Решена Похоже в системе присутствует вирус

[nickrukos]

В системе видна подозрительная вирусная активность:
1) Похоже повредился загрузчик ОС, т.к. самопроизвольно произошло переключение загрузчика с русского на английский язык (О.С. - Windows 7 Corporate Edition);
2) Самопроизвольно пытаются войти в Интернет процессы с бессмысленными именами типа ml20201102.exe, установленный vipenet их не пускает;
3) неоправданно 'течет' оперативная память: через 5-6 часов работы 8Гб ОП оказываются занятыми;
4) установленный лицензионный McAfee LiveSafe самопроизвольно отключается, сейчас он удален;
5) ситуация чем-то похоже на описанную на этом форуме:

https://safezone.cc/threads/majner-i-virus-kotoryj-blochit-ustanovku-antivirusov.36788/

Уважаемые коллеги, прошу Вашей помощи в лечении системы.
Переустанавливать ОС ввиду интенсивной удаленной работы возможности не имею .
Требуемые в правилах оформления запроса логи приложены.
Заранее спасибо.

 

[Sandor]

Здравствуйте!

Пролечите систему с помощью KVRT.
После этого соберите новый CollectionLog Автологером.

 

[nickrukos]

6) Также отключились службы обновления и Windows Defender. Включить их стандартными средствами невозможно.

 

[Sandor]

Описания проблемы достаточно
Выполняйте рекомендацию.

 

[nickrukos]

Доброго времени суток!
Прикладываю логи после лечения KVRT,
Сегодня проверю "течет" ли теперь память

 

[Sandor]

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

{Исправление в службах в реестре, значения ImagePath.
Данный скрипт распространяется свободно и может быть модифицирован по согласованию с авторами - представителями SafeZone.cc
При публикации скрипта данный комментарий и ссылка на VirusNet.Info обязательна. }
var DescriptionTextWuauServ, DispayNameTextWuauServ, DescriptionTextBITS: String;
DispayNameTextBITS, FullPathSystem32, NameFolderSystem32, FileServiceDll: String; 
ImagePathStr, RootStr, SubRootStr, LangID: string;
AllRoots, AllKeys, RootsRestored, KeysRestored, KeysFixed: integer;
FinishMsg, RestoreMsg, FixMsg, CheckMsg: String;
RegSectMsg, ParamMsg, ParamValueMsg, InRegSectMsg, CorrectMsg, RestMsg: String;

procedure CheckAndRestoreSection(Root: String);
begin
Inc(AllRoots);
if RegKeyExistsEx('HKLM', Root) then
   RegKeyResetSecurity('HKLM', Root)
else
  begin
    Inc(RootsRestored);
    RegKeyCreate('HKLM', Root);
    AddToLog(RegSectMsg + Root + RestMsg);
   end;
end;

procedure CheckAndRestoreSubSection;
begin
  CheckAndRestoreSection(SubRootStr);
end;

procedure RestoredMsg(Root, Param: String);
begin
  AddToLog(ParamMsg + Param + InRegSectMsg + Root + RestMsg);
  Inc(KeysRestored);
end;

procedure FixedMsg(Root, Param: String);
begin
  AddToLog(ParamValueMsg + Param + InRegSectMsg + Root + CorrectMsg);
  Inc(KeysFixed);
end;

procedure RestoreStrParam(Root, Param, Value: String);
begin
  RegKeyStrParamWrite('HKLM', Root, Param, Value);
  RestoredMsg(Root, Param);
end;

procedure CheckAndRestoreStrParam(Root, Param, Value: String);
begin
  Inc(AllKeys);
  if not RegKeyParamExists('HKLM', Root, Param) then
    RestoreStrParam(Root, Param, Value);
end;

procedure CheckAndRestoreIntParam(Root, Param: String; Value: Integer);
begin
Inc(AllKeys);
if not RegKeyParamExists('HKLM', Root, Param) then
  begin
    RegKeyIntParamWrite('HKLM', Root, Param, Value);
    RestoredMsg(Root, Param);
  end;
end;

procedure CheckAndRestoreMultiSZParam(Param, Value: String);
begin
Inc(AllKeys);
if not RegKeyParamExists('HKLM', RootStr, Param) then
  begin
    ExecuteFile('REG ADD HKLM\' + RootStr + ' /v ' + Param + Value, '', 0, 10000, true);
    RestoredMsg(RootStr, Param);
  end;
end;

