Вирус, удаляющий папки

[newrising]

Здравствуйте.

Признаки:

1.Стали пропадать папки бесследно. Раз в квартал, примерно, 1 папка. Приходиться восстанавливать утилитами.
2.Очевидно,что переносится на флэшке
3.Недавно браузер перестал заходить на антивирусные сайты.
4.Периодически "отваливаются" винчестеры.Грешил на БП или материнку

Заранее благодарю за помощь

[Info_bot]

Уважаемый(ая) newrising, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи (https://virusinfo.info/pravila.html).

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+ (https://virusinfo.info/content.php?r=613-sub_pomogite).

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект (https://virusinfo.info/content.php?r=113-virusinfo.info-donate).

[Vvvyg]

По симптомам скорее порхоже на проблемы с диском. И Comodo, видимо, частично заблкировал работу autologger.

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe (https://virusinfo.info/showthread.php?t=7239):
begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-PowerShell/Operational" "Windows PowerShell.evtx"', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Doctor Web" "Doctor Web.evtx"', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=128m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.
В папке с AVZ появится архив Events.7z, загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

[newrising]

Хорошо, спасибо.
(При этом: "По симптомам скорее похоже на проблемы с диском". Диски отваливаются хаотично , то есть,а то нет , на двух разных машинах и все диски рандомно. AVZ нашел что функция перехвачена - , удаляются не в корзину папки одна прямо на моих глазах , и .... winpe_10_8/ загрузочный диск, когда загрузил win PE а в нем свыше 5 шт троянов, а эта флэшка палочка -выручалочкой долго была)

- - - - -Добавлено - - - - -
Скрипт выполнил, правда в архив он сам файлы не упаковал

https://disk.yandex.ru/d/LC1MXNbONSF4mw

Повторил с выключенным Comodo

[Vvvyg]

Такое есть событие:

Имя журнала: System
Источник: Microsoft-Windows-DriverFrameworks-UserMode
Дата: 04.02.2025 15:45:01
Код события: 10111
Категория задачи:User-mode Driver problems.
Уровень: Критический
Ключевые слова:
Пользователь: СИСТЕМА
Компьютер: DESKTOP-NMM4REV
Описание:
Устройство Samsung USB (размещение (unknown)) отключено из-за сбоя драйвера пользовательского режима. Windows попытается перезапустить устройство еще несколько раз: 5. Свяжитесь с производителем устройства для получения дополнительных сведений об этой проблеме.
И такие события нередки:
Система перезагрузилась, завершив работу с ошибками. Возможные причины ошибки: система перестала отвечать на запросы, произошел критический сбой или неожиданно отключилось питание.Т. е. аппаратные проблемы явные.

Активных вирусов по логам нет, если нашлось что-то мирно лежащее в закромах - оно не опасно, если не запускается.
Давайте копнём глубже. Сделайте такой лог, только отключите полностью Comodo на время.
Скачайте утилиту Universal Virus Sniffer отсюда (https://yadi.sk/d/6A65LkI1WEuqC) и сделайте полный образ автозапуска uVS (https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810).

[newrising]

сделал полный образ автозапуска uVS. DESKTOP-NMM4REV_2025-02-05_19-23-49_v4.99.5v x64

- - - - -Добавлено - - - - -

Теперь , после начала проблем, каждый раз сразу после начала работы ОС при запускаю AVZ

[Vvvyg]

Теперь , после начала проблем, каждый раз сразу после начала работы ОС при запускаю AVZ
И как, помогает? ;)

Протокол антивирусной утилиты AVZ версии 4.46
А в состав Autologger входит AVZ версии 5.99 и логи его в архиве присутствуют.

Есть, возможно, следы майнера, но только следы. Почистим с мусором.
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):
;uVS v4.99.8v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\GOOGLEUPDATE.EXE
deltsk %SystemDrive%\USERS\CREATION\APPDATA\LOCAL\TEMP\ED GE_BITS_10716_2044905233\B3F61889-8086-4659-BC6F-ED5BE91DA387
delref %SystemDrive%\USERS\KONSTRUKTOR\APPDATA\LOCAL\MICR OSOFT\ONEDRIVE\ONEDRIVESTANDALONEUPDATER.EXE
delref %SystemDrive%\PROGRAMDATA\PDF ARCHITECT 9\INSTALLATION\PDF_ARCHITECT_9_INSTALLER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\90.0.818.66\MSEDG E.DLL
delref %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\PLATFORM\4.18.2105.5-0\DRIVERS\WDNISDRV.SYS
delref L:\SETUP.EXE
delref J:\SISETUP.EXE
delref H:\SETUP.EXE
delref F:\SETUP.EXE
delref F:\SISETUP.EXE
delref J:\SETUP.EXE
delref %SystemDrive%\PROGRAM FILES\GOOGLE\DRIVE FILE STREAM\68.0.2.0\GOOGLEDRIVEFS.EXE
delref %SystemDrive%\USERS\CREATION\APPDATA\LOCAL\WHATSAP P\WHATSAPP.EXE
delref %SystemDrive%\USERS\CREATION\APPDATA\ROAMING\YANDE X\YANDEXDISK2\3.2.28.4901\YANDEXDISK2.EXE
apply
restart
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

