Отказ в доступе к любой папке [Trojan.Win32.BitMin.l, not-a-virus:RiskTool.Win32.BitCoinMiner.cen ]

[Дмитрий Литвинов]

Здравствуйте. Возникла проблема, которая меня ужасно бесит. С некоторох пор не могу зайти ни в 1 папку на компе. В панель управление и прочие пункты тоже войти не могу. Приложения и интернет работают нормально. Заранее спасибо. Учетная запись естествено админстратора. Такая же ошибка при открытии .jpg.

[Info_bot]

Уважаемый(ая) Дмитрий Литвинов, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('D:\Temp\843415599.exe','');
 DeleteFile('D:\Temp\843415599.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack

O3 - Toolbar: (no name) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - (no file)
O3 - Toolbar: (no name) - {23DD83B5-BDDC-49CE-B77B-514819C6D551} - (no file)

Обновите базы AVZ

Сделайте новые логи

[Дмитрий Литвинов]

Проблема осталась.

[thyrex]

Сделайте лог полного сканирования МВАМ

[Дмитрий Литвинов]

Сделал

[Дмитрий Литвинов]

Ап...

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
QuarantineFile('C:\Users\netFight\AppData\Roaming\179317u3.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\17931g93.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\1793yW93.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\17mYW79y.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\1k9y17o3.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\1oCE1a9k.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\31yWS1e9.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\3sKUO179.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\5555555o.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\55555m55.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\555m5555.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\5uO55mY5.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\79317i3q.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\7931qG3i.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\7kU17i31.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\G9317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\I9317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\KUOC1.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\S179u.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\9317i3q7.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\9317m317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\9317q3w7.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\93wSKUOC.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\A7931.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\UOCEI.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\W9317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Y9c17.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\YW555.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\csrss.exe', 'MBAM: PUP.BitCoinMiner');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\jsheded.exe', 'MBAM: Backdoor.Bot');
QuarantineFile('C:\Users\Танки\AppData\Local\Temp\DWHF141.tmp', 'MBAM: Backdoor.Agent');
QuarantineFile('D:\Download\BindKey_War3dota.zip', 'MBAM: Trojan.BTSoft.Gen');
QuarantineFile('D:\Download\63_Game_Prelaunche\Game Prelauncher  3.2.6\patch.exe', 'MBAM: PUP.Hacktool.Patcher');
QuarantineFile('D:\Temp\7171.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\786C.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\9850.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\1089.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\FA55.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('C:\Users\netFight\AppData\Roaming\igfxtray.dat', 'MBAM: Malware.Trace');
QuarantineFile('C:\Users\netFight\AppData\Roaming\video.exe', 'MBAM: Backdoor.Agent.Gen');
DeleteFile('C:\Users\netFight\AppData\Roaming\179317u3.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\17931g93.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\1793yW93.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\17mYW79y.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\1k9y17o3.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\1oCE1a9k.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\31yWS1e9.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\3sKUO179.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\5555555o.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\55555m55.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\555m5555.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\5uO55mY5.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\79317i3q.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\7931qG3i.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\7kU17i31.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\G9317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\I9317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\KUOC1.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\S179u.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\9317i3q7.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\9317m317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\9317q3w7.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\93wSKUOC.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\A7931.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\UOCEI.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\W9317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\Y9c17.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\YW555.exe');
DeleteFile('C:\Users\Танки\AppData\Local\Temp\DWHF141.tmp');
DeleteFile('D:\Temp\7171.tmp.exe');
DeleteFile('D:\Temp\786C.tmp.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\igfxtray.dat');
DeleteFile('C:\Users\netFight\AppData\Roaming\video.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте новый лог MBAM

[Дмитрий Литвинов]

Файл сохранён как 130415_174011_quarantine_516c3b7b94a71.zip
Размер файла 23472978
MD5 39646df3edbb92081688b4a47169c97a

- - - Добавлено - - -

MBAM часа 4 будет сканировать, запустил...

- - - Добавлено - - -

Новый лог MBAM

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(true);
  end;
ClearQuarantineEx(true);
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\csrss.exe', 'MBAM: PUP.BitCoinMiner');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\jsheded.exe', 'MBAM: Backdoor.Bot');
QuarantineFile('D:\Temp\9850.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\1089.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\FA55.tmp.exe', 'MBAM: Trojan.BitCoin');
DeleteFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\csrss.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\jsheded.exe');
DeleteFile('D:\Temp\9850.tmp.exe');
DeleteFile('D:\Temp\1089.tmp.exe');
DeleteFile('D:\Temp\FA55.tmp.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Удалите в MBAM только

Обнаруженные ключи в реестре:  8
HKCR\AppID\{6A44A601-E455-47D9-9712-0B79EEE39A9C} (PUP.Rubar) -> Действие не было предпринято.
HKCR\AppID\{9285AB27-8BD7-421A-9AA5-2523C00D4E4A} (PUP.Rubar) -> Действие не было предпринято.
HKCR\AppID\{D17B4854-A796-4173-9775-5FB684E40ADA} (PUP.Rubar) -> Действие не было предпринято.
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{C1ED9DA0-AFD0-4B90-AC6A-D3874F591014} (PUP.Datamngr) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  1
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры:  -> Действие не было предпринято.

новый лог MBAM снова приложите, заодно отпишитесь, что с проблемой ?

[Дмитрий Литвинов]

Файл сохранён как 130416_162417_quarantine_516d7b318dce9.zip
Размер файла 4154804
MD5 dc6f12d09485f4aef7b655a5a566084a

Проблема осталась.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteWizard('TSW', 2, 2, true);
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.

проверьте, что с проблемой ?

[Дмитрий Литвинов]

Увы, ничего не изменилось

Новые логи

[regist]

проверьте проблему в безопасном режиме.

[Дмитрий Литвинов]

В безопасном режиме проблемы нет, под вторым пользователей с правами юзера так же проблемы нет.

[regist]

В безопасном режиме проблемы нет, под вторым пользователей с правами юзера так же проблемы нет.

попробуйте отключить/удалить антивирус. Вирусы уже удалили и это что-то из установленных программ блокирует.

[Дмитрий Литвинов]

Остановил все службы антивируса, остановил службу Брандмауэра. Пытался зайти в установку и удаление программ через конфигурацию системы screenshot.6.jpg, выдало вот такую ошибку screenshot.5.jpg. Так же при открытии любой программы выскакивает уведомление службы контроля учетных записей пользователя, хотя никогда не пользовался этой службой. Убрал все программы из автозагрузки, перезагрузился... Результатов никаких. Может есть возможность скриптом сбросить службу контроля учетных записей? Может хоть это поможет... Система не реагирует на кнопку изменения параметров этой службы (контроля учетных записей) и не запускает изменения из конфигурации системы (C:\Windows\System32\UserAccountControlSettings.ex e)

[Дмитрий Литвинов]

Вобщем проблема решилась... Запустил Reg Organizer, выполнил дефрагментацию и чистку реестра, перегрузился и все норм... Всем большое спасибо за помощь

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[Дмитрий Литвинов]

Спасибо