// Исправление значения параметра ImagePath для служб 'wuauserv' и 'BITS'
procedure ImagePathFix(Node, Srv: String);
var RegStr: String;
begin
RegStr := 'SYSTEM\' + Node + '\Services\' + Srv;
if RegKeyExistsEx('HKLM', RegStr) then
  begin
    Inc(AllKeys);
    RegKeyResetSecurity('HKLM', RegStr);
    RegKeyStrParamWrite('HKLM', RegStr, 'ImagePath', ImagePathStr);
    FixedMsg(RegStr, 'ImagePath');
  end;
end;

{ Выполнение исправление всех ключей в ветках -
   'HKLM\SYSTEM\CurrentControlSet\Services\BITS' и 'HKLM\SYSTEM\CurrentControlSet\Services\wuauserv'}
procedure CorrectRegistryRoot(DescriptionText, DisplayNameText, Srv: String);
var FileServiceDll, CCSNumber: string;
     i : integer;
begin
if Srv = 'BITS' then
   FileServiceDll := FullPathSystem32 + 'qmgr.dll'
else
   FileServiceDll := FullPathSystem32 + 'wuauserv.dll';
RootStr:= 'SYSTEM\CurrentControlSet\Services\' + Srv;

CheckAndRestoreSection(RootStr);

CheckAndRestoreStrParam(RootStr, 'Description', DescriptionText);
CheckAndRestoreStrParam(RootStr, 'DisplayName', DisplayNameText);
CheckAndRestoreStrParam(RootStr, 'ObjectName', 'LocalSystem');

Inc(AllKeys);
if not RegKeyParamExists('HKLM', RootStr, 'ImagePath') then
   RestoreStrParam(RootStr, 'ImagePath', ImagePathStr)
else
  begin
    Dec(AllKeys);
    if LowerCase(RegKeyStrParamRead('HKLM', RootStr, 'ImagePath')) <> LowerCase(ImagePathStr) then
      for i:= 0 to 999 do
       begin
         if i > 0 then
           CCSNumber := FormatFloat('ControlSet000', i)
         else
           CCSNumber := 'CurrentControlSet';
         ImagePathFix(CCSNumber, Srv);
      end;
   end;

CheckAndRestoreIntParam(RootStr, 'ErrorControl', 1);
CheckAndRestoreIntParam(RootStr, 'Start', 2);
CheckAndRestoreIntParam(RootStr, 'Type', 32);

if Srv = 'BITS' then
  begin
    CheckAndRestoreMultiSZParam('DependOnService', ' /t REG_MULTI_SZ /d RpcSs');
    CheckAndRestoreMultiSZParam('DependOnGroup', ' /t REG_MULTI_SZ');
  end;

SubRootStr:= RootStr + '\Enum';
CheckAndRestoreSubSection;

CheckAndRestoreStrParam(SubRootStr, '0', 'Root\LEGACY_' + UpperCase(Srv) + '\0000');
CheckAndRestoreIntParam(SubRootStr, 'Count', 1);
CheckAndRestoreIntParam(SubRootStr, 'NextInstance', 1);

SubRootStr := RootStr + '\Security';
CheckAndRestoreSubSection;

