Видимо троян. Прошу помощи. [Trojan.Win32.StartPage.fsgi, not-a-virus:RiskTool.Win32.GlobalUpdate.dx ]

Printable View

20.10.2015, 06:12
Василий Данюк

Вложений: 2

Видимо троян. Прошу помощи. [Trojan.Win32.StartPage.fsgi, not-a-virus:RiskTool.Win32.GlobalUpdate.dx ]

Здравствуйте.
На школьный компьютер в классе дочери занесли какую-то заразу.
Троян подменяет линки в ярлыках браузеров на свои, которые ведут на батники, расположенные в папке C:\ProgramData
KRD нашёл 24 файла с AdWare, но проблема осталась.
Подчистка вручную не помогла, потому что что-то постоянно создает задачи в планировщике, которые видимо и запускают трояна.
Ручное отключение задач в планировщике не помогает, после ребута всё повторяется. Во вложенных логах видно.
ОС Win 10 x64, поэтому п.1 инструкции не выполнялся, вложения два.
Очень надеюсь на помощь, классный руководитель расстроена((

[ATTACH]595175[/ATTACH]

[ATTACH]595176[/ATTACH]
20.10.2015, 06:13
Info_bot

Уважаемый(ая) [B]Василий Данюк[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
20.10.2015, 16:34
Василий Данюк

