Показано с 1 по 12 из 12.

AdAntiHS.exe (заявка № 204530)

  1. #1
    Junior Member Репутация
    Регистрация
    04.10.2016
    Сообщений
    5
    Вес репутации
    2

    AdAntiHS.exe

    Здравствуйте.
    Предыстория - Win7 x86, KIS2013, скачали и запустили какой-то exe-самораспаковщик с якобы нужной книгой, он что-то рапаковал, KIS заверещал и написал "борьба с активным заражением". Какое-то время он что-то пытался удалить, параллельно установился и запустился какой-то китайский USBrowser с иероглифами.
    Каспер предложил перезагрузиться, после загрузки ничего не изменилось - левый браузер на месте, все яростно тормозит, каспер не может начать проверку.
    Благо второй системой стоит Win_XP, загрузился в нее, скачал CureIt! и запустил оттуда проверку. Нашло много всего. Загружаюсь в
    Win7 - вроде все ок. Браузера нет, тормозов нет. Правда стало появляться окно с ошибкой файла подкачки:

    c1d04f93d898c2fe08e1bdd30ebeb4d9.jpg


    Проверил каспером полной проверкой, все ок, угроз нет. После пары перезагрузок система вдруг стала очень долго загружаться - перед окном приветствия минут по мять черного экрана с курсором.
    Опять из под Win_XP той же утилитой проверяю - находит два дубля одного файла AdAntiHS.exe в разных местах:

    K:\Users\user\AppData\Roaming\AdAnti
    K:\Documents and Settings\user\AppData\Roaming\AdAnti


    Удаляет, захожу в семерку нормально, вроде все хорошо, но через одну-две минуты на тех же самых местах появляются те же самые файлы (это я уже опытным путем выяснил).
    Скачиваю Live-CD с Вэбом, гружусь с него и полночи тотальной проверки. Вроде что-то нашел, много левого (типа кейгенам к старым прогам, которые лежат у меня уже лет пять).
    Гружу Win7 и все опять по кругу. Каспер в упор не видит эти AdAnti.
    Снес каспера поставил Аваст, опять полная проверка перед загрузкой на всю ночь, тоже что-то находит, но загружаемся и файлы на месте:

    5d2c29fa75bc40191c2e45b2264856ac.jpg


    Убираю Аваст, ставлю ДрВэб с триалом на три месяца. Также проверка тотальная на ночь, но по окончании я увидел темный экран с курсором, перезагрузка резетом. В логе всего три записи - два Adantihs и один почищенный файл host. Хост был дописан мною также лет пять назад (там добавлены серверы проверки лицензий ФШ и т.п.). Он не при делах был. Т.к. и с чистым хостом все точно так же - после перезагрузки файлы восстанавливаются.

    С Вэбом дальше так, после тотальной проверки и и загрузки он выдал такое предупреждение:

    f900214169f336cb621fc624a1a72bf1.jpg


    Ок, создали правило. Теперь такое больше не вылезает. Но продолжается следующее- перезагружаемся, проходит пара минут, доктор обнаруживает заразу и предлагает лечить с перезагрузкой:

    091e55f9654486c361217f7b49b63cf6.jpg

    И так по кругу - загружаемся, находит adantish, удаляет, перезагружаемся и опять по кругу.
    Позже стало так - грузим винду, файлы появляются (поиском по диску сразу нахожу), а Dr.Web молчит. Когда ему их выделяешь (или разделы указываешь) он да, угроза, лечим/перезагружаем. А сам почему-то перестал находить.
    После перезагрузки - дубликаты AdAntisHS.exe на своих местах, Вэб молчит. И так можно бесконечно делать.

    Подскажите, пожалуйста, как избавиться от сей гадости?

    Если что, этот самый AdAntiHS.exe лежит в архиве, могу предоставить.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,262
    Вес репутации
    329
    Уважаемый(ая) userr09, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,983
    Вес репутации
    784
    Выполните скрипт в AVZ:
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     StopService('RTDKDXAZ');
     QuarantineFileF('K:\Users\user\AppData\Roaming\AdAnti', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*', true, '', 0 , 0);
     QuarantineFile('K:\Windows\system32\Drivers\RTDKDXAZ.sys', '');
     QuarantineFile('K:\Users\user\AppData\Local\Hostinstaller\3696233432_monster.exe', '');
     DeleteFile('K:\Windows\system32\Drivers\RTDKDXAZ.sys', '32');
     DeleteFile('K:\Users\user\AppData\Local\Hostinstaller\3696233432_monster.exe', '32');
     DeleteService('RTDKDXAZ');
     DeleteFileMask('k:\users\user\appdata\local\hostinstaller', '*', true);
     DeleteFileMask('K:\Users\user\AppData\Roaming\AdAnti', '*', true);
     DeleteDirectory('k:\users\user\appdata\local\hostinstaller');
     DeleteDirectory('K:\Users\user\AppData\Roaming\AdAnti');
     ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Выполните в AVZ скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    Сделайте полный образ автозапуска uVS.
    WBR,
    Vadim

  5. #4
    Junior Member Репутация
    Регистрация
    04.10.2016
    Сообщений
    5
    Вес репутации
    2
    Карантин отправил. Образ автозапуска в аттаче.

