Решена Касперский обнаружил вирус - Trojan.Multi.GenAutorunReg.a

Статус
В этой теме нельзя размещать новые ответы.

Flame

Новый пользователь
Сообщения
6
Реакции
0
Касперский обнаружил вирус и выдает такое сообщение:
Обнаружено активное вредоносное программмное обеспечение:
Троянская программа: System Memory : Trojan.Multi.GenAutorunReg.a

И предлагает лечить с перезагрузкой.
Но все бесполезно. После лечения и перезагрузки появляется то же сообщение об активном заражении

Проявляется действие вируса пока только так:
Например, я захожу на сайт:
https://ihelper.ug.mts.ru/selfcare/tariff-change.aspx

А меня перебрасывает на этот сайт:
Whiteads.men
 

Вложения

  • report2.log
    1.6 KB · Просмотры: 5
  • CollectionLog-2018.01.24-11.21.zip
    92.2 KB · Просмотры: 4
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код:
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files (x86)\aohGTEheqdnWC\DZaAHAT.dll', '');
 QuarantineFile('C:\Program Files (x86)\RrHYXuUpocPTIXdsppR\PwFJWFA.dll', '');
 QuarantineFile('C:\Program Files (x86)\umkISPBbU\IQziVL.dll', '');
 QuarantineFile('C:\Users\User\AppData\Local\unityp\unityp.exe', '');
 DeleteFile('C:\Program Files (x86)\aohGTEheqdnWC\DZaAHAT.dll', '32');
 DeleteFile('C:\Program Files (x86)\RrHYXuUpocPTIXdsppR\PwFJWFA.dll', '32');
 DeleteFile('C:\Program Files (x86)\umkISPBbU\IQziVL.dll', '32');
 DeleteFile('C:\Users\User\AppData\Local\unityp\unityp.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\BcyoMZkjXMgFaPP', '64');
 DeleteFile('C:\Windows\system32\Tasks\BcyoMZkjXMgFaPP2', '64');
 DeleteFile('C:\Windows\system32\Tasks\plaAVjRQXWCDePSecyr', '64');
 DeleteFile('C:\Windows\system32\Tasks\plaAVjRQXWCDePSecyr2', '64');
 DeleteFile('C:\Windows\system32\Tasks\saKXaLnxQURzlMgex', '64');
 DeleteFile('C:\Windows\system32\Tasks\saKXaLnxQURzlMgex2', '64');
 DeleteFile('C:\Windows\system32\Tasks\unityp', '64');
 DeleteFile('C:\Windows\Tasks\BcyoMZkjXMgFaPP.job', '32');
 DeleteFile('C:\Windows\Tasks\plaAVjRQXWCDePSecyr.job', '32');
 DeleteFile('C:\Windows\Tasks\saKXaLnxQURzlMgex.job', '32');
 DelBHO('{C0D38E5A-7CF8-4105-8FE8-31B81443A114}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'uuzccckaep');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.

Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.


Полученный архив отправьте при помощи этой формы

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код:
O22 - Task (Job): (Running) BcyoMZkjXMgFaPP.job - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\umkISPBbU\IQziVL.dll",#1
O22 - Task (Job): (Running) plaAVjRQXWCDePSecyr.job - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\aohGTEheqdnWC\DZaAHAT.dll",#1
O22 - Task (Job): (Running) saKXaLnxQURzlMgex.job - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\RrHYXuUpocPTIXdsppR\PwFJWFA.dll",#1
O22 - Task: BcyoMZkjXMgFaPP - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\umkISPBbU\IQziVL.dll",#1
O22 - Task: BcyoMZkjXMgFaPP2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\umkISPBbU\IQziVL.dll",#1
O22 - Task: plaAVjRQXWCDePSecyr - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\aohGTEheqdnWC\DZaAHAT.dll",#1
O22 - Task: plaAVjRQXWCDePSecyr2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\aohGTEheqdnWC\DZaAHAT.dll",#1
O22 - Task: pnIxobGIUDXdNt - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\TwPufLOWyrxU2\EIxQJzViKVRLW.dll",#1
O22 - Task: saKXaLnxQURzlMgex - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\RrHYXuUpocPTIXdsppR\PwFJWFA.dll",#1
O22 - Task: saKXaLnxQURzlMgex2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\RrHYXuUpocPTIXdsppR\PwFJWFA.dll",#1

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
  • Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.
 
