Странное поведение компьютера [Backdoor.Win32.DarkKomet.xyk ]

**stepan063** · 12.01.2016, 21:32

Здравствуйте.
Не переключается язык на клавиатуре.Не выключается компьютер и не перезагружается (при попытке сделать это выскакивает синий экран).Частые разрывы соединения интернет.
Утилитой dr.web cureit нашёл вредоносные файлы,но при их удалении ( и даже удалении из карантина) комп выключается.
При следующей проверке та же история.
Заранее спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 12.01.2016, 21:33

Уважаемый(ая) stepan063, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 14.01.2016, 09:15

Выполните скрипт в AVZ:

Код:

begin
 TerminateProcessByName('c:\windows\syswow64\windows services\svchost.exe');
 TerminateProcessByName('c:\users\user\appdata\local\temp\stolypin.exe');
 TerminateProcessByName('c:\program files (x86)\smtp service\smtpsv.exe');
 TerminateProcessByName('c:\windows\smss.exe');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\8c1ac1cac441720524db3bdc136099c1.exe', '');
 QuarantineFile('c:\windows\syswow64\windows services\svchost.exe', '');
 QuarantineFile('c:\users\user\appdata\local\temp\stolypin.exe', '');
 QuarantineFile('c:\program files (x86)\smtp service\smtpsv.exe', '');
 QuarantineFile('c:\windows\smss.exe', '');
 QuarantineFileF('c:\windows\syswow64\windows services', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 QuarantineFileF('c:\program files (x86)\smtp service', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('c:\windows\smss.exe', '32');
 DeleteFile('c:\program files (x86)\smtp service\smtpsv.exe', '32');
 DeleteFile('c:\users\user\appdata\local\temp\stolypin.exe', '32');
 DeleteFile('c:\windows\syswow64\windows services\svchost.exe', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\8c1ac1cac441720524db3bdc136099c1.exe', '32');
 DeleteFileMask('c:\program files (x86)\smtp service', '*', true);
 DeleteFileMask('c:\windows\syswow64\windows services', '*', true);
 DeleteDirectory('c:\program files (x86)\smtp service');
 DeleteDirectory('c:\windows\syswow64\windows services');
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
 ExecuteRepair(10);
 ExecuteRepair(22);
 ExecuteRepair(9);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Обновите базы AVZ ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

**stepan063** · 14.01.2016, 19:09

файл карантина отправлен

**Vvvyg** · 14.01.2016, 20:00

Выполните скрипт в AVZ:

Код:

begin
 QuarantineFile('C:\Windows\system32\Google Updater\updater.exe', '');
 QuarantineFileF('C:\Windows\system32\Google Updater', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('C:\Windows\system32\Google Updater\updater.exe', '32');
 DeleteFileMask('C:\Windows\system32\Google Updater', '*', true);
 DeleteDirectory(C:\Windows\system32\Google Updater'');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SMTP Service');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Google');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\5cd8f17f4086744065eb0992a09e05a2', 'command');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**stepan063** · 15.01.2016, 21:15

При попытке выполнить первый скрипт выскакивает сообщение об ошибке : )expected в позиции 6:19 .
Это происходит вот на этом шаге : DeleteDirectory(C:\Windows\system32\Google Updater'')

**Vvvyg** · 16.01.2016, 14:50

Выполняйте:

Код:

begin
 QuarantineFile('C:\Windows\system32\Google Updater\updater.exe', '');
 QuarantineFileF('C:\Windows\system32\Google Updater', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('C:\Windows\system32\Google Updater\updater.exe', '32');
 DeleteFileMask('C:\Windows\system32\Google Updater', '*', true);
 DeleteDirectory('C:\Windows\system32\Google Updater');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SMTP Service');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Google');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\5cd8f17f4086744065eb0992a09e05a2', 'command');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.

Отправьте карантин.
И лог FRST далее.