    - - - - -Добавлено - - - - -

    Во, щас вроде пропало и с системного диска и из реестра. Уже несколько раз перезагрузился. Все чисто.

    Что перед этим было. Выполнив скрипт, комп перезагрузился. Пока готовил отправку папки с карантином, Др.Вэб снова показал окно об безвреживании угроз с перезагрузкой. Отправив карантин, перезагрузился.
    Зашел в реестр и снес две ветки с упоминанием AdAntiHS (они всегда в одном месте появлялись). Проверил системный диск поиском - нашлось лишь две пустых папки из-под AdAntiHS. Удалил и их. Перезагрузился. Еще раз проверил - все, нет ни AdAntiHS, ни его папок. В реестре тоже стало чисто.
    Несколько раз перезагрузился, пока все по прежнему - больше AdAntiHS не появляется ни в системном разделе, ни в реестре.
    Буду смотреть дальше.
    Вложения Вложения

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,983
    Вес репутации
    784
    Пока есть зараза.

    Отключите до перезагрузки антивирус.
    Выполните скрипт в uVS:
    Код:
    ;uVS v3.87.6 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v388c
    OFFSGNSAVE
    ; K:\USERS\USER\APPDATA\ROAMING\ADANTI\ADANTIHS.EXE
    zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\ADANTI\ADANTIHS.EXE
    addsgn A7679BF0AA02C4354BD4C62752881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CCE3F9FE82BD6D750816D775BACCAE28F33 8 Trojan.Click3.22139 [DrWeb]
    cexec tools\CreateRestorePoint.exe BeforeCure
    ;------------------------autoscript---------------------------
    
    chklst
    delvir
    
    delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\ADANTIHS.EXE
    deldir K:\USERS\USER\APPDATA\ROAMING\ADANTI
    delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC
    delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
    delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 2\EXTENSIONS\CCFIFBOJENKENPKMNBNNDEADPFDIFFOF\11.0.26_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
    delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 2\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\7.0.30_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
    ;-------------------------------------------------------------
    deltmp
    delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
    delref %SystemDrive%\PROGRAM FILES\PINNACLE\STUDIO 14\PROGRAMS\BLUESHELLEXT.DLL
    delref {280CFDE1-1354-4431-92F3-03073BA593FB}\[CLSID]
    delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
    delref {B1883831-F0D8-4453-8245-EEAAD866DD6E}\[CLSID]
    delref {DD230880-495A-11D1-B064-008048EC2FC5}\[CLSID]
    delref {DB83BC37-4AC3-49D9-B397-2E46D166B6D0}\[CLSID]
    delref %SystemDrive%\PROGRAM FILES\JAVA\JRE1.8.0_51\BIN\JP2IEXP.DLL
    czoo
    restart
    Компьютер перезагрузится.

    В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

    В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
    WBR,
    Vadim

  7. #6
    Junior Member Репутация
    Регистрация
    04.10.2016
    Сообщений
    5
    Вес репутации
    2
    Вот что пишет при попытке запуска скрипта:


  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,983
    Вес репутации
    784
    Скачайте отсюда Universal Virus Sniffer и выполните в нём.
    WBR,
    Vadim

  9. #8
    Junior Member Репутация
    Регистрация
    04.10.2016
    Сообщений
    5
    Вес репутации
    2
    В папке uVS после выполнения скрипта и перезагрузки, архива ZIP с именем, начинающимся с ZOO_ не появилось. Есть лишь пустая папка с именем ZOO. Лог в аттаче.
    Вложения Вложения

  10. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,983
    Вес репутации
    784
    Значит, Dr. Web таки добил.

    Решена проблема?
    WBR,
    Vadim

  11. #10
    Junior Member Репутация
    Регистрация
    04.10.2016
    Сообщений
    5
    Вес репутации
    2
    Видимо да. Уже всяко-разно перегружался, потыкал проги, что есть - все чисто.

    Спасибо Вам огромное за помощь! Тем более такую оперативную и профессиональную.
    Благодарю! )

  12. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    23,983
    Вес репутации
    784

  13. #12
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,898
    Вес репутации
    946

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 6
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) userr09, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00088 seconds with 21 queries