c1.exe/m1.exe и другое [not-a-virus:RiskTool.Win32.BitCoinMiner.mxx ]

[YaAsyol]

Доброго времени суток.
Последнее время начал проседать ФПС в ВОТ,по началу не обращал внимания т.к. знаю какой "хороший" движок у игры,но когда ФПС просел и в БФ3 я как-то озадачился(железо не особо слабое).
Когда пытался кое-как настроить видео карту для игр,в диспетчере задач заметил процесс с1.ехе,и м1.ехе,которые магическим образом пропадали практически сразу,изначально не предал этому значения,но вечером решил проверить что это за процессы,и наткнулся на подобную тему у вас на форуме.
По инструкции установил МБАМ,начал сканирование которое принесло 200+ зараженных файлов,переместил в карантин,как по инструкции скачал АВЗ и HijackThis,но из-за множества ошибок которые постоянно вылетали при включенном МБАМ пришлось его выключить(т.к даже не мог обновить базы в АВЗ)
Логи прилагаются
hijackthis.log
virusinfo_syscheck.zip

Так же 2 лога МБАМ(1-после первогосканирования,2-после второго)
1.txt
2.txt

[Info_bot]

Уважаемый(ая) YaAsyol, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\users\lexa\appdata\local\temp\hiypjp1b.lyc\x64\c1.exe');
 QuarantineFile('C:\Users\Lexa\AppData\Local\Microsoft\Redist\web.vcredist.exe','');     
 QuarantineFile('C:\Users\Lexa\AppData\Local\Temp\start.exe','');
 QuarantineFile('c:\users\lexa\appdata\local\temp\hiypjp1b.lyc\x64\c1.exe','');
 DeleteFile('c:\users\lexa\appdata\local\temp\hiypjp1b.lyc\x64\c1.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Steam-S-1-8-22-9865GUI','64');
 DeleteFile('C:\Windows\system32\Tasks\WdfHG','64');
 DeleteFile('C:\Users\Lexa\AppData\Local\Temp\start.exe','32');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);        
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Сделайте лог полного сканирования MBAM

[YaAsyol]

после перезагрузки появился только черный экран,вызвался диспетчер задач,дальше запускал всё через него,так и должно быть? Безымянный.jpg

hijackthis.log
virusinfo_syscheck.zip
мбам.txt

карантин ̶н̶е отправил,̶н̶е̶м̶о̶г̶у ̶е̶г̶о ̶н̶а̶й̶т̶и

[regist]

Сделайте полный образ автозапуска uVS только программу скачайте отсюда


- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

[YaAsyol]

LEXA_2014-07-22_15-50-47.7z


при создании карантина было много ошибок(как на скрине),так и должно быть?
avz.jpg

[regist]

Выполните скрипт в uVS

;uVS v3.83 BETA 8 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

BREG
delref %SystemDrive%\USERS\LEXA\APPDATA\LOCAL\TEMP\DOWNLOADMANAGER.EXE
delref %SystemDrive%\USERS\LEXA\APPDATA\ROAMING\TORQUE\TORQUE.EXE
regt 12
deltmp
restart

проверьте, что с проблемой?

- - - Добавлено - - -

при создании карантина было много ошибок(как на скрине),так и должно быть?

да.

[YaAsyol]

выполнил скрипт,комп перезагрузился.
всё стало на свои места,спасибо большое)

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[YaAsyol]

"часто используемые уязвимости не обнаружены"

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\lexa\appdata\local\temp\hiypjp1b.lyc\x64\ c1.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.mxx ( DrWEB: Tool.BtcMine.283, BitDefender: Gen:Variant.Kazy.350301, AVAST4: Win32:Malware-gen )