По разборкам с удалением папок - можно попробовать Sysinternals ProcessMonitor настроить на отслеживание доступа, вот хороший гайд (https://www.outsidethebox.ms/21949/).

[newrising]

Спасибо за рекомендации! , с утра займусь. "Теперь , после начала проблем, каждый раз сразу после начала работы ОС при запускаю AVZ" помогает, но не надолго ) и немного )) ((

[newrising]

Здравствуйте, практически последний скрипт ничем не помог. Почти все файлы по новой образуются. "Перехватчиков" AVZ почти столько же видит после выполнения скрипта. Думаю систему переустанавливать надо?

[Vvvyg]

Скрипт только чистил мусор. Проблема, скорее, аппаратная, прежде чем переустанавливать систему, проверьте железо.
На перехваты функций не обращайте внимания, они от Comodo.

[newrising]

Одинаковая аппаратная проблема на 2 ух разных компьютерах? Такое бывает наверное крайне редко,все-таки железо то абсолютно разное?

[Vvvyg]

Давайте логи по второму смотреть. И сразу журналы событий, как в сообщении #3. Пока не зачто даже зацепиться.

[newrising]

https://disk.yandex.ru/d/DkVxbKwMeVM0DQ журнал событий , второй комп. Пока делал, исчезла на глазах папка, затем отвалился "винт" , затем при перезагрузке уход в CHKDSK

https://disk.yandex.ru/d/91vWnBue6ofY3A autologger

[Vvvyg]

Эти логи полностью бесполезны, древняя версия AVZ и то, что показал UVS после запуска. Нужен лог Autologger и полный образ UVS.
Вжурналах вал событий:

Обнаружена ошибка на устройстве \Device\Harddisk2\DR2 во время выполнения операции страничного обмена.
И такое ещё:
Драйвер обнаружил ошибку контроллера \Device\Ide\IdePort2.
Доступ к устройству \Device\Harddisk1\DR1 пока невозможен.
Не стоит искать вирусы там, где причины вполне очевидны.

[newrising]

Здравствуйте. Помогло только одно: форматирование винчестера и установка с нуля из образа ОС. Но не из всякого, а до только определенной даты( т.е. до момента наличия каких то программ и лек-ств к ним) На другой машине скачал вот это : https://www.safe..... /resources/av-block-remover-avbr.224/ , по завершении заказчики файла внимательно смотрю на него и через 0.1 сек файл обнулился в 0 байт и сменил имя и расширение! Скачал его же с "кривым именем" , запустил: успел заметить что удалено много файлов и 10 строк было красных . Признаки улучшения в системе стали наблюдаться .

- - - - -Добавлено - - - - -

Вот логи

- - - - -Добавлено - - - - -

Думаю (что посоветуете) LiveCD какой? DrWerb LiveCD я с него загрузился, но там не работает КВРТ Касперского, а CureiT не видит половину дисков, и чтобы ваши все программы работали: AVZ uVS. Еще странная картина: AVZ на всех копмах в 2 ух файлах "image_breeze..." находят троянов , а Virustotal именно в этих же файлах ничего не видит (

[Vvvyg]

Попробуйте Kaspersky Rescue Disk (https://www.kaspersky.ru/downloads/free-rescue-disk).
AVZ в качестве антивируса - так себе решение, много ложных срабатываний, как в Вашем случае.
И av-block-remover тут вовсе бесполезен.

[newrising]

Здравствуйте. Как только переустановил ОС, так сразу все "проблемы с железом" исчезли на обеих машинах.

При всем при этом, по 2 шт. ОС старых с программами я оставил , единственно только, распаковал их из 2 годовалых образов. Оданко же, и в них также были зловреды ! , очевидно что ранее они спали.
В лечении указанных зловредов помогли вот эти проги: av-block-remover находил по 1-2 зловреда , и удалил их, MinerSearch_v1.4.7.72 находил по 2-3 зловреда , и удалил их, + еще AVZ в качестве лакмуса хорош.

Итог - 4 дня , на компах все спокойно.

Так что вам спасибо, ваша догадка верна: майнеры и еще трояны.