FUST и system volume information - вирус? [Trojan-Dropper.VBS.Agent.gb ]

**poso4q** · 18.01.2017, 15:03

Такая проблема.
На каждом жестком диске у двух компьютеров появились ZIP архив с названием FUST и папка system volume information.При попытки удалить эти файлы они удаляются, но появляются снова через несколько секунд. То-же самое при попытке заменить эти файлы своими с теми-же названиями. Это не было бы проблемой, если бы те-же файлы не записывались на съемные носители, в том числе на карту памяти для фотоаппарата (из за чего кстати фотоаппарат отказывается на эту карту что либо записывать).
Так же при подключении флешек с некоторым количеством папок я замечал что папки с информацией исчезали на несколько секунд и снова появлялись. А так-же по какой-то причине все папки с носителей открываются в новом окне.
при попытке разархивировать архив FUST ничего не выходит так как он запоролен.
Стандартные антивирусы типа Аваста, Касперсокого или ДрВеб не находят никаких угроз.
Прикрепил логи.
Помогите пожалуйста..

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 18.01.2017, 15:04

Уважаемый(ая) poso4q, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**poso4q** · 18.01.2017, 15:05

вирус3.jpg Вирус7.jpg

**Vvvyg** · 18.01.2017, 21:44

Выполните скрипт в AVZ:

Код:

begin
 QuarantineFile('C:\Windows\System32\uegrwlc.dll', '');
 QuarantineFile('C:\Users\ArtФорест\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
 QuarantineFile('C:\Users\ArtФорест\AppData\Local\Hostinstaller\2688355449_monster.exe', '');
 QuarantineFile('C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe', '');
 QuarantineFile('C:\Program Files (x86)\WinThruster\WinThruster.exe', '');
 QuarantineFileF('C:\Program Files (x86)\ffgogogo Browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('C:\Windows\System32\uegrwlc.dll', '32');
 DeleteFile('C:\Users\ArtФорест\AppData\Local\Mail.Ru\MailRuUpdater.exe', '32');
 DeleteFile('C:\Users\ArtФорест\AppData\Local\Hostinstaller\2688355449_monster.exe', '32');
 DeleteFile('C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe', '32');
 DeleteFile('C:\Program Files (x86)\WinThruster\WinThruster.exe', '32');
 DeleteFileMask('c:\users\artфорест\appdata\local\mail.ru', '*', true);
 DeleteFileMask('c:\users\artфорест\appdata\local\hostinstaller', '*', true);
 DeleteFileMask('c:\program files (x86)\iobit', '*', true);
 DeleteFileMask('c:\program files (x86)\winthruster', '*', true);
 DeleteFileMask('C:\Program Files (x86)\ffgogogo Browser', '*', true);
 DeleteDirectory('c:\users\artфорест\appdata\local\mail.ru');
 DeleteDirectory('c:\users\artфорест\appdata\local\hostinstaller');
 DeleteDirectory('c:\program files (x86)\iobit');
 DeleteDirectory('c:\program files (x86)\winthruster');
 DeleteDirectory('C:\Program Files (x86)\ffgogogo Browser');
 ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdateTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Uninstaller_SkipUac_ArtФорест" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "WinThruster" /F', 0, 15000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**poso4q** · 19.01.2017, 14:34

Отправил карантин.
Вот логи архивом)

**Vvvyg** · 19.01.2017, 20:30

Выполните скрипт в AVZ:

Код:

