Добрый вечер.
Юное поколение поймало на машину всякой дряни по паре: snapdo, webalta, еще что-то.
Несколько раз прогнала в безопасном режиме CureIT, AVZ, Malwarebytes и AdwCleaner. Отрапортовали, что всё чисто, но при обычной загрузке в процессах висят указанные в заголовке экзешники. Повторила процесс с тем же результатом: в сейфмоде зараженные файлы/папки удаляются, при загрузке в обычном режиме - по-прежнему на своих местах.
P.S.
С наступающим НГ...
Уважаемый(ая) [B]VitaKapella[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
[URL="http://virusinfo.info/virusdetector/report.php?md5=9ED1BCB05B9EAB77E7D5A9D9C6AEC367"]Ссылка[/URL].
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.86.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delref %SystemDrive%\TEMP\1.EXE
zoo %SystemDrive%\USERS\МИХАЛЫЧ\APPDATA\LOCAL\CONEHOLDINGS.EXE
bl EF930344CC20C4C5164D06F6E21F56C4 66048
delall %SystemDrive%\USERS\МИХАЛЫЧ\APPDATA\LOCAL\CONEHOLDINGS.EXE
delall %SystemDrive%\USERS\МИХАЛЫЧ\APPDATA\LOCAL\TIMETASKS\TIMETASKS.EXE
delall HTTP://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?P=MKO_AWFZXIPYRYEQQAO2TXTGPTBOXPBNEFYXTYM6MATBQ1EV82UMCTHOLRFQCJGRFFJTRAFRH9RJECIYO7VENNSDM9DYBGHAMYBSKJBDN07MA1V2QIM1KGEHVMBYRK4H2OVJLM8WGFTGZSPEASK7QI7LU4UBIZCELFI2AWOK_BTAMFTVNRLXMWFYMSOG
delall HTTP://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?P=MKO_AWFZXIPYRYEQQAO2TXTGPTBOXPBNEFYXTYM6MATBQ1EV82UMCTHOLRFQCJGRFFJTRAFRH9RJECIYO7VENNSDM9DYBGHAMYBSKJBDN07MA1KKKQF3SO4Z1KR2QKH2TQRRBC4REO6PHA4W1GSPIIKTTAJFFI4OK7-ZQRCGEZG_0SYC1N9HPHBNOM5F&Q=
dirzooex %SystemDrive%\PROGRAM FILES (X86)\ADOBE UPDATE
dirzooex %SystemDrive%\PROGRAM FILES\CMDIDX
dirzooex %SystemDrive%\PROGRAMDATA\CAMYCILOP
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALLMENURIGHT64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\IOBIT\ADVANCED SYSTEMCARE 8\ASC.EXE
czoo
restart[/CODE]
сделайте новый образ автозапуск.
В менеджере вложений отсутствует возможность удалять ранее загруженные файлы.
Не могу загрузить новый образ автозапуска, потому что кончилось допустимое место...
загрузите сюда [url]http://rghost.ru/[/url] и оставьте ссылку на скачивание.
[URL="http://rghost.ru/8KH2s5gsK"]Done[/URL]
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.86.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\ADOBE UPDATE\KEEPUP_SVC.EXE
bl 0B803F577D86B185447FED760DA4CF7A 19456
delall %SystemDrive%\PROGRAM FILES (X86)\ADOBE UPDATE\KEEPUP_SVC.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\ADOBE UPDATE\SETUP.EXE
bl 793C31CB5A1B80E2C7152695FD80DCC2 852480
delall %SystemDrive%\PROGRAM FILES (X86)\ADOBE UPDATE\SETUP.EXE
delall %SystemDrive%\PROGRAMDATA\\CAMYCILOP\CAMYCILOP.EXE
delall %SystemDrive%\PROGRAMDATA\\CAMYCILOP\\CAMYCILOP.EXE
zoo %SystemDrive%\PROGRAMDATA\CAMYCILOP\CAMYCILOP.EXE
bl A000E70244D468A7EC0BEA3C24696CF0 534016
delall %SystemDrive%\PROGRAMDATA\CAMYCILOP\CAMYCILOP.EXE
czoo
restart[/CODE]
сделайте свежий образ.
Заодно о проблеме отпишитесь.
[URL="http://rghost.ru/7H5WkXTHs"]Образ[/URL]
Реклама из всех щелей лезть перестала.
Процессы/их файлы живы-здоровы, висят и не удаляются. Прогнала ещё раз AdwCleaner'ом - безрезультатно. Говорит, что вычистил, но после перезагрузки - как живые.