Inc(AllKeys);
if not RegKeyParamExists('HKLM', SubRootStr, 'Security') then
  begin
    RegKeyBinParamWrite('HKLM', SubRootStr, 'Security', '01,00,14,80,78,00,00,00,84,00,00,00,14,00,00,00,30,00,00,00,02,00,1c,00,01,00,00,00,02,80,14,00,ff,00,0f,00,01,01,00,00,00,00,00,01,00,00,00,00,02,00,48,00,03,00,00,00,00,00,14,00,9d,00,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,ff,01,0f,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00');
    RestoredMsg(SubRootStr, 'Security');
  end;

SubRootStr:= RootStr + '\Parameters';
CheckAndRestoreSubSection;

Inc(AllKeys);
if not RegKeyParamExists('HKLM', SubRootStr, 'ServiceDll') then
  begin
    RegKeyParamWrite('HKLM', SubRootStr, 'ServiceDll', 'REG_EXPAND_SZ', FileServiceDll);
    RestoredMsg(SubRootStr, 'ServiceDll');
  end
else if LowerCase(RegKeyStrParamRead('HKLM', SubRootStr, 'ServiceDll')) <> LowerCase(FileServiceDll) then
  begin
    RegKeyParamWrite('HKLM', SubRootStr, 'ServiceDll', 'REG_EXPAND_SZ', FileServiceDll);
    FixedMsg(SubRootStr, 'ServiceDll');
  end
end;

{ Главное выполнение }
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
StopService('rcdll');
QuarantineFile('C:\Users\nick\AppData\Local\Temp\rcdll.exe', '');
QuarantineFile('C:\PROGRA~3\62D4A8~1\{16DBA~1.', '');
DeleteFile('C:\Users\nick\AppData\Local\Temp\rcdll.exe', '64');
DeleteFile('C:\PROGRA~3\62D4A8~1\{16DBA~1.', '64');
ClearLog;
ExpRegKey('HKLM', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'wuauserv.reg');
ExpRegKey('HKLM', 'SYSTEM\CurrentControlSet\Services\BITS', 'BITS.reg');
LangID:= RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Control\Nls\Language', 'InstallLanguage');
if LangID = '0419' then
  begin
    DescriptionTextWuauServ := 'Включает загрузку и установку обновлений Windows. Если служба отключена, то на этом компьютере нельзя будет использовать возможности автоматического обновления или веб-узел Центра обновления Windows.';
    DispayNameTextWuauServ := 'Автоматическое обновление';
    DescriptionTextBITS := 'Обеспечивает передачу данных между клиентами и серверами в фоновом режиме. Если служба BITS отключена, такие возможности, как Windows Update, не могут правильно работать.';
    DispayNameTextBITS := 'Фоновая интеллектуальная служба передачи (BITS)';
    AddToLog('Операционная система - русская');
    FinishMsg := '–––– Восстановление завершено ––––';
    RestoreMsg := 'Восстановлено разделов\параметров: ';
    FixMsg := 'Исправлено параметров: ';
    CheckMsg := 'Проверено разделов\параметров: ';
    RegSectMsg := 'Раздел реестра HKLM\';
    ParamMsg := 'Параметр ';
    ParamValueMsg := 'Значение параметра ';
    InRegSectMsg := ' в разделе реестра HKLM\';
    CorrectMsg := ' исправлено на оригинальное.';
    RestMsg := ' восстановлен.';
  end
else if LangID = '0409' then
  begin
    DescriptionTextWuauServ := 'Enables the download and installation of Windows updates. If this service is disabled, this computer will not be able to use the Automatic Updates feature or the Windows Update Web site.';
    DispayNameTextWuauServ := 'Automatic Updates';
    DescriptionTextBITS := 'Transfers data between clients and servers in the background. If BITS is disabled, features such as Windows Update will not work correctly.';
    DispayNameTextBITS := 'Background Intelligent Transfer Service';
    AddToLog('Operation system - english');
    FinishMsg := '–––– Restoration finished ––––';
    RestoreMsg := 'Sections\parameters restored: ';
    FixMsg := 'Parameters corrected: ';
    CheckMsg := 'Sections\parameters checked: ';
    RegSectMsg := 'Registry section HKLM\';
    ParamMsg := 'Parameter ';
    ParamValueMsg := 'Value of parameter ';
    InRegSectMsg := ' in registry section HKLM\';
    CorrectMsg := ' corrected on original.';
    RestMsg := ' restored.';
  end;
AddToLog('');

