Подозрения в файле csrss.exe [Backdoor.Win32.Androm.fptk ]

[Алена Рыжая]

Добрый день!

KES обнаруживает регулярно объект Backdoor.Win32.Androm.fptk в файле csrss.exe. Архив результатов работы приложения Autologger во вложении. Спасибо!

[Info_bot]

Уважаемый(ая) Алена Рыжая, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Временно отключите антивирус и выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Windows\system32\csrss.exe', '');
 QuarantineFile('C:\Windows\syswow64\csrss.exe', '');
 DeleteFile('C:\Windows\syswow64\csrss.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Process');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'Host-process Windows (Rundll32.exe)');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Host-process Windows (Rundll32.exe)');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger.

[Алена Рыжая]

Добрый день!

Архив карантина отправила по ссылке "Прислать запрошенный карантин". Новый лог Autologger во вложении. Спасибо!

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Алена Рыжая]

Добрый день!

Файлы во вложении. Спасибо!

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

Сделайте лог полного сканирования МВАМ

[Алена Рыжая]

Доброе утро!

Логи программы во вложении. Спасибо!

[SQ]

Сообщите, что с проблемой?

[Алена Рыжая]

KES после 20.01.2017 перестал обнаруживать объект Backdoor.Win32.Androm.fptk в файле csrss.exe. Спасибо за помощь!

[SQ]

Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

Удачи Вам!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\csrss.exe - Backdoor.Win32.Androm.fptk ( DrWEB: BackDoor.Andromeda.404, BitDefender: Gen:Variant.Symmi.49141 )
  2. c:\windows\syswow64\csrss.exe - Backdoor.Win32.Androm.fptk ( DrWEB: BackDoor.Andromeda.404, BitDefender: Gen:Variant.Symmi.49141 )