[quote="VitaKapella;1346944"]Прогнала ещё раз AdwCleaner'ом - безрезультатно. Говорит, что вычистил, но после перезагрузки - как живые.[/quote]
вы бы лог прикрепили ;)
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
+ выполните скрипт и пришлите карантин
[CODE];uVS v3.86.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delall %SystemDrive%\PROGRAMDATA\CAMYCILOPS\FF.HP
delall %SystemDrive%\PROGRAMDATA\CAMYCILOPS\FF.NT
delall %SystemDrive%\PROGRAMDATA\\CAMYCILOP\CAMYCILOP.EXE
delall %SystemDrive%\PROGRAMDATA\\CAMYCILOP\\CAMYCILOP.EXE
zoo %SystemDrive%\PROGRAMDATA\CAMYCILOP\CAMYCILOP.EXE
bl E067B8D54AFE69BB13C6F1C46E62BEC5 508416
delall %SystemDrive%\PROGRAMDATA\CAMYCILOP\CAMYCILOP.EXE
dirzooex %SystemDrive%\PROGRAM FILES\CMDIDX
zoo %SystemDrive%\PROGRAM FILES\CMDIDX\CMDIDX.EXE
bl 192D5F8E9AFEC1C0BDAC0306469E600D 383488
delall %SystemDrive%\PROGRAM FILES\CMDIDX\CMDIDX.EXE
delall HTTP://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?P=MKO_AWFZXIPYRYEQQAO2TXTGPTBOXPBNEFYXTYM6MATBQ1EV82UMCTHOLRFQCJGRFFJTRAFRH9RJECIYO7VENNSDM9DYBGHAMYBSKJBDN07MA1V2QIM1KGEHVMBYRK4H2OYQJLTXGAVNYRS51J7SCWLGITNNWJEIF1_FDJDKKJUNBVBBB5D2FHF2RAPH
delall HTTP://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?P=MKO_AWFZXIPYRYEQQAO2TXTGPTBOXPBNEFYXTYM6MATBQ1EV82UMCTHOLRFQCJGRFFJTRAFRH9RJECIYO7VENNSDM9DYBGHAMYBSKJBDN07MA1KKKQF3SO4Z1KR2QKH2TQE9LH4MULO25NFTSRTKXX_WAR4QK25CAQJHTFXKEQEYKPKWR4EWEOGEGRIL&Q=
delref %SystemDrive%\TEMP\1.EXE
czoo
restart[/CODE]
[URL="http://rghost.ru/private/6dzdjKFk2/e948fa872e67ae249f88961c18c37693"]AdwCleaner log[/URL]
Карантин отправила.
В процессах всё чисто, подозрительных нет.
Сделайте свежий лог AdwCleaner-а.
[URL="http://rghost.ru/private/79Lp2znkh/436d8c9506e7971f13d887a572620ac3"]Log[/URL]
[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]
Проблема решена?
Кажется, да. Спасибо.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Нет, в стиме при нажатии куда либо во встроенном браузере вылезает реклама.
[URL="http://rghost.ru/8nBmh8PZd"]hijackthis.log[/URL]
[URL="http://rghost.ru/8slt65jYZ"]virusinfo_syscheck.zip[/URL]
upd2.
Ага, Malwarebytes перехватила кучу исходящих обращений от steamwebhelper.exe.
[ATTACH=CONFIG]609582[/ATTACH]
[quote="VitaKapella;1347049"]Ага, Malwarebytes перехватила кучу исходящих обращений[/quote]
MBAM постоянно так ругается в том числе и на легальные соединения. Так что это ни о чём не говорит.
- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования MBAM.[/url]
+ - Сделайте аппаратный сброс настроек роутера на заводские, введите правильные настройки, смените пароль на роутере.
- [URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кеш и куки браузеров[/URL]
Проверяйте работу в Интернете
Я привела скрин. Судя по сайтам в логах это вряд ли легальные соединения.
Более того, такое происходит только из под одного конкретного аккаунта. Зашла в стиме под другим - нет рекламы, нет исходящих обращений, MBAM молчит.
Сделаю, логи прикреплю позднее.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Проблема решена, спасибо.
Лог девственно чистый, поэтому не привожу.
MBAM деинсталируйте.
Выполните скрипт в AVZ при наличии доступа в интернет:
[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \camycilop.exe._fee8eabdccca86c0213d200dee74d685869dab44 - [B]Trojan-Dropper.Win32.Agent.sbfz[/B] ( BitDefender: Gen:Trojan.Heur.JP.GuW@auWUQlp )[*] \cmdidx.exe._291e46ff5d26a9b09d2439ad8815055c7abc0516 - [B]not-a-virus:AdWare.Win32.Amonetize.cblg[/B][*] \keepup_svc.exe._dcaa5b980ebbe1248f2cabd383736f5c5d7d79c6 - [B]Trojan.MSIL.Agent.foar[/B][/LIST][/LIST]