• Внимание. Восстановление баз 1С7, 1C8 и Mssql после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

Решена Финальная чистка системы - Rusfolder

Статус
В этой теме нельзя размещать новые ответы.

Arhc

Активный пользователь
Сообщения
12
Реакции
0
Баллы
171
Друзья, помогите дочистить систему после нежелательной установки загрузчика с сайта rusfolder. Своими силами удалил , что мог , но остались кое-какие следы. Логи прилагаются
 

Вложения

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
12,456
Реакции
6,033
Баллы
1,008
Здравствуйте!

ComboFix не надо было самостоятельно запускать. Прикрепите его лог.

+

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Puntо Switсhеr.lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооglе Сhrоmе.lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnеt Ехplоrеr Вrоwsеr.lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Моzillа Firеfох.lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk', '');
QuarantineFile('C:\Users\FedAl\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Lоgitесh Wеbсаm Sоftwаrе .lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Logitech\Lоgitесh Wеbсаm Sоftwаrе.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FIFA 15 Ultimate Team Edition\FIFА 15 Ultimаtе Теаm Еditiоn.lnk', '');
QuarantineFile('C:\Program Files (x86)\Google\chrome.bat', '');
QuarantineFile('C:\firefox.bat', '');
QuarantineFile('C:\Program Files (x86)\punto.bat', '');
QuarantineFile('C:\iexplore.bat', '');
QuarantineFile('C:\Program Files (x86)\Common Files\LogiShrd\LWSPlugins\LWS\launchershortcut.bat', '');
QuarantineFile('D:\Launcher.bat', '');
DeleteFile('C:\Program Files (x86)\Google\chrome.bat', '32');
DeleteFile('C:\iexplore.bat', '32');
DeleteFile('C:\Program Files (x86)\Google\chrome.bat', '');
DeleteFile('C:\firefox.bat', '');
DeleteFile('C:\Program Files (x86)\punto.bat', '');
DeleteFile('C:\iexplore.bat', '');
DeleteFile('C:\Program Files (x86)\Common Files\LogiShrd\LWSPlugins\LWS\launchershortcut.bat', '');
DeleteFile('D:\Launcher.bat', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(2);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
после выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

- Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
 

Arhc

Активный пользователь
Сообщения
12
Реакции
0
Баллы
171
Старый combofix + лог check_browsers после выполнения скрипта. Результаты повторной диагностики в след сообщении
 

Вложения

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
12,456
Реакции
6,033
Баллы
1,008
Результаты повторной диагностики в след сообщении
ок, ждём.

+ Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"



Скачайте OTCleanIt, запустите, нажмите Clean up.
 

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
12,456
Реакции
6,033
Баллы
1,008
что с проблемой?
 

Arhc

Активный пользователь
Сообщения
12
Реакции
0
Баллы
171
В принципе проблема была в покоцанных ярлыках. Ну и хотелось окончательно уничтожить следы . Я так полагаю, что на данном этапе мы справились? У Вас есть еще советы?
 

regist

гоняюсь за туманом
Ассоциация VN/VIP
VIP
Разработчик
Сообщения
12,456
Реакции
6,033
Баллы
1,008
Выполните скрипт в AVZ при наличии доступа в интернет:

Код:
var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

Arhc

Активный пользователь
Сообщения
12
Реакции
0
Баллы
171
Вот уязвимости. Приступаю к обновлению.
В принципе проблема была в покоцанных ярлыках. Ну и хотелось окончательно уничтожить следы . Я так полагаю, что на данном этапе мы справились? У Вас есть еще советы?
 

Вложения

Последнее редактирование:
Статус
В этой теме нельзя размещать новые ответы.
Сверху Снизу