Последнее редактирование:
@Flame, ждем отчет AdwCleaner:
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Привет!
Я в прошлый раз запускал те утилиты, что Вы мне указали, и тогда были результаты:

1) AVZ нашел и удалил вот такой файл:
C:\Users\User\AppData\Local\unityp\unityp.exe

2) HijackThis нашел вот эту строку и я пофиксил её:
O22 - Task: pnIxobGIUDXdNt - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\TwPufLOWyrxU2\EIxQJzViKVRLW.dll",#1

Я к этому сообщению прикрепляю файл quarantine_old.zip оставшийся от прошлого запуска.

Сегодня я запустил AdwCleaner (файл "AdwCleaner[S1].txt" я тоже прикрепляю, как и файл
"AdwCleaner[S0].txt" - я так понимаю, он остался с прошлого запуска), но сегодня, похоже,
AdwCleaner никого не поймал.

Я запустил после этого по предыдущим инструкциям еще раз и AVZ, и HijackThis, но они тоже ничего не поймали (нет тех строчек, которые я привёл и которые в прошлый раз возникали из ниоткуда после успешного лечения).
+ лог от HijackThis
 

Вложения

  • AdwCleaner[S0].txt
    11 KB · Просмотры: 1
  • AdwCleaner[S1].txt
    2.5 KB · Просмотры: 3
  • HiJackThis-2018-02-06.log
    37.7 KB · Просмотры: 3
C:\Users\User\AppData\Local\unityp\unityp.exe
VirusTotal

- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Здравствуйте!
Вот подготовил необходимые для вас файлы:
 

Вложения

  • AdwCleaner[C1].txt
    2.2 KB · Просмотры: 2
  • Addition.txt
    39.4 KB · Просмотры: 1
  • FRST.txt
    33.2 KB · Просмотры: 4
  • Shortcut.txt
    242.7 KB · Просмотры: 1
Через Панель управления - Удаление программ - удалите нежелательное ПО:

Затем:
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код:
    Start::
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
    Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OrbitumUpdate.lnk [2018-02-07]
    ShortcutTarget: OrbitumUpdate.lnk -> C:\Users\User\AppData\Local\Orbitum\Application\OrbitumUpdater\OrbitumUpdater.exe (The Orbitum Authors)
    GroupPolicy: Restriction - Windows Defender <==== ATTENTION
    GroupPolicy\User: Restriction <==== ATTENTION
    SearchScopes: HKU\S-1-5-21-3516503499-717805477-51729959-1000 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
    SearchScopes: HKU\S-1-5-21-3516503499-717805477-51729959-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
    SearchScopes: HKU\S-1-5-21-3516503499-717805477-51729959-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B50783CEB-18A7-452A-BCDE-8376F28E3814%7D&gp=820340
    Toolbar: HKU\S-1-5-21-3516503499-717805477-51729959-1000 -> No Name - {724D43A0-0D85-11D4-9908-00400523E39A} -  No File
    FF Homepage: Mozilla\Firefox\Profiles\mdk7rda8.default-1480843197173 -> hxxps://inline.go.mail.ru/homepage?inline_comp=hp&inline_hp_cnt=11956636
    FF NetworkProxy: Mozilla\Firefox\Profiles\mdk7rda8.default-1480843197173 -> backup.ftp", ""
    FF NewTabOverride: Mozilla\Firefox\Profiles\mdk7rda8.default-1480843197173 -> Enabled: "id":"{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7
    FF Extension: (Домашняя страница Mail.Ru) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\mdk7rda8.default-1480843197173\Extensions\homepage@mail.ru.xpi [2017-11-01]
    FF Extension: (Mail.Ru) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\mdk7rda8.default-1480843197173\Extensions\search@mail.ru.xpi [2017-12-21]
    FF Extension: (Пульт) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\mdk7rda8.default-1480843197173\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7}.xpi [2017-11-01]
    FF Extension: (Adblocker for Youtube™) - C:\Program Files (x86)\Mozilla Firefox\browser\features\{A5FD4672-4D73-4F90-A1C0-2ABD39DB2565}.xpi [2018-01-02] [not signed]
    S2 LiveUpdateSvc; C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe [X]
    2018-02-02 11:13 - 2018-02-02 11:13 - 000002216 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Orbitum.lnk
    2018-02-02 11:13 - 2018-02-02 11:13 - 000002208 _____ C:\Users\User\Desktop\Orbitum.lnk
    2018-02-02 11:08 - 2018-02-07 18:13 - 000001036 _____ C:\Windows\Tasks\OrbitumUpdateTaskUserS-1-5-21-3516503499-717805477-51729959-1000UA.job
    2018-02-02 11:08 - 2018-02-07 11:13 - 000000984 _____ C:\Windows\Tasks\OrbitumUpdateTaskUserS-1-5-21-3516503499-717805477-51729959-1000Core.job
    2018-02-02 11:08 - 2018-02-02 11:13 - 000000000 ____D C:\Users\User\AppData\Local\Orbitum
    2018-02-02 11:08 - 2018-02-02 11:08 - 000004004 _____ C:\Windows\System32\Tasks\OrbitumUpdateTaskUserS-1-5-21-3516503499-717805477-51729959-1000UA
    2018-02-02 11:08 - 2018-02-02 11:08 - 000003608 _____ C:\Windows\System32\Tasks\OrbitumUpdateTaskUserS-1-5-21-3516503499-717805477-51729959-1000Core
    Task: {E564D04F-3BBD-4A24-8BC4-2C6B309D5918} - \unityp -> No File <==== ATTENTION
    Task: {F0FE4F8A-1B69-42A6-B769-1D5CDBC3009E} - \initwin -> No File <==== ATTENTION
    Task: {F985EBB9-09F9-4C76-92AC-156C520EA6C6} - \unitypz -> No File <==== ATTENTION
    AlternateDataStreams: C:\Users\User\AppData\Local\iHrMa3s1s:ZSK0fGNlufX8c7FxmxSavNq [2258]
    FirewallRules: [{0145EF0E-A136-43A4-9639-709FDE2D7ABE}] => (Allow) C:\program files (x86)\common files\tencent\qqdownload\130\tencentdl.exe
    EmptyTemp:
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
  • Like
Реакции: akok
Привет!
Вот нужный вам файл:
 

