Подмена ярлыков браузеров на .bat [HEUR:Trojan.Win32.KillFiles, not-a-virus:AdWare.Win32.Eorezo.feyg ]

Printable View

27.01.2016, 11:13
DeZeRt

Вложений: 2

Подмена ярлыков браузеров на .bat [HEUR:Trojan.Win32.KillFiles, not-a-virus:AdWare.Win32.Eorezo.feyg ]

После установки нескольких программ (видимо было вредоносное ПО) начали подменяться ярлыки браузеров на нечто вроде "C:\ProgramData\GRIwxkWmG\fESVJi4.bat" вместо ярлыка на mozilla firefox. При запуске открывается браузер с рекламными страницами. Удаление папок с этими .bat файлами помогает только до перезагрузки компьютера.
Видел подобные темы, но не разобрался по ним, как вылечить эту пакость.
Заранее благодарю за помощь.
Прилагаю файлы, созданные avz4 и HijackThis. Система windows 8 64bit
27.01.2016, 11:14
Info_bot

Уважаемый(ая) [B]DeZeRt[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.01.2016, 12:25
regist

[QUOTE][B][COLOR=Navy]Внимание !!![/COLOR][/B] База поcледний раз обновлялась 04.09.2015 [B]необходимо обновить базы[/B] при помощи автоматического обновления (Файл/Обновление баз). Протокол антивирусной утилиты AVZ версии 4.45.[/QUOTE]
Пожалуйста, обновите базы и сделайте новые логи.

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

- сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.
27.01.2016, 13:34
DeZeRt

Вложений: 2

Ссылка на анализ файла карантина:
[url]http://virusinfo.info/virusdetector/report.php?md5=77453BA15F199A1BEF5032CF277FE517[/url]
Во вложениях лог АВЗ после обновления баз и лог от второй программы.

UPD:
Сканирование файла карантина завершено
27.01.2016, 16:43
regist

Здравствуйте!

1) Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\program files (x86)\gmsd_ru_005010219\gmsd_ru_005010219.exe');
TerminateProcessByName('c:\program files (x86)\edc7c900-1453312734-815c-35b5-4c72b9b769f7\knsl66a3.tmpfs');
TerminateProcessByName('c:\users\Вика\appdata\local\gmsd_ru_005010219\upgmsd_ru_005010219.exe');
StopService('vezoqyxezbt');
QuarantineFile('c:\program files (x86)\gmsd_ru_005010219\gmsd_ru_005010219.exe', '');
QuarantineFile('c:\program files (x86)\edc7c900-1453312734-815c-35b5-4c72b9b769f7\knsl66a3.tmpfs', '');
QuarantineFile('c:\users\Вика\appdata\local\gmsd_ru_005010219\upgmsd_ru_005010219.exe', '');
QuarantineFileF('C:\Program Files (x86)\MPC Cleaner', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\firefox - Ярлык.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mоzillа Firеfох.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndех.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk', '');
QuarantineFile('C:\Users\Вика\Desktop\firefox - Ярлык.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mоzillа Firеfох.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk', '');
QuarantineFile('C:\ProgramData\FipkiP\UsTVImTaL5.bat', '');
QuarantineFile('C:\ProgramData\GRIwxkWmG\fESVJi4.bat', '');
QuarantineFile('C:\Program Files (x86)\Google\Chrome\chrome.bat', '');
QuarantineFileF('C:\ProgramData\FipkiP', '*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\GRIwxkWmG', '*', true, '', 0, 0);
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk', '');
QuarantineFile('C:\Users\Вика\AppData\Local\Yandex\YandexBrowser\Application\browser.bat', '');
QuarantineFile('C:\Users\Public\Desktop\Avast SafeZone Browser.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Avast SafeZone Browser.lnk', '');
QuarantineFile('C:\ProgramData\vHlyxaS\pyuHje3.bat', '');
QuarantineFileF('C:\ProgramData\vHlyxaS', '*', true, '', 0, 0);
DeleteFile('c:\program files (x86)\gmsd_ru_005010219\gmsd_ru_005010219.exe', '32');
DeleteFile('c:\program files (x86)\edc7c900-1453312734-815c-35b5-4c72b9b769f7\knsl66a3.tmpfs', '32');
DeleteFile('c:\users\Вика\appdata\local\gmsd_ru_005010219\upgmsd_ru_005010219.exe', '32');
DeleteFile('C:\ProgramData\FipkiP\UsTVImTaL5.bat', '32');
DeleteFile('C:\ProgramData\FipkiP\UsTVImTaL5.bat', '');
DeleteFile('C:\ProgramData\GRIwxkWmG\fESVJi4.bat', '');
DeleteFile('C:\Program Files (x86)\Google\Chrome\chrome.bat', '');
DeleteFile('C:\Users\Вика\AppData\Local\Yandex\YandexBrowser\Application\browser.bat', '');
DeleteFile('C:\ProgramData\vHlyxaS\pyuHje3.bat', '');
ExecuteFile('schtasks.exe', '/delete /TN "ASC8_PerformanceMonitor" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Uninstaller_SkipUac_Вика" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{061F44AA-FB13-4B5B-B0C7-4FF2C32FA294}" /F', 0, 15000, true);
DeleteService('vezoqyxezbt');
DeleteFileMask('C:\Program Files (x86)\MPC Cleaner', '*', true);
DeleteFileMask('C:\ProgramData\FipkiP', '*', true);
DeleteFileMask('C:\ProgramData\GRIwxkWmG', '*', true);
DeleteFileMask('C:\ProgramData\vHlyxaS', '*', true);
DeleteDirectory('C:\Program Files (x86)\MPC Cleaner');
DeleteDirectory('C:\ProgramData\FipkiP');
DeleteDirectory('C:\ProgramData\GRIwxkWmG');
DeleteDirectory('C:\ProgramData\vHlyxaS');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'gmsd_ru_005010219');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'upgmsd_ru_005010219.exe');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

2) - Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\firefox - Ярлык.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mоzillа Firеfох.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndех.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk
C:\Users\Вика\Desktop\firefox - Ярлык.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mоzillа Firеfох.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk
C:\Users\Public\Desktop\Avast SafeZone Browser.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Avast SafeZone Browser.lnk
C:\Users\UpdatusUser\Desktop\MaxDownload.lnk
C:\Users\Вика\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ASPackage\Configure.lnk
C:\Users\Вика\Desktop\MaxDownload.lnk
C:\Users\Public\Desktop\Advanced SystemCare 8.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare 8\Advanced SystemCare 8.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare 8\Protect.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare 8\Toolbox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare 8\Turbo Boost.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare 8\Деинсталлировать Advanced SystemCare.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Intel\Intel(R) Graphics and Media Control Panel.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MaxDownload\MaxDownload.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MaxDownload\Uninstall.lnk
[/CODE]

3) - Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

4) [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
27.01.2016, 18:02
DeZeRt

Вложений: 4

Прикрепил файл карантина. К сожалению забыл перед проверкой отключить интернет и антивирус, после перезагрузки повторил действие с отключенным интернетом и антивирусом. Если надо, могу прислать второй файл карантина.

Сейчас попробую перезагрузить компьютер и проверить сохранилась ли проблема.

UPD:
Не помогло. Убитые ярлыки на рабочем столе вновь появились и ведут к .bat файлам.
27.01.2016, 19:53
regist

Здравствуйте!

Загрузитесь в безопасный режим.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\program files (x86)\sersoft\j2foxa.exe');
QuarantineFileF('c:\program files (x86)\sersoft\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files (x86)\MPC Cleaner\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Вика\AppData\Local\Kometa\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Вика\AppData\Local\Pokki\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\program files (x86)\sersoft\j2foxa.exe', '');
DeleteFile('c:\program files (x86)\sersoft\j2foxa.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "ASC8_SkipUac_Вика" /F', 0, 15000, true);
DeleteFileMask('C:\Program Files (x86)\MPC Cleaner\', '*', true);
DeleteFileMask('C:\Users\Вика\AppData\Local\Kometa\', '*', true);
DeleteFileMask('C:\Users\Вика\AppData\Local\Pokki\', '*', true);
DeleteDirectory('C:\Program Files (x86)\MPC Cleaner\');
DeleteDirectory('C:\Users\Вика\AppData\Local\Kometa\');
DeleteDirectory('C:\Users\Вика\AppData\Local\Pokki\');
QuarantineFileF('C:\Program Files (x86)\gmsd_ru_005010219', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFileMask('C:\Program Files (x86)\gmsd_ru_005010219', '*', true);
DeleteDirectory('C:\Program Files (x86)\gmsd_ru_005010219');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'kometaup');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'Application Restart #3');
ClearHostsFile;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru и Yandex - если программами от mail.ru и Yandex не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.
27.01.2016, 20:11
DeZeRt

Спасибо, попробую. К сожалению, сейчас у меня нет прямого доступа к компьютеру (до сих пор по удаленке пытался что-то сделать). Смогу выполнить Ваши указания не раньше, чем в пятницу. Прошу не закрывать тему, как только все сделаю - выложу логи.
29.01.2016, 20:05
DeZeRt

Вложений: 3

Выполнил Ваши указания. Почему-то зип файл карантина не создался, поэтому его не отослал.
Во вложениях остальные файлы.
Параллельно заметил, что удаляемый вашими скриптами ярлык MPC Cleaner-а при перезагрузке вновь появляется. Полчаса с ним пободался, вроде снес.
После выполнения скрипта в сэйф-моде и сноса MPC симптомы вируса вроде пропали.
Надеюсь не вылезут вновь.
Спасибо за помощь!!!
29.01.2016, 22:41
regist

1) [quote="DeZeRt;1354118"]Почему-то зип файл карантина не создался, поэтому его не отослал.[/quote]
Пришлите в карантин согласно [URL="http://virusinfo.info/pravila.html"][B]Приложения 2[/B] правил[/URL] по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Либо если будете выполнять сегодня, то можно собрать таким скриптом AVZ
[code]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/code]

2) - [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru и Yandex - если программами от mail.ru и Yandex не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

3) Сделайте свежий лог Check Browsers' LNK by Dragokas & regist.
29.01.2016, 22:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]66[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\edc7c900-1453312734-815c-35b5-4c72b9b769f7\knsl66a3.tmpfs - [B]not-a-virus:AdWare.Win32.AdSvc.zz[/B][*] c:\program files (x86)\gmsd_ru_005010219\gmsd_ru_005010219.exe - [B]not-a-virus:AdWare.Win32.Eorezo.feyg[/B][*] c:\program files (x86)\mpc cleaner\exe\adc_qd00000.exe - [B]HEUR:Trojan.Win32.KillFiles[/B][*] c:\program files (x86)\mpc cleaner\uninstdelete.exe - [B]HEUR:Trojan.Win32.KillFiles[/B][*] c:\users\вика\appdata\local\gmsd_ru_005010219\upgmsd_ru_005010219.exe - [B]not-a-virus:AdWare.Win32.Eorezo.feyg[/B][/LIST][/LIST]