Словил BackDoor Dark Komet

Printable View

23.08.2016, 16:07
blackjacked

Вложений: 3

Словил BackDoor Dark Komet

Добрый день. Случайно запустил подозрительную программу, которая в итоге оказалось вирусом Win32.BackDoor.DarkKomet.aagr . Скачал DarkKomet Remover, просканировал и удалил вирус. Также проверил антивирусом, он ничего не обнаружил. Но всё-таки у меня остаются сомнения, возможно DarkKomet до сих пор сидит у меня на пк, возможно в скрытом виде или что-то вроде того, поэтому хотелось бы провести подробный анализ. Спасибо!
23.08.2016, 16:08
Info_bot

Уважаемый(ая) [B]blackjacked[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
23.08.2016, 23:04
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\ProgramData\desktopfind\desktop244.exe', '');
DeleteFile('C:\WINDOWS\Tasks\newSI_650.job', '64');
DeleteFile('C:\Program Files (x86)\IObit\Advanced SystemCare\ASCService.exe', '32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduPinyinUpdate\bdupdate.exe', '32');
DeleteFile('C:\ProgramData\desktopfind\desktop244.exe', '32');
DeleteFile('c:\program files\52c84176847e3c08917b5780a4ee945b\57d3853b532ad3ba3a6bf5b0bcfcdff1.exe', '32');
DeleteFile('C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe', '32');
DeleteFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '32');
DeleteFile('C:\Program Files (x86)\WeatherChickn\WeatherChickn.exe', '32');
DeleteFile('F:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\QMUdisk64.sys', '32');
DeleteFile('F:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\softaal64.sys', '32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMGR\Plugins\SRepairDrv', '32');
DeleteFile('F:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\TsNetHlpX64.sys', '32');
