Решена Словил вирус, блокирует доступ к скачиванию антивирусов

[mtLeo.bgd]

MySql в папке fonts, не дает скачивать антивирусы ,смог почистить rogue killer, смог открывать некоторые форумы, и скачать avz, но avz просит обновиться и закрывается, было такое же неделю назад, там помог AVZ, сейчас решил обратится сюда

 

[Sandor]

Здравствуйте!

avz просит обновиться и закрывается

Вероятно вы подразумеваете AVbr, а не AVZ.

Измените системную дату на 10 дней назад, на 16 апреля 23 года.

Запустите AVbr и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы восстановите актуальную дату и соберите новый CollectionLog Автологером (из нормального режима).

 

[mtLeo.bgd]

Что в безопасном с поддержкой сети, что в обычном режиме получаю такое сообщение, при изменение даты - просит поставить правильную дату, имя меняю, не помогает

 

[Sandor]

Измените дату и запускайте в безопасном режиме с поддержкой сети. Так тоже не работает?

 

[mtLeo.bgd]

Да, в таком случае тоже просит поставить актуальную дату

 

[Sandor]

Хорошо. Верните дату на актуальную и перезагрузите компьютер.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\windows\system32\unsecapp.exe');
 QuarantineFile('c:\windows\system32\unsecapp.exe', '');
 DeleteFile('c:\windows\system32\unsecapp.exe', '');
 DeleteFile('C:\Windows\System32\unsecapp.exe', '64');
 DeleteService('Microsoft Framework');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.



"Пофиксите" в HijackThis только следующие строки:

O1 - Hosts: Reset contents to default
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [1] = eav_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [2] = avast_free_antivirus_setup_online.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [3] = eis_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [4] = essf_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [5] = hitmanpro_x64.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [6] = ESETOnlineScanner_UKR.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [7] = ESETOnlineScanner_RUS.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [8] = HitmanPro.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [9] = 360TS_Setup_Mini.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [10] = Cezurity_Scanner_Pro_Free.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [11] = Cube.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [12] = AVbr.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [13] = AV_br.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [14] = KVRT.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [15] = cureit.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [16] = FRST64.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [17] = eset_internet_security_live_installer.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [18] = esetonlinescanner.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [19] = eset_nod32_antivirus_live_installer.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [20] = MBSetup.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [21] = PANDAFREEAV.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [22] = bitdefender_avfree.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [23] = drweb-12.0-ss-win.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [24] = Cureit.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [25] = TDSSKiller.exe
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O7 - Taskbar policy: HKCU\..\Policies\Explorer: [DisallowRun] = 1
O22 - Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_453_pepper.exe -check pepperplugin (file missing)
O22 - Tasks_Migrated: Adobe Flash Player Updater - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (file missing)
O22 - Tasks_Migrated: VKDJ - C:\ProgramData\VК_DJ\VК_DJ.exe /H (file missing)

Перезагрузите компьютер вручную.

Для повторной диагностики запустите снова AutoLogger.
Прикрепите к следующему сообщению свежий CollectionLog.

 

[mtLeo.bgd]

Выполнил скрипт в AVZ, И "пофиксил" в HijackThis строки, но первой строки O1 - Hosts: Reset contents to default не было

 

[akok]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[mtLeo.bgd]

Обе ссылки Farbar Recovery Scan Tool (или с зеркала) блокируются, попросил знакомого скачать файл и скинуть напрямую, exe файл не заблокировался, прикрепил свежий CollectionLog и отчеты

 

[Sandor]

Скачайте заново AVbr и проделайте эту процедуру.

 

[mtLeo.bgd]

При смене даты, также просит проверить дату

 

[Sandor]

А зачем же вы ставите 1.04? Ставьте 16 апреля 23 года.

 

[mtLeo.bgd]

Да, вы правы, прошу прощения, так запустился, во время работы, предложило удалить пользователя "Jonh" - удалил, а также сбросить hosts файл - сбросил, ниже прикрепил отчет и свежий CollectionLog

 

[mtLeo.bgd]

На прошлой неделе была та же проблема, AVbr помог, тогда он не блокировался, но почему-то вирус вернулся

 

[Sandor]

Отлично. Теперь ещё раз соберите логи FRST.txt и Addition.txt, пожалуйста.

 

[Sandor]

почему-то вирус вернулся

Либо не дочистили, либо запустили какой-нибудь репак или активатор, скачанный с торрента. Этот майнер обычно так попадает в систему.

 

[mtLeo.bgd]

Новые логи

 

[Sandor]

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Bonjour

Далее:
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  CHR HKU\S-1-5-21-2554139356-2779414644-3314004256-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ldgpjdiadomhinpimgchmeembbgojnjk]
  Unlock:C:\Program Files\7-Zip
  AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [210]
  AlternateDataStreams: C:\Users\DRAGO\Application Data:671890e017d8a4fb26004192461213ff [394]
  AlternateDataStreams: C:\Users\DRAGO\AppData\Roaming:671890e017d8a4fb26004192461213ff [394]
  AlternateDataStreams: C:\Users\DRAGO\AppData\Local\Temp:$DATA [16]
  FirewallRules: [{D42AB4C3-A451-4299-8A00-960B0ABDE039}] => (Allow) LPort=3306
  FirewallRules: [{C7D5F43E-3C8F-45E4-A03C-B31834C5D82B}] => (Allow) LPort=33060
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[mtLeo.bgd]

Вот полученный лог-файл.

 

[Sandor]

Хорошо. Проблема решена?