Касперский удаляет вирусы, а они появляются снова [Trojan.Win64.Eroyee.jf, not-a-virus:Downloader.Win32.Agent.ecsx ]

[Абарсук]

Касперский находит вредоносные программы, лечит их с перезагрузкой, после этого проверяет ноут и все хорошо, но через какое-то время все они появляются снова и история с удалением повторяется. Пыталась поудалять подозрительные программы вручную, отключив подозрительные процессы в диспетчере задач, и удаляя папки в диске С, так же удаляла подозрительные установки в Удалении программ. Ничего не выходит, все это появляется опять и опять.

[Info_bot]

Уважаемый(ая) Абарсук, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Сомнение]

Здравствуйте!

Вам необходимо:

1. Выполнить следующий скрипт в AVZ:

begin
 StopService('FirefoxU');
 StopService('ed2kidle');
 QuarantineFile('C:\ProgramData\wintools\WintoolUprI.exe', '');
 QuarantineFile('C:\ProgramData\vCore\VCore.exe', '');
 QuarantineFile('C:\Program Files (x86)\Aterishwerwi\nobent.exe', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\updater.py', '');
 QuarantineFile('C:\Program Files (x86)\Clokisevuboly Reports\local64spl.dll', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\WinSnare\WinSnare.dll', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\ml.py', '');
 QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe', '');
 QuarantineFileF('C:\ProgramData\TimeTasks', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Program Files (x86)\Aterishwerwi', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Users\Abars\AppData\Roaming\bestsalesprofit', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Program Files (x86)\Clokisevuboly Reports', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe', '');
 QuarantineFile('C:\Program Files (x86)\amuleC3\ed2k.exe', '');
 DeleteFile('C:\Program Files (x86)\amuleC3\ed2k.exe', '32');
 DeleteFile('C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe', '32');
 DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe', '32');
 DeleteFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\ml.py', '32');
 DeleteFile('C:\Users\Abars\AppData\Roaming\WinSnare\WinSnare.dll', '32');
 DeleteFile('C:\Program Files (x86)\Clokisevuboly Reports\local64spl.dll', '32');
 DeleteFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\updater.py', '32');
 DeleteFile('C:\Program Files (x86)\Aterishwerwi\nobent.exe', '32');
 DeleteFile('C:\ProgramData\vCore\VCore.exe', '32');
 DeleteFile('C:\ProgramData\wintools\WintoolUprI.exe', '32');
 DeleteService('FirefoxU');
 DeleteService('ed2kidle');
 DeleteFileMask('C:\ProgramData\TimeTasks', '*', true);
 DeleteFileMask('C:\Users\Abars\AppData\Roaming\bestsalesprofit', '*', true);
 DeleteFileMask('C:\Users\Abars\AppData\Roaming\WinSnare', '*', true);
 DeleteFileMask('C:\Program Files (x86)\Clokisevuboly Reports', '*', true);
 DeleteFileMask('C:\Program Files (x86)\Aterishwerwi', '*', true);
 DeleteFileMask('C:\ProgramData\vCore', '*', true);
 DeleteFileMask('C:\ProgramData\wintools', '*', true);
 DeleteDirectory('C:\ProgramData\TimeTasks');
 DeleteDirectory('C:\Users\Abars\AppData\Roaming\bestsalesprofit');
 DeleteDirectory('C:\Users\Abars\AppData\Roaming\WinSnare');
 DeleteDirectory('C:\Program Files (x86)\Clokisevuboly Reports');
 DeleteDirectory('C:\Program Files (x86)\Aterishwerwi');
 DeleteDirectory('C:\ProgramData\vCore');
 DeleteDirectory('C:\ProgramData\wintools');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Timestasks');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'bestsalesprofit');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WinSnare\Parameters', 'ServiceDll');
ExecuteSysClean;
 ExecuteRepair(2);
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 2, true);
 ExecuteStdScr(6);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер будет перезагружен.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху данной темы.