{ Определение папки X:\Windows\System32\ }
NameFolderSystem32 := RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Control\Windows', 'SystemDirectory');
ImagePathStr := NameFolderSystem32 + '\svchost.exe -k netsvcs';
Delete(NameFolderSystem32, 1, pos('\', NameFolderSystem32) - 1);
FullPathSystem32 := GetEnvironmentVariable('WinDir') + NameFolderSystem32 + '\';

AllRoots := 0;
AllKeys := 0;
RootsRestored := 0;
KeysRestored := 0;
KeysFixed := 0;

CorrectRegistryRoot(DescriptionTextBITS, DispayNameTextBITS, 'BITS');
CorrectRegistryRoot(DescriptionTextWuauServ, DispayNameTextWuauServ, 'wuauserv');

AddToLog('');
AddToLog(FinishMsg);
AddToLog('');
AddToLog(RestoreMsg + IntToStr(RootsRestored) + ' \ ' + IntToStr(KeysRestored));
AddToLog(FixMsg + IntToStr(KeysFixed));
AddToLog(CheckMsg + IntToStr(AllRoots) + ' \ ' + IntToStr(AllKeys));
SaveLog(RegKeyStrParamRead('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders', 'Desktop') + '\Correct_wuauserv&BITS.log');
DeleteSchedulerTask('8AEAB2F0-DC57-3FB2-906A-BF979CD089D6');
DeleteService('rcdll');
ExecuteSysClean;
ExecuteRepair(10);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

После выполнения скрипта на рабочем столе появится текстовый файл Correct_wuauserv&BITS.log. Его необходимо прикрепить к следующему сообщению.






Повторите ещё раз логи по правилам. Для повторной диагностики запустите снова Autologger.
Прикрепите к следующему сообщению свежий CollectionLog.

 

[nickrukos]

Прикладываю полученные логи

 

[Sandor]

Какие внешне сейчас симптомы?

1. Создайте новую точку восстановления
   • Нажмите Пуск - Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
2. Скачайте Windows Repair (all in one) с этой страницы - (Портативную (Portable) версию). Извлеките из архива папку Tweaking.com - Windows Repair.
3. Запустите программу (Repair Windows.exe).
4. Перейдите на вкладку Step 3 и запустите проверку диска (пункт 2) нажатием кнопки Open Check Disk At Next Boot - Компьютер будет перезагружен!!!
5. После окончания перейдите на вкладку Step 4 и таким же образом запустите SFC (кнопка Do It).
6. После окончания перейдите на вкладку Repairs (снимите галочку с Automatically do a registry backup) => Нажмите кнопку Open Repairs.
7. В левой части окна отметьте галочками следующие пункты и затем нажмите кнопку Start
   Repair Windows Updates
8. НЕ ИСПОЛЬЗУЙТЕ компьютер пока идёт сканирование.
9. После процедуры восстановления может потребоваться перезагрузка.

Подробную информацию по работе с утилитой, Вы можете прочитать в этом руководстве.

 

[nickrukos]

Симптомы позитивные:
1) исчез запуск неизвестных процессов и их выход в Интернет;
2) память "тьфу-тьфу" не течет, еще понаблюдаю;
3) браузер работает быстрее;
4) не запускается только windows updater (скрин прикладываю)
5) русский язык в загрузчике не восстановился
Последние рекомендации сделаю чуть позже, сейчас работа

 

[Sandor]

Четвёртый пункт проверите после выполнения пятого. И если заработает:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[nickrukos]

Добрый день!
Windows Repair отработала.
п. 5 загрузчик - не восстановился
п.4 windows updater - восстановился (скрин приложен)
Запускать SecurityCheck?

