Принудительная перезагрузка от NT AUTHORITY\SYSTEM

[ale002]

Появилось сообщение о принудительной перезагрузке инициированное NT AUTHORITY\SYSTEM, после перезагрузки фаервол (COMODO) перехватил попытки изменений в реестре и файловой системе от имени файла C:\WINDOWS\Temp\~TM11.tmp, попытки заблокированы фаерволом, в диспетчере остался висеть svchost-процесс, грузящий процессор на 50%. Это процесс там висит после каждой загрузки системы, а через одну загрузку повторяется процедура с принудительной перезагрузкой от NT AUTHORITY\SYSTEM. В логе HijackThis вижу monoca32.exe в автозагрузке. Что надо сделать и в какой последовательности?

Спасибо

[olejah]

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
 DelAutorunByFileName('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');        
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);     
 BC_Activate;    
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи.

[ale002]

Спасибо, злокачественных признаков нет, но в логе HijackThis по-прежнему присутствует monoca32.exe в загрузке. Галочка "отключить востановление системы на всех дисках" стоит

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

O4 - Startup: monoca32.exe

Выполните скрипт в АВЗ в безопасном режиме -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
 DelAutorunByFileName('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');        
 BC_ImportAll;
 ExecuteSysClean;    
 BC_Activate;    
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи.

[ale002]

Процедура в безопасном режиме похоже порешила проблему. Спасибо!

[olejah]

virusinfo_cure.zip - карантин из темы прочь Нам нужно virusinfo_syscure.zip

[ale002]

Исправил. Ябольшенебуду

[olejah]

Выполните скрипт в АВЗ -

begin
 ExecuteWizard('SCU',2,2,true);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Отпишитесь о состоянии.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\главное меню\программы\автозагрузка\monoca32.exe - Trojan-Ransom.Win32.DigiPog.wi ( DrWEB: Trojan.DownLoad2.14900, BitDefender: Gen:Trojan.Heur.FU.bC0@a84oropi, AVAST4: Win32:Crypt-HCS [Drp] )