2. Сделайте новые логи Autologger'a и лог AdwCleaner.

[Абарсук]

Карантин отправила. Логи прикрепляю.

[Сомнение]

1. Удалите все найденное AdwCleaner'ом.
Потребуется перезагрузка компьютера. Лог сформированный после удаления предоставьте в ответном сообщении.

2. Выполнить следующий скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\program files (x86)\bikaqrssreader\bikaq.exe');
 StopService('FishjaneSU');
 QuarantineFile('C:\ProgramData\wintools\WintoolUprI.exe', '');
 QuarantineFile('C:\ProgramData\vCore\VCore.exe', '');
 QuarantineFile('C:\Program Files (x86)\Aterishwerwi\nobent.exe', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\updater.py', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\python\pythonw.exe', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\ml.py', '');
 QuarantineFile('C:\Program Files (x86)\Clokisevuboly Reports\local64spl.dll', '');
 QuarantineFileF('C:\Program Files (x86)\BikaQRssReader', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\Users\Abars\AppData\Local\Temp\1\BaofengUpdate_U.exe', '');
 QuarantineFile('C:\Program Files (x86)\Fishjane\Application\chrome_child.dll', '');
 QuarantineFile('C:\Program Files (x86)\Fishjane\Application\chrome.dll', '');
 QuarantineFile('C:\Users\Abars\AppData\Roaming\DIFX\MSVFW32.dll', '');
 QuarantineFile('c:\program files (x86)\bikaqrssreader\bikaq.exe', '');
 DeleteFile('C:\Users\Abars\AppData\Roaming\DIFX\MSVFW32.dll', '32');
 DeleteFile('C:\Program Files (x86)\Fishjane\Application\chrome.dll', '32');
 DeleteFile('C:\Program Files (x86)\Fishjane\Application\chrome_child.dll', '32');
 DeleteFile('C:\Users\Abars\AppData\Local\Temp\1\BaofengUpdate_U.exe', '32');
 DeleteFile('C:\Program Files (x86)\Clokisevuboly Reports\local64spl.dll', '32');
 DeleteFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\ml.py', '32');
 DeleteFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\python\pythonw.exe', '32');
 DeleteFile('C:\Users\Abars\AppData\Roaming\bestsalesprofit\updater.py', '32');
 DeleteFile('C:\Program Files (x86)\BikaQRssReader\BikaQ.exe', '32');
 DeleteFile('C:\Program Files (x86)\Aterishwerwi\nobent.exe', '32');
 DeleteFile('C:\ProgramData\vCore\VCore.exe', '32');
 DeleteFile('C:\ProgramData\wintools\WintoolUprI.exe', '32');
 DeleteService('FishjaneSU');
 DeleteFileMask('C:\Program Files (x86)\BikaQRssReader', '*', true);
 DeleteDirectory('C:\Program Files (x86)\BikaQRssReader');
 ExecuteFile('schtasks.exe', '/delete /TN "WinTOOL" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VCore" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Clokisevuboly Reports" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "BikaQ_FetchAndUpgrade_CanBeDel" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "bestsalesprofit2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "bestsalesprofit" /F', 0, 15000, true);
ExecuteSysClean;
 ExecuteRepair(2);
 ExecuteRepair(3);
 ExecuteRepair(4);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер будет перезагружен.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху данной темы.

[Абарсук]

Карантин отправлен. Логи после очистки прикрепляю.

[Сомнение]

Понаблюдайте и сообщите, что с проблемой ?

[Абарсук]

Новых репортов от Касперского нет. Спасибо вам большое!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\clokisevuboly reports\local64spl.dll - Trojan.Win64.Eroyee.jf
  2. c:\program files (x86)\firefox\bin\firefoxupdate.exe - not-a-virus:AdWare.Win32.ELEX.ayg
  3. c:\programdata\timetasks\timetasks.exe - not-a-virus:Downloader.Win32.Agent.ecsx ( DrWEB: Adware.Zaxar.37 )