 

[Sandor]

Да.
Как вижу, вы отредактировали свое сообщение после того, как я на него ответил.
Пятый пункт был "сделаю чуть позже", а про загрузчик речи не было. Но ладно, об этом позже.

 

[nickrukos]

Да, забыл упомянуть про загрузчик. Но в принципе английский язык в загрузке мне не мешает.
Прикладываю результаты SecurityCheck

 

[Sandor]

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Запустить проверку") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

[Sandor]

Контроль учётных записей пользователя отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Включите уже сейчас, остальные рекомендации можно по окончании лечения.

 

[nickrukos]

Выполнено, лог AdwCleaner прикладываю

 

[Sandor]

Чистить не нужно, ложное срабатывание.

Далее:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[nickrukos]

Прикладываю отчеты Farbar Recovery

 

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
  HKU\S-1-5-21-26824098-1759632602-2849596836-1000\...\MountPoints2: {018cb7fa-b3ab-11ea-9cc7-002522bcb6ef} - H:\Lenovo_Suite.exe
  HKU\S-1-5-21-26824098-1759632602-2849596836-1000\...\MountPoints2: {2fcaf452-dff6-11ea-8b80-806e6f6e6963} - »ЄОЄКЦ»ъЦъКЦ°ІЧ°Птµј.exe
  HKU\S-1-5-21-26824098-1759632602-2849596836-1000\...\MountPoints2: {2fcaf525-dff6-11ea-8b80-002522bcb6ef} - »ЄОЄКЦ»ъЦъКЦ°ІЧ°Птµј.exe
  HKU\S-1-5-21-26824098-1759632602-2849596836-1000\...\MountPoints2: {36df1efd-3445-11e8-9125-806e6f6e6963} - G:\ASRSetup.exe
  HKU\S-1-5-21-26824098-1759632602-2849596836-1000\...\MountPoints2: {b0f73a44-7255-11ea-bce4-002522bcb6ef} - H:\autorun.exe
  GroupPolicy: Restriction ? <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
  Policies: C:\Users\nick\NTUSER.pol: Restriction <==== ATTENTION
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
  HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  Task: {3F84805C-CC1A-473D-998B-8B7B43504815} - System32\Tasks\{85917020-A249-4C21-95B3-AAC478052FBA} => C:\Program Files\Google\Chrome\Application\chrome.exe 0
  Task: {ACBEAD49-49A4-46D6-8711-252E6E45867C} - System32\Tasks\{CCA0BC05-AEB1-41DD-91C0-B50D6707633E} => C:\Program Files\Google\Chrome\Application\chrome.exe 0
  Task: {C60534AC-0758-4F30-9494-062298F4D215} - System32\Tasks\{4B15899B-2C11-4F2C-9F15-94A28BF010D0} => C:\Program Files\Google\Chrome\Application\chrome.exe 0
  Task: {C6B6A8ED-8876-4B7E-AC00-2A0C00E9117F} - System32\Tasks\{042350D6-A1E9-4F2C-9C19-82AD22269FD0} => C:\Program Files\Google\Chrome\Application\chrome.exe 0
  CHR HKU\S-1-5-21-26824098-1759632602-2849596836-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo]
  CHR HKLM-x32\...\Chrome\Extension: [iepoegkaoeljnbhagabakjodgpfniimo]
  ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
  FirewallRules: [{8A0222AD-3752-4C14-9A65-BAC04604C777}] => (Allow) LPort=12292
  FirewallRules: [{B76FFB13-F869-4981-81FF-1460FC752A06}] => (Allow) C:\Users\nick\MediaGet2\mediaget.exe => No File
  FirewallRules: [{A960405D-B2D4-4C8C-B38B-F657578D85B4}] => (Allow) C:\Users\nick\MediaGet2\mediaget.exe => No File
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[nickrukos]

Выполнено, прикладываю лог FarBar