне снова попался на глаза вирус igfxtray.exe (Win32/TrojanDownloader.Carberp.AD — вроде так он зовется в Nod’ом)

Судя по названию вирус «притворяется» файлом, относящимся к драйверам на встроенную видеокарту Intel — Эта программа устанавливается с драйверами для интегрированной графии Intel и используется для различных настроек через иконку в панели задач. Не стоит их путать. Файл относящийся к Intel располагается в %Windir%/system32

Этот же паразит располагается либо В папке %APPDATA%, либо чаще встречается в %USERPROFILE%\Главное меню\Программы\Автозагрузка

С файлом igfxtray.exe может идти также и файл igfxtray.dat

Симптомы:

1) igfxtray блокирует доступ в браузерах к интернету, при этом Skype, Mail-агент, TeamViewer и прочие программы не относящиеся к браузерам, вполне себе нормально работают.

2) Компьютер начинает ощутимо подтормаживать, возможны зависания, «пропажа» информации на диске при переходе по папкам и т.д.

Защита

На этом компьютере был установлен антивирус Avast. Впрочем неудивительно, очень частно замечаю, что именно он пропускает этот вирус. Хотя ранее встречался и Nod32 — но видимо обновленные вирусные базы помогают заблокировать его сейчас. После успешного удаления вируса, был установлен именно Nod32

Инструменты

Удаление вируса производилось на этот раз без использования LiveCD (я пользуюсь Live CD Lex-Pex), хотя используя его все было бы гораздо проще, просто хотелось посмотреть возникли бы сложности без его участия. Как оказалось никаких проблем в удалении нет.

Программами, которыми я пользовался во время удаления: Total Commander (shareware-версию можно скачать тут), Autoruns, Unlocker, AVZ ну и пожалуй aswclear — для удаления антивируса Avast

Решение:

Рассмотрим подробно как от него избавится. Компьютер с которым я имел дело, видимо был заражен не только этим вирусом, но и ранее вирусом netprotocol — по крайней мере следы от него остались.

Хотелось бы заметить что за вас всю работу может сделать утилита CureIt, но в нашем случае мы подчистим даже от того, что CureIt делать точно не будет, а именно удалим не только само тело вируса — но и «потроха» относящиеся к нему.

Итак, в Total Commander заходим на системный диск. Видим следующую картину:

Видим непонятные название папок, наподобие 3aiOVQ5DGHHMHH5, gXWtglLVONwOh6V и т.д.

Это как раз и есть признак того что в системе находится вирус igfxtray -он создает в корне диска, папки с такими именами, и так как он находится в памяти, даже после удаления этих папок, на диске снова создаются новые папки с такими же «тупыми» названиями.

Так что пока их можно не трогать, хотя можете и удалить их.

Идем дальше, по пути %TMP% — видим следующее

не знаю, относятся ли эти файлы к вирусу igfxtray, на мой взляд нет, раньше такого не встречал, да и дата не соответствует, но то что это ненужные «остатки» от какого то вируса или какой нибудь ранее устанавливаемой программы — сомнений не вызывает

Также если пролистать файлы можно найти

Это скорее всего файлы относящиеся к вирусу netprotocol — и никакого отношения к igfxtray не имеют. Встречал такие названия файлов именно с вирусом netprotocol. Видимо антивирус недоработал и почистил не все.

Выделяем все (Ctrl+A) и смело удаляем все что в этой папке.

На удивление абсолютно все файлы и каталоги удалились, без каких нибудь проблем. (Если какие то файлы будут «цеплятся за жизнь» воспользуйтесь программой Unlocker)

Идем дальше %USERPROFILE%\Local Settings\Temporary Internet Files\Content.IE5\

Выделяем все папки и удаляем их.

Далее переходим в %APPDATA%

Здесь мы встречаем igfxtray.dat, множество файлов *.tmp + каталоги с «дурацкими» названиями. Выделяем все это (INS) и удаляем (SHIFT+DEL).

В этот раз нам не так повезло

Интересно, вроде бы файл есть и его нет — это тоже особенность этого вируса. Ведь если посмотреть на каталог после удаления (выйти из него и снова зайти)

то файл остается на месте, что же вернемся к нему попозже, либо просто подчистите систему от него с помощью Unlocker  -согласившись на удаление файла после перезагрузки компьютера.

Переходим в %WINDIR%\Temp

Здесь также наблюдаем огромное количество временных файлов, и исполняемых файлов с непонятными именами.

Также выделяем здесь все (Ctrl+A) и удаляем.

Так, временные папки почищены.

Что же, теперь поищем вирусы в не совсем стандартных местах.

Для этого запускаем программу autoruns.

Итак, видим следующее

Здесь как раз мы видим те самые вирусы которые мы еще не нашли.

Итак Файлы 3RGYU6fvr98.exe и XT83ibJLcRc.exe находятся в каталоге %USERPROFILE%\Главное меню\Программы\Автозагрузка

Вообще говоря я ожидал в этом каталоге увидеть igfxtray.exe , т.к. ранее очень часто встречался с ним именно здесь — о похоже это одна из его модификаций и встретиться с ним нам не получится.

Обратите внимание, что у  файлов есть описание и производитель, причем у первого файла производитель написан как Microsoft Corporation — совсем наглость потеряли)) Если бы не название файла можно было и посомневаться в его происхождении.

Второй же файл подписан типично для таких вирусов — «тупо» видимо название берется рандомно.

Здесь же видим что в системе находился таки вирус Netprotocol — но был давно удален (file not found), а также lsass.exe — также уже удаленный (может нами при чистке каталога в котором он находился %APPDATA% , а может и ранее — впрочем не важно)

Итак, приступим к удалению 3RGYU6fvr98.exe и XT83ibJLcRc.exe

При удалении этих файлов (DEL) из программы autoruns выдается ошибка.

Что же, пойдем другим путем. Находим файлы в Total Commander

С помощью Unlocker — разблокируем их, и удаляем

После чего перезагружаем компьютер

Как только компьютер загрузится, заходим на системный диск подчищаем каталоги с дурацкими названиями, заходим в %APPDATA% — убеждаемся в отсутствии файла igfxtray.dat (если он есть — удаляем)

Заходим в autoruns, подчищаем от ненужных программ таких как netprotocol и lsass + убираем из автозапуска не нужные программы.

После очистки у меня получилось так:

Теперь займемся антивирусом (я его устанавливал во время удаления вируса, впрочем очередность не так важна)

Нам нужно удалить avast — т.к. надежности от него никакой, и поставить, в моем случае, Eset Nod32.

Проблема заключается в том что В Установка и удалении программ — данный антивирус отсутствует

При этом безопасный режим не загружается — появляется BSOD с ошибкой 0x7B.

Тут нам и пригодится программа AVZ. С помощью нее восстанавливаем систему (Файл — Восстановление системы)

Выделяем необходимые пункты (главное в нашем случае выполнить 10 пункт) и Выполняем отмеченные операции

перегружаемся и запускаем безопасный режим (F8 перед приветствием Windows)

В нем уже запускаем на выполнение файл для удаление антивируса Avast — aswclear.exe

Ждем пока пройдет удаление антивируса, пере загружаемся в обычном режиме и ставим Nod32

Что же, все задачи выполнены, вирус igfxtray удален, более надежный антивирус поставлен.

Для полного успокоения все же рекомендую скачать сканер CureIt и полностью просканировать систему (ну или хотя бы выполнить быструю проверку)

Удачи!