Вирус просит обновить флеш-плеер. [not-a-virus:RiskTool.Win64.BitCoinMiner.ek, Trojan.VBS.Miner.a ]

Printable View

01.03.2014, 19:30
Tool

Вложений: 6

Вирус просит обновить флеш-плеер. [not-a-virus:RiskTool.Win64.BitCoinMiner.ek, Trojan.VBS.Miner.a ]

Здравствуйте, проблема следующего характера.

При входе на многие сайты (если не на все) всплывает окно с просьбой обновить флеш-плеер, при нажатии "окей" (почему-то в случае с youtube даже если закрыть, всё равно пересылает) перебрасывает на страницу скачивания плеера (вируса).

[ATTACH=CONFIG]464452[/ATTACH] [ATTACH=CONFIG]464454[/ATTACH]

p.s. Попробовал зайти на youtube ещё раз, теперь доступ вообще закрыт.
[ATTACH=CONFIG]464455[/ATTACH]

Буду благодарен, если поможете вылечить.
01.03.2014, 19:31
Info_bot

Уважаемый(ая) [B]Tool[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
01.03.2014, 20:39
Nikkollo

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)

[/CODE]

Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
ClearQuarantine;
QuarantineFile('C:\PROGRA~3\Mozilla\lnalvtb.exe','');
QuarantineFile('aitagent','');
QuarantineFile('C:\Users\Артур\AppData\Roaming\Flash\updatesec.vbs','');
QuarantineFile('C:\Users\Артур\AppData\Roaming\355088\355088.exe','');
QuarantineFile('C:\Users\Артур\1w3v7suop3nal-11957.exe','');
QuarantineFile('C:\Users\E8E5~1\AppData\Local\Temp\temp692143440.exe','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
DeleteFile('C:\Users\E8E5~1\AppData\Local\Temp\temp692143440.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NetworkInformer');
DeleteFile('C:\Users\Артур\1w3v7suop3nal-11957.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Server');
DeleteFile('C:\Users\Артур\AppData\Roaming\355088\355088.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SoftVoice');
DeleteFile('C:\Users\Артур\AppData\Roaming\Flash\updatesec.vbs','32');
DeleteFile('C:\PROGRA~3\Mozilla\lnalvtb.exe','32');
DeleteFile('C:\Windows\system32\Tasks\ronhdtl','64');
ExecuteRepair(21);
ExecuteSysClean;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
01.03.2014, 21:46
Tool

Вложений: 2

Заново сделанные логи:

Лог HijackThis и лог virusinfo_syscheck.zip
01.03.2014, 22:05
Nikkollo

Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
ClearQuarantine;
QuarantineFile('C:\Users\E8E5~1\AppData\Local\Temp\18mxbyt1j9jna7-11957.tmp','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
DeleteFile('C:\Users\Артур\1w3v7suop3nal-11957.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update Server');
DeleteFile('C:\Users\Артур\AppData\Local\Temp\temp692143440.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CrashReportChecker');
DeleteFile('C:\Users\E8E5~1\AppData\Local\Temp\18mxbyt1j9jna7-11957.tmp','32');
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O4 - HKLM\..\Run: [CrashReportChecker] C:\Users\Артур\AppData\Local\Temp\temp692143440.exe
O4 - HKCU\..\Run: [Windows Update Server] C:\Users\Артур\1w3v7suop3nal-11957.exe

[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
01.03.2014, 22:47
Tool

Вложений: 4

Эта строка отсутствовала:

O4 - HKLM\..\Run: [CrashReportChecker] C:\Users\Артур\AppData\Local\Temp\temp692143440.exe

[ATTACH=CONFIG]464490[/ATTACH]

Так же не получается загрузить quarantine.zip

[ATTACH=CONFIG]464491[/ATTACH]

Заново сделанные логи:

Лог HijackThis и лог virusinfo_syscheck.zip
01.03.2014, 23:35
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
02.03.2014, 02:27
Tool

Вложений: 3

Логи полного сканирования МВАМ и лог RSIT
02.03.2014, 15:23
mike 1

Здравствуйте!