**stepan063** · 16.01.2016, 23:45

файл карантина отправлен

**Vvvyg** · 17.01.2016, 13:07

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CloseProcesses:
CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe,C:\Windows\system32\Google Updater\updater.exe
HKU\S-1-5-21-2953308322-3552214542-3279755546-1001\...\Winlogon: [Shell] explorer.exe,"C:\Windows\SysWOW64\Windows Services\svchost.exe" <==== ATTENTION
IFEO\AvastSvc.exe: [Debugger] nqij.exe
IFEO\AvastUI.exe: [Debugger] nqij.exe
IFEO\avcenter.exe: [Debugger] nqij.exe
IFEO\avconfig.exe: [Debugger] nqij.exe
IFEO\avgcsrvx.exe: [Debugger] nqij.exe
IFEO\avgidsagent.exe: [Debugger] nqij.exe
IFEO\avgnt.exe: [Debugger] nqij.exe
IFEO\avgrsx.exe: [Debugger] nqij.exe
IFEO\avguard.exe: [Debugger] nqij.exe
IFEO\avgui.exe: [Debugger] nqij.exe
IFEO\avgwdsvc.exe: [Debugger] nqij.exe
IFEO\avp.exe: [Debugger] nqij.exe
IFEO\avscan.exe: [Debugger] nqij.exe
IFEO\bdagent.exe: [Debugger] nqij.exe
IFEO\blindman.exe: [Debugger] nqij.exe
IFEO\ccuac.exe: [Debugger] nqij.exe
IFEO\ComboFix.exe: [Debugger] nqij.exe
IFEO\egui.exe: [Debugger] nqij.exe
IFEO\hijackthis.exe: [Debugger] nqij.exe
IFEO\instup.exe: [Debugger] nqij.exe
IFEO\keyscrambler.exe: [Debugger] nqij.exe
IFEO\mbam.exe: [Debugger] nqij.exe
IFEO\mbamgui.exe: [Debugger] nqij.exe
IFEO\mbampt.exe: [Debugger] nqij.exe
IFEO\mbamscheduler.exe: [Debugger] nqij.exe
IFEO\mbamservice.exe: [Debugger] nqij.exe
IFEO\MpCmdRun.exe: [Debugger] nqij.exe
IFEO\MSASCui.exe: [Debugger] nqij.exe
IFEO\MsMpEng.exe: [Debugger] nqij.exe
IFEO\msseces.exe: [Debugger] nqij.exe
IFEO\rstrui.exe: [Debugger] nqij.exe
IFEO\SDFiles.exe: [Debugger] nqij.exe
IFEO\SDMain.exe: [Debugger] nqij.exe
IFEO\SDWinSec.exe: [Debugger] nqij.exe
IFEO\spybotsd.exe: [Debugger] nqij.exe
IFEO\wireshark.exe: [Debugger] nqij.exe
IFEO\zlclient.exe: [Debugger] nqij.exe
HKU\S-1-5-21-2953308322-3552214542-3279755546-1001\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = hxxp://mail.ru/cnt/10445?gp=newcustom3
SearchScopes: HKU\S-1-5-21-2953308322-3552214542-3279755546-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=newcustom3
CHR HKLM-x32\...\Chrome\Extension: [lpoimibckejjdjcfbdnajaicnklhfplh] - hxxps://chrome.google.com/webstore/detail/lpoimibckejjdjcfbdnajaicnklhfplh
CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - C:\Program Files (x86)\McAfee\SiteAdvisor\McChPlg.crx <not found>
2016-01-13 04:06 - 2016-01-13 04:06 - 00674304 _____ (Microsoft Corp.) C:\Users\User\AppData\Roaming\cc.exe
2016-01-13 03:59 - 2016-01-13 03:59 - 00099328 _____ C:\Windows\Updater.exe
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^5cd8f17f4086744065eb0992a09e05a2.exe" /f
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

У Вас там Kaspersky Internet Security 2013 в непонятном состоянии, в списке установленных отсутствует, драйвера и модули загружаются. Лучше удалите так или так.

**stepan063** · 17.01.2016, 16:33

Создал лог-файл потом удалил каспера.

**Vvvyg** · 17.01.2016, 17:28

Удалите папку C:\FRST со всем содержимым.

Теперь можно и другой антивирус устанавливать, Kaspersky Free, например.

Ка ситуация сейчас?

**stepan063** · 17.01.2016, 18:47

Синий экран пропал.Комп перезагружается и выключается нормально.
Но с клавой проблемы.Наверное это какая-то системная ошибка?

- - - - -Добавлено - - - - -

И Kaspersky Free не удаётся установить.Запускается установщик потом вылетает и тишина.

- - - - -Добавлено - - - - -

Запускаю kavremover и он опять обнаруживает Kaspersky Internet Security 2013.
Произвожу удаление,перезагружаюсь, запускаю kavremover опять обнаруживает Kaspersky Internet Security 2013.

**Vvvyg** · 17.01.2016, 19:02

Сообщение от stepan063

Но с клавой проблемы.Наверное это какая-то системная ошибка?

Бывает при удалениии продуктов Касперского. Попробуйте рекомендации.

**stepan063** · 17.01.2016, 23:11

Сообщение от stepan063

Синий экран пропал.Комп перезагружается и выключается нормально.
Но с клавой проблемы.Наверное это какая-то системная ошибка?

- - - - -Добавлено - - - - -

И Kaspersky Free не удаётся установить.Запускается установщик потом вылетает и тишина.

- - - - -Добавлено - - - - -

Запускаю kavremover и он опять обнаруживает Kaspersky Internet Security 2013.
Произвожу удаление,перезагружаюсь, запускаю kavremover опять обнаруживает Kaspersky Internet Security 2013.

Но получается,что KIS 2013 не удалился?

**Vvvyg** · 18.01.2016, 08:25

Не полностью, похоже.
Если можете как-то работать на компьютере - Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

**stepan063** · 18.01.2016, 10:50

вот образ автозапуска

**Vvvyg** · 18.01.2016, 11:13

На месте KIS 2013. Попробуйте kavremover запустить, загрузив систему в безопасном режиме.

**stepan063** · 18.01.2016, 11:42

В безопасном запустил утилиту и удалил Kaspersky.
Запустил утилиту потом в обычном-опять видит KIS 2013.

**Vvvyg** · 18.01.2016, 12:03

Попробуйте такой вариант.

Нажмите Win-R, (или Пуск -> Выполнить), в открывшемся окне вставьте:

Код:

MsiExec.exe /I{560985FB-4B76-4121-9189-7A2CDC7886D6} REMOVE=ALL

и нажмите Ok. Должен запуститься штатный процесс деинсталляции KIS 2013.
Кстати, припомните, не пытались его удалить с помощью Revo Uninstaller Pro? Похоже на то...

**stepan063** · 18.01.2016, 13:01

Кстати, припомните, не пытались его удалить с помощью Revo Uninstaller Pro? Похоже на то...

Да именно так и удалял.

С помощью стандартного процесса деинсталляции KIS 2013 удалился.
Спасибо вам огромное.

- - - - -Добавлено - - - - -

Но вот Kaspersky Free не удаётся установить.

Странное поведение компьютера [Backdoor.Win32.DarkKomet.xyk ] (заявка № 195660)

Опции темы