Webisida.Browser.exe, SecureSurf.Browser.Client.exe

Printable View

19.03.2015, 12:27
gazic1

Вложений: 2

Webisida.Browser.exe, SecureSurf.Browser.Client.exe

Добрый день.
Помогите пожалуйста. Червь устанавливает автосерфер. Сейчас в трее около 30 запущенных левых задач. Уже удалял его вручную недельку наверно назад, сейчас все всплыло заново.
P.S. Windows Server 2003 R2 Enterprise Edition SP2
19.03.2015, 12:28
Info_bot

Уважаемый(ая) [B]gazic1[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.03.2015, 15:30
mike 1

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
SetAVZPMStatus(false);
TerminateProcessByName('c:\documents and settings\Администратoр\windows\webisida.browser.exe');
TerminateProcessByName('c:\documents and settings\Администратoр\windows\gecko\securesurf.browser.client.exe');
TerminateProcessByName('c:\sys\system32\system32.exe');
QuarantineFile('C:\Program Files\dr.web - mowenniki\explorer[1].exe','');
QuarantineFile('c:\documents and settings\Администратoр\windows\webisida.browser.exe','');
QuarantineFile('c:\program files\vacuum-im_1.2.0_windows-x86\vacuum.exe','');
QuarantineFile('c:\documents and settings\Администратoр\windows\gecko\securesurf.browser.client.exe','');
QuarantineFile('c:\sys\system32\system32.exe','');
QuarantineFile('c:\documents and settings\Администратoр\windows\dhcp1.22.exe','');
DeleteFile('c:\sys\system32\system32.exe','32');
DeleteFile('c:\documents and settings\Администратoр\windows\gecko\securesurf.browser.client.exe','32');
DeleteFile('c:\documents and settings\Администратoр\windows\webisida.browser.exe','32');
DeleteFile('C:\Documents and Settings\Администратoр\WINDOWS\safesurf.exe','32');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\ZZima\zzima_loader\nloader.exe','32');
DeleteFile('C:\Program Files\dr.web - mowenniki\explorer[1].exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3262855002-665536693-2436468812-1018\Software\Microsoft\Windows\CurrentVersion\Run','Desktop Lock Express');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3262855002-665536693-2436468812-1020\Software\Microsoft\Windows\CurrentVersion\Run','WebisidaSecureSurf');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\jsafesurf');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\qloader');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','progrmma');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3262855002-665536693-2436468812-1018\Software\Microsoft\Windows\CurrentVersion\Run','ScreenBlur by InDeep Software');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

[/CODE]

Компьютер перезагрузите вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
26.03.2015, 08:52
gazic1

Вложений: 4

Вот логи
26.03.2015, 14:33
mike 1

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-3262855002-665536693-2436468812-500 -> {0388404D-6072-4CEB-B521-8F090FEAEE57} URL = http://klit.startnow.com/s/?q={searchTerms}&src=defsearch&provider=&provider_name=yahoo&provider_code=&partner_id=693&product_id=741&affiliate_id=&channel=&toolbar_id=200&toolbar_version=2.4.0&install_country=RU&install_date=20120331&user_guid=7C96BA6763DA4F86BDE566F75C025375&machine_id=88f863a610e4ca843facab9e322f5e41&browser=IE&os=win&os_version=5.2-x86-SP2&iesrc={referrer:source}
SearchScopes: HKU\S-1-5-21-3262855002-665536693-2436468812-500 -> {F857121E-A9E5-4fb4-8C54-C2851C5F22C9} URL = http://search.ticno.com/?c=t&q={searchTerms}
Toolbar: HKU\S-1-5-21-3262855002-665536693-2436468812-500 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
Toolbar: HKU\S-1-5-21-3262855002-665536693-2436468812-500 -> Adobe Acrobat Create PDF Toolbar - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No File
FF Extension: MegaSmiles - C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\xfg13i0l.default\Extensions\[email protected] [2013-11-22]
FF Extension: tabs - C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\xfg13i0l.default\Extensions\[email protected] [2012-07-27]
FF Extension: Info Enhancer for Firefox - C:\Documents and Settings\Администратор\Application Data\Mozilla\Firefox\Profiles\xfg13i0l.default\Extensions\[email protected] [2013-11-22]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha1447\ff
FF Extension: Media Viewer - C:\Program Files\MediaViewerV1\MediaViewerV1alpha1447\ff [2014-02-24]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaViewV1\MediaViewV1alpha2026\ff
FF Extension: Media View - C:\Program Files\MediaViewV1\MediaViewV1alpha2026\ff [2014-02-27]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaViewV1\MediaViewV1alpha1610\ff
FF Extension: Media View - C:\Program Files\MediaViewV1\MediaViewV1alpha1610\ff [2014-03-16]
CHR HKLM\...\Chrome\Extension: [ejndkmiodcalednmiiodoepjbfafjflh] - C:\Program Files\MediaViewV1\MediaViewV1alpha1610\ch\MediaViewV1alpha1610.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [fjmpkhbeilhneainnppkjigfkcabiamf] - C:\Program Files\MediaViewV1\MediaViewV1alpha2026\ch\MediaViewV1alpha2026.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [mclhmckbmmndljemgmjgeeoelmkoeapo] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha1447\ch\MediaViewerV1alpha1447.crx [Not Found]
2015-02-12 18:48 - 2015-03-19 16:33 - 00000000 ____D () C:\Documents and Settings\Администратoр\Local Settings\Application Data\Webisida
2013-11-22 10:45 - 2014-09-09 06:10 - 0000006 _____ () C:\Documents and Settings\Администратор\Application Data\smw_inst
C:\Program Files\dr.web - mowenniki
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![/list]
30.03.2015, 06:39
gazic1

Вложений: 1

логи
30.03.2015, 13:06
mike 1

А у вас на сервере файлы случайно не зашифрованы?
02.04.2015, 07:50
gazic1

ловили как то вирус который зашифровал все документы. Но тогда мы отделались легким испугом и нужные файлы восстановили. На сервере до сих пор есть зашифрованные файлы.
Пример названия зашифрованного файла - "С П Р А В К А.doc.id-{HMPSXADGJMPSVYBEHKNQTWZCFIKNRTWACFJL-09.09.2014 [email]5@19@425998574}[email protected][/email]"
02.04.2015, 13:05
mike 1

Что с проблемой?
15.04.2015, 07:34
gazic1

Вложений: 2

Добрый день. На днях снова повылазили те же болячки в диспетчере задач.
16.04.2015, 01:34
mike 1

Ну похоже к вам опять зашли удаленно раз файлы появляются. Пароли от всех учетных записей поменяйте на более стойкие.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
TerminateProcessByName('c:\documents and settings\Администратoр\windows\webisida.browser.exe');
QuarantineFile('c:\program files\vacuum-im_1.2.0_windows-x86\vacuum.exe','');
TerminateProcessByName('c:\documents and settings\Администратoр\windows\dhcp1.22.exe');
DeleteFile('c:\documents and settings\Администратoр\windows\dhcp1.22.exe','32');
DeleteFile('c:\documents and settings\Администратoр\windows\webisida.browser.exe','32');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3262855002-665536693-2436468812-1020\Software\Microsoft\Windows\CurrentVersion\Run','Farnsoft');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3262855002-665536693-2436468812-1020\Software\Microsoft\Windows\CurrentVersion\Run','WebisidaSecureSurf');
ExecuteSysClean;
end.

[/CODE]

Перезагрузите сервер вручную. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
16.04.2015, 01:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]