begin
 QuarantineFileF('C:\Program Files (x86)\vreXjvX\vreXjvX', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true,'', 0, 0);
 DeleteFileMask('C:\Program Files (x86)\vreXjvX\vreXjvX','*',true);
 DeleteDirectory('C:\Program Files (x86)\vreXjvX\vreXjvX');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
HKLM\...\Winlogon: [Shell] Explorer.exe, wscript.exe //E:VBScript.Encode "C:\Windows\System32\uegrwlc.dll"
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
ShellIconOverlayIdentifiers-x32: [DropboxExt1] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
ShellIconOverlayIdentifiers-x32: [DropboxExt2] -> {FB314EDA-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
ShellIconOverlayIdentifiers-x32: [DropboxExt3] -> {FB314EDB-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
ShellIconOverlayIdentifiers-x32: [DropboxExt4] -> {FB314EDC-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.yoursites123.com/?type=hp&ts=1457939626&z=34aa5691e9b9e13463fcae6g7z8wbm9tfz6c9e0w0z&from=wpm0314&uid=ST31000524AS_9VPGFQ45XXXX9VPGFQ45
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.sweet-page.com/web/?type=ds&ts=1397446680&from=cor&uid=ST31000524AS_9VPGFQ45XXXX9VPGFQ45&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.yoursites123.com/?type=hp&ts=1457939626&z=34aa5691e9b9e13463fcae6g7z8wbm9tfz6c9e0w0z&from=wpm0314&uid=ST31000524AS_9VPGFQ45XXXX9VPGFQ45
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.sweet-page.com/web/?type=ds&ts=1397446680&from=cor&uid=ST31000524AS_9VPGFQ45XXXX9VPGFQ45&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2514535704-3774217955-249543991-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=iextn&gp=820036
FF Extension: (supermegabest) - C:\Users\ArtФорест\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\[email protected] [2016-03-21]
FF NewTab: ffgogogo\ffgogogo\Profiles\5llqh9kh.default -> hxxp://www.yoursites123.com/newtab/?type=nt&ts=1458274239&z=2e4af7d8d15a763e62b74aegcz0w3b7oam5m3qbqbz&from=wpm0314&uid=ST31000524AS_9VPGFQ45XXXX9VPGFQ45
CHR HKU\S-1-5-21-2514535704-3774217955-249543991-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [aonedlchkbicmhepimiahfalheedjgbh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgomnbpelpcdicbnicimghcecemjpbef] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhbldcgbjblipegbeclmcnnddnopnhjm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilhapdfjlmhfdgdbefpinebijmhjijpn] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jkfblcbjfojmgagikhldeppgmgdpjkpl] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [nkcpopggjcjkiicpenikeogioednjeac] - C:\Users\ArtФорест\AppData\Local\Temp\nkcpopggjcjkiicpenikeogioednjeac.crx <not found>
OPR Extension: (SuperMegaBest - find best prices) - C:\Users\ArtФорест\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2016-09-16]
S2 nhksrv; C:\Program Files (x86)\Netropa\Multimedia Keyboard\nhksrv.exe [X]
U0 aswVmm; no ImagePath
2017-01-18 10:57 - 2017-01-19 18:19 - 00007299 _____ C:\FUST.zip
2014-03-15 12:35 - 2015-08-31 15:23 - 0000025 ____H () C:\ProgramData\temp25.log
Task: {5AC311C1-5601-4D8A-B2E7-58BA84A2331C} - System32\Tasks\SafeZone scheduled Autoupdate 1465977670 => C:\Program Files\AVAST Software\SZBrowser\launcher.exe
Task: {6927EE13-A011-4920-AE0D-720899FCA2B5} - System32\Tasks\Auslogics\BoostSpeed\Integrator\Start On ArtФорест Logon => C:\Program Files (x86)\Auslogics\Auslogics BoostSpeed\BoostSpeed.exe
Task: {8D352EF6-F201-4B00-9837-143CF4A69AB0} - \{ED8DEEC9-C914-40D2-B3CD-C634CD46F982} -> No File <==== ATTENTION
Task: {B6D6A4C3-29A3-4A6D-935C-39C970C171D0} - System32\Tasks\avast! Emergency Update => C:\Program Files\AVAST Software\Avast\AvastEmUpdate.exe
Task: {DEED0A82-EDD2-427B-91E5-BC62FEA48654} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe [2016-06-03] (AVAST Software)
Shortcut: C:\Users\ArtФорест\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\vreXjvX\vreXjvX\chrome.exe (The vreXjvX Authors)
AlternateDataStreams: C:\ProgramData\Microsoft:c7XIe64MBO9PXTY6LIqbgDQRK [2338]
AlternateDataStreams: C:\ProgramData\Microsoft:P4oSBNmkOmqezhEoq [2026]
AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxldtlfudivq`qsp`27hfm [0]
AlternateDataStreams: C:\ProgramData\TEMP:054B9966 [137]
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [152]
AlternateDataStreams: C:\ProgramData\TEMP:A66CF953 [360]
FirewallRules: [{6785784E-0CC1-4D18-BA57-F857C9732631}] => C:\Program Files (x86)\Auslogics\BoostSpeed\GASender.exe
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

**poso4q** · 20.01.2017, 11:03

Здравствуйте!
Прикрепил fixlog и отправил карантин.
Спасибо огромное! Зловредный архив исчез с диска C , на втором диске он остался, но после удаления больше не появляется.
Проверить записывается ли вирус на съемные носители пока нет возможности.

Сработает ли последний скрипт для обезвреживания угрозы на еще одном компьютере с той-же проблемой, или нужно анализировать второй компьютер отдельно?

Не могли бы вы подсказать или просто скинуть статью о том, как обезопасить компьютер от вирусов приносимых на съемных носителях?
Заражен был рабочий компьютер, к которому за день приходится подключать до 10 флешкарт от разных людей.

И возможно ли как-то отблагодарить вас за проделанную работу пожертвованием например..

SQ · 20.01.2017, 15:42

Сообщение от poso4q

Сработает ли последний скрипт для обезвреживания угрозы на еще одном компьютере с той-же проблемой, или нужно анализировать второй компьютер отдельно?

Не применяйте на других ПК, так как каждый случай уникальный. Создавайте новую тему для других ПК и прикладывайте логи.

**Vvvyg** · 20.01.2017, 17:51

Сообщение от poso4q

Не могли бы вы подсказать или просто скинуть статью о том, как обезопасить компьютер от вирусов приносимых на съемных носителях?

Чуть попозже нагуглю. Возможно, у Вас получится быстрее.
Пока можно так. в AVZ запускаете "Мастер поиска и устранения проблем" -> "Системные проблемы" и исправляете:

>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей

Сообщение от poso4q

И возможно ли как-то отблагодарить вас за проделанную работу пожертвованием например..

Обратите внимание на баннер "Поддержать проект" над темой.

**CyberHelper** · 20.01.2017, 18:01

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 787
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\uegrwlc.dll - Trojan-Dropper.VBS.Agent.gb ( AVAST4: Other:Malware-gen [Trj] )