Вирус загружает весь ЦП на 100%. [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.heur ]

Printable View

10.01.2014, 13:21
Александр Малахов

Вложений: 4

Вирус загружает весь ЦП на 100%. [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.heur ]

Помогите! Уже весь интернет облазил,ничего сделать не могу.
10.01.2014, 13:22
Info_bot

Уважаемый(ая) [B]Александр Малахов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.01.2014, 14:01
regist

ComboFix для чего запускали ? >:(

Прикрепите лог его работы.

- Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=290-virus-detector][B]тут[/B][/url]. Ссылку на результат проверки напишите в сообщении здесь.

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
10.01.2014, 14:07
Александр Малахов

Вложений: 1

Вроде все)

[url]http://virusinfo.info/virusdetector/report.php?md5=25A4479B53B305C18B448DA3CECE2D3C[/url]
10.01.2014, 14:58
regist

что всё ? где логи? где ссылка на результат анализа?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

или на модерации сообщение?
11.01.2014, 10:10
Александр Малахов

Теперь все?
11.01.2014, 10:39
regist

[quote="regist;1078452"]ComboFix для чего запускали ?

Прикрепите лог его работы.[/quote]
лог комбофикса забыли.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ [url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url]

[CODE]Обнаруженные ключи в реестре: 11
HKCR\CLSID\{67BD9EEB-AA06-4329-A940-D250019300C9} (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\TypeLib\{A0EE0278-2986-4E5A-884E-A3BF0357E476} (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\Interface\{9EDC0C90-2B5B-4512-953E-35767BAD5C67} (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\Updater.AmiUpd.1 (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\Updater.AmiUpd (PUP.Optional.SoftwareUpdater) -> Действие не было предпринято.
HKCR\CLSID\{A6FEED89-3BCD-4D19-9DC2-3E613A80A2A4} (PUP.Optional.Amonetize.A) -> Действие не было предпринято.
HKCR\TypeLib\{1C1356DA-1E98-4810-A9F6-18D89BD1C0C0} (PUP.Optional.Amonetize.A) -> Действие не было предпринято.
HKCR\Interface\{D54C859C-6066-4F31-8FE0-2AAEDCAE67D7} (PUP.Optional.Amonetize.A) -> Действие не было предпринято.
HKCR\AmiBs.Installer.1 (PUP.Optional.Amonetize.A) -> Действие не было предпринято.
HKCR\AmiBs.Installer (PUP.Optional.Amonetize.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{99C91FC5-DB5B-4AA0-BB70-5D89C5A4DF96} (PUP.Software.Updater) -> Действие не было предпринято.
C:\Windows\cpu.exe (Riskware.BitcoinMiner) -> Действие не было предпринято.
C:\Windows\proxy.exe (PUP.Proxy.BCM) -> Действие не было предпринято.[/CODE]

сделайте новый лог сканирования MBAM
11.01.2014, 13:39
Александр Малахов

Вложений: 2

Вот
11.01.2014, 14:44
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
QuarantineFile('c:\windows\cpu1.exe','');
DeleteFile('c:\windows\cpu1.exe');
QuarantineFile('C:\Windows\cpu.exe','');
DeleteFile('C:\Windows\cpu.exe');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

это вы новый лог комбофикса сделали, а я хотел увидеть старый так как он уже там самостоятельно там что-то вам поудалял.
11.01.2014, 14:52
Александр Малахов

Старый вроде я выкладывал в самом начале.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Старый вроде я выкладывал в самом начале.
11.01.2014, 14:54
regist

если добавляете логи, то надо выкладывать новым сообщением, а не добавлять в старый пост - тогда их сразу заметят ;).

выполняйте рекомендации из предыдущего поста.
11.01.2014, 15:09
Александр Малахов

Вложений: 1

вот, quarantine грузится.
11.01.2014, 16:14
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
breg

; D:\DC++\COUNTER-STRIKE_1.6.EXE
zoo D:\DC++\COUNTER-STRIKE_1.6.EXE
; zoo D:\DC++\COUNTER-STRIKE_1.6.EXE
zoo %SystemRoot%\CUDA.EXE
; C:\WINDOWS\CUDA.EXE
bl 0F36944968B974300E2E5D60F7822EF9 4422144
delall %SystemRoot%\CUDA.EXE
zoo %SystemRoot%\LIBCURL-4.DLL
; C:\WINDOWS\LIBCURL-4.DLL
bl 6F15C32334D2310ABF30187D6294EAF5 245795
delall %SystemRoot%\LIBCURL-4.DLL

restart
[/CODE]

сделайте новый образ автозапуска, заодно отпишитесь, что с проблемой.
11.01.2014, 17:49
Александр Малахов

Все отлично,побольше никаких подвисаний нет. Не могу загрузить новый образ автозапуска, не добавляется в вложение
11.01.2014, 20:03
regist

[quote="Александр Малахов;1078972"]Не могу загрузить новый образ автозапуска, не добавляется в вложение[/quote]
загрузите сюда [url]http://rghost.ru/[/url] и оставьте ссылку на скачивание.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ лог MBAM ещё раз повторите.
13.01.2014, 06:00
Александр Малахов

Вложений: 1

Сообщение на модерации со вчерашнего дня.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

http://rghost.ru/51582323
13.01.2014, 11:28
regist

[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url]

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url]

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
14.01.2014, 06:39
Александр Малахов

Спасибо, вы мне очень помогли:)
14.01.2014, 06:49
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\cpu.exe - [B]not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.heur[/B] ( DrWEB: Tool.BtcMine.130, BitDefender: MemScan:Application.BitCoinMiner.BK )[/LIST][/LIST]