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Users\Артур\AppData\Roaming\Flashvlc.exe','');
QuarantineFile('C:\Users\Артур\1w3v7suop3nal-11957.exe','');
QuarantineFileF('C:\Users\Артур\AppData\Roaming\Flash', '*', true, ' ', 0, 0);
QuarantineFileF('C:\Program Files (x86)\The first evidence\Guatemala is a magical', '*', true, ' ', 0, 0);
DeleteFile('C:\Users\Артур\1w3v7suop3nal-11957.exe','32');
DeleteFile('C:\Users\Артур\AppData\Roaming\Flashvlc.exe','32');
RegKeyParamDel('HKCU','SOFTWARE\Microsoft\Windows\CurrentVersion\Run','Windows Update Server');
DeleteFileMask('C:\Users\Артур\AppData\Roaming\Flash', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\The first evidence\Guatemala is a magical', '*', true, ' ');
DeleteDirectory('C:\Users\Артур\AppData\Roaming\Flash');
DeleteDirectory('C:\Program Files (x86)\The first evidence\Guatemala is a magical');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O4 - HKCU\..\Run: [Windows Update Server] C:\Users\Артур\1w3v7suop3nal-11957.exe
[/CODE]

В MBAM удалите (если останется):

[CODE]
Обнаруженные ключи в реестре: 1
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Windows Update Server (Backdoor.IRCBot) -> Параметры: C:\Users\Артур\1w3v7suop3nal-11957.exe -> Действие не было предпринято.

Обнаруженные папки: 2
C:\Program Files (x86)\The first evidence\Guatemala is a magical (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files (x86)\The first evidence\Guatemala is a magical\ee (Trojan.Agent.VBS) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Users\Артур\AppData\Roaming\Flash\flashupdate.exe (Trojan.Dropper) -> Действие не было предпринято.
C:\Users\Артур\1w3v7suop3nal-11957.exe (Backdoor.IRCBot) -> Действие не было предпринято.
C:\Program Files (x86)\The first evidence\Guatemala is a magical\08a4415e9d594ff960030b921d42b91e.bat (Trojan.Agent.VBS) -> Действие не было предпринято.
C:\Program Files (x86)\The first evidence\Guatemala is a magical\ee\she.he (Trojan.Agent.VBS) -> Действие не было предпринято.
[/CODE]

После удаления сделайте новый лог MBAM.
02.03.2014, 19:57
thyrex

Ждем новый лог МВАМ
03.03.2014, 00:39
Tool

Вложений: 1

Новый лог MBAM
03.03.2014, 01:50
mike 1

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
03.03.2014, 14:23
Tool

Вложений: 2

Лог virusinfo_syscheck.zip и лог HijackThis
03.03.2014, 17:11
mike 1

Что с проблемой?
03.03.2014, 21:54
Tool

Проблема решена, ещё раз спасибо.
03.03.2014, 21:57
mike 1

[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://tools.safezone.cc/glax24/SecurityCheck/SecurityCheck.exe"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]
03.03.2014, 22:07
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\e8e5~1\appdata\local\temp\temp692143440.exe - [B]Backdoor.Win32.Hlux.ctsp[/B][*] c:\users\артур\appdata\roaming\flash\first.vbs - [B]Trojan.VBS.Miner.a[/B] ( BitDefender: Trojan.Script.488733, AVAST4: Unix:Malware-gen )[*] c:\users\артур\appdata\roaming\flash\flashcl.exe - [B]Trojan.Win32.Inject.imye[/B][*] c:\users\артур\appdata\roaming\flash\flashupdate.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.ek[/B][*] c:\users\артур\appdata\roaming\flash\startcl.vbs - [B]HEUR:Trojan.Script.Generic[/B][*] c:\users\артур\appdata\roaming\flash\startsec.vbs - [B]HEUR:Trojan.Script.Generic[/B][*] c:\users\артур\appdata\roaming\flashvlc.exe - [B]not-a-virus:Downloader.NSIS.OutBrowse.b[/B][*] c:\users\артур\appdata\roaming\355088\355088.exe - [B]Trojan-Dropper.Win32.Injector.heay[/B] ( BitDefender: Trojan.Generic.KDV.851336 )[/LIST][/LIST]