Вложения

  • Fixlog.txt
    8.9 KB · Просмотры: 2
Проблемы еще наблюдаются?
 
Дело в том, что Касперский не сразу после перезагрузки выдает это сообщение.
Может пройти 10 минут, а может и 30
Я напишу вам позже, проявился ли вирус или нет.

В ваших рекомендациях, мне было необходимо, удалить свой новый браузер Орбитум .
Я могу его снова установить? Заражение произошло задолго до его устанвки.
 
И пока финальные рекомендации, если все пойдет хорошо
Подготовьте лог лог SecurityCheck by glax24

Ознакомьтесь: Рекомендации после лечения

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:
  1. Запустите AVZ.
  2. Выполните обновление баз (Меню Файл - Обновление баз)
  3. Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
  4. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
  5. Закачайте полученный архив, как описано на этой странице.
  6. Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: RGhost, Zippyshare, My-Files.RU, karelia.ru, Ge.tt или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.
 
Привет!
Прошло уже три дня после лечения и проблемы с вирусом больше нет!
Сделал, что указано у вас в инструкциях и высылаю файл.
Архив отправлен через сайт, вот сведения о нем: MD5: 17430881EA9CA2EE2FB932CD7DD0BAFB

Большое Спасибо за помощь!
 

Вложения

  • SecurityCheck.txt
    8.7 KB · Просмотры: 2
Исправьте по возможности.
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.0.9600.18449 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
--------------------------- [ OtherUtilities ] ----------------------------
WinRAR 5.21 (64-разрядная) v.5.21.0 Внимание! Скачать обновления
Oracle VM VirtualBox 5.0.10 v.5.0.10 Внимание! Скачать обновления
--------------------------- [ AdobeProduction ] ---------------------------
Adobe AIR v.3.1.0.4880 Внимание! Скачать обновления
Adobe Flash Player 23 ActiveX v.23.0.0.185 Внимание! Скачать обновления
Adobe Flash Player 19 NPAPI v.19.0.0.245 Внимание! Скачать обновления
----------------------------- [ EmailClient ] -----------------------------
The Bat! v7.0.0 (64-bit) v.7.0.0 Внимание! Скачать обновления
 
Статус
В этой теме нельзя размещать новые ответы.
Назад
Сверху Снизу