Да, еще, если важно...
Даже если запустить Хром из его рабочей папки, сам ехешник без параметров, то единожды при клике в любой области окна открывается ещё одно (не вкладка) с рекламой.
20.10.2015, 19:01
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SetServiceStart('contentdefenderdrv', 4);
StopService('HHandler Service');
StopService('ContentDefender');
StopService('globalUpdatem');
StopService('globalUpdate');
QuarantineFile('C:\Program Files (x86)\HP Defender\HHandler.exe', '');
QuarantineFile('C:\Program Files\Content Defender\ContentDefender.exe', '');
QuarantineFile('C:\WINDOWS\system32\drivers\contentdefenderdrv.sys', '');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe', '');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe', '32');
DeleteFile('C:\WINDOWS\system32\drivers\contentdefenderdrv.sys', '32');
DeleteFile('C:\ProgramData\vzL\HgLIgw0.bat', '32');
DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe', '32');
DeleteFile('C:\WINDOWS\Tasks\04aa17d4-99a1-4c18-98f6-287c91af2617-1-6.job', '32');
DeleteFile('C:\WINDOWS\Tasks\04aa17d4-99a1-4c18-98f6-287c91af2617-1-7.job', '32');
DeleteFile('C:\WINDOWS\Tasks\04aa17d4-99a1-4c18-98f6-287c91af2617-10_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\04aa17d4-99a1-4c18-98f6-287c91af2617-11.job', '32');
DeleteFile('C:\WINDOWS\Tasks\04aa17d4-99a1-4c18-98f6-287c91af2617-5.job', '32');
DeleteFile('C:\WINDOWS\Tasks\04aa17d4-99a1-4c18-98f6-287c91af2617-5_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\710add05-1deb-49ad-b51b-9449f30561f6-1-6.job', '32');
DeleteFile('C:\WINDOWS\Tasks\710add05-1deb-49ad-b51b-9449f30561f6-1-7.job', '32');
DeleteFile('C:\WINDOWS\Tasks\710add05-1deb-49ad-b51b-9449f30561f6-10_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\710add05-1deb-49ad-b51b-9449f30561f6-11.job', '32');
DeleteFile('C:\WINDOWS\Tasks\710add05-1deb-49ad-b51b-9449f30561f6-5.job', '32');
DeleteFile('C:\WINDOWS\Tasks\710add05-1deb-49ad-b51b-9449f30561f6-5_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\aedca078-77f9-4ef1-a564-d8b197ab2139-1-6.job', '32');
DeleteFile('C:\WINDOWS\Tasks\aedca078-77f9-4ef1-a564-d8b197ab2139-1-7.job', '32');
DeleteFile('C:\WINDOWS\Tasks\aedca078-77f9-4ef1-a564-d8b197ab2139-10_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\aedca078-77f9-4ef1-a564-d8b197ab2139-11.job', '32');
DeleteFile('C:\WINDOWS\Tasks\aedca078-77f9-4ef1-a564-d8b197ab2139-5.job', '32');
DeleteFile('C:\WINDOWS\Tasks\aedca078-77f9-4ef1-a564-d8b197ab2139-5_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-1-6.job', '32');
DeleteFile('C:\WINDOWS\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-1-7.job', '32');
DeleteFile('C:\WINDOWS\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-10_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-11.job', '32');
DeleteFile('C:\WINDOWS\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-5.job', '32');
DeleteFile('C:\WINDOWS\Tasks\c3961c62-1963-4aee-a1b9-47aa7e455440-5_user.job', '32');
DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore.job', '32');
DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job', '32');
DeleteFile('C:\WINDOWS\Tasks\temp_aedca078-77f9-4ef1-a564-d8b197ab2139-1-6.job', '32');
DeleteFile('C:\Program Files\Content Defender\ContentDefender.exe', '32');
DeleteFile('C:\Program Files (x86)\HP Defender\HHandler.exe', '32');
DeleteService('HHandler Service');
DeleteService('ContentDefender');
DeleteService('contentdefenderdrv');
DeleteService('WdsManPro');
DeleteService('globalUpdatem');
DeleteService('globalUpdate');
DeleteFileMask('C:\Program Files\Content Defender', '*', true);
DeleteFileMask('C:\Program Files (x86)\HP Defender', '*', true);
DeleteFileMask('C:\Program Files (x86)\globalUpdate', '*', true);
DeleteDirectory('C:\Program Files\Content Defender');
DeleteDirectory('C:\Program Files (x86)\HP Defender');
DeleteDirectory('C:\Program Files (x86)\globalUpdate');
ExecuteFile('schtasks.exe', '/delete /TN "04aa17d4-99a1-4c18-98f6-287c91af2617-1-6" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "04aa17d4-99a1-4c18-98f6-287c91af2617-1-7" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "04aa17d4-99a1-4c18-98f6-287c91af2617-11" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "04aa17d4-99a1-4c18-98f6-287c91af2617-5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "710add05-1deb-49ad-b51b-9449f30561f6-1-6" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "710add05-1deb-49ad-b51b-9449f30561f6-1-7" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "710add05-1deb-49ad-b51b-9449f30561f6-11" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "710add05-1deb-49ad-b51b-9449f30561f6-5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "aedca078-77f9-4ef1-a564-d8b197ab2139-1-6" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "aedca078-77f9-4ef1-a564-d8b197ab2139-1-7" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "aedca078-77f9-4ef1-a564-d8b197ab2139-11" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "aedca078-77f9-4ef1-a564-d8b197ab2139-5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "c3961c62-1963-4aee-a1b9-47aa7e455440-1-6" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "c3961c62-1963-4aee-a1b9-47aa7e455440-1-7" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "c3961c62-1963-4aee-a1b9-47aa7e455440-11" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "c3961c62-1963-4aee-a1b9-47aa7e455440-5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "globalUpdateUpdateTaskMachineCore" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "globalUpdateUpdateTaskMachineUA" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "temp_aedca078-77f9-4ef1-a564-d8b197ab2139-1-6" /F', 0, 15000, true);
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/URL].
21.10.2015, 04:32
Василий Данюк

Вложений: 3

Спасибо, что не прошли мимо. Карантин отправил, логи во вложении.

[ATTACH]595416[/ATTACH]

[ATTACH]595417[/ATTACH]

[ATTACH]595418[/ATTACH]
21.10.2015, 09:58
Vvvyg

Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.
22.10.2015, 12:37
Василий Данюк

Вложений: 2

Спасибо, выглядит всё нормально, проблемы себя не проявляют.

[ATTACH]595732[/ATTACH]

[ATTACH]595733[/ATTACH]
22.10.2015, 12:42
Vvvyg

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
22.10.2015, 12:45
Василий Данюк

Исполнено!) Благодарю!
22.10.2015, 12:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\globalupdate\update\globalupdate.exe - [B]not-a-virus:RiskTool.Win32.GlobalUpdate.dx[/B][*] c:\program files (x86)\hp defender\hhandler.exe - [B]Trojan.Win32.StartPage.fsgi[/B] ( AVAST4: Win32:Malware-gen )[*] c:\program files\content defender\contentdefender.exe - [B]not-a-virus:RiskTool.Win64.NetFilter.o[/B][*] c:\windows\system32\drivers\contentdefenderdrv.sys - [B]not-a-virus:RiskTool.Win64.NetFilter.o[/B][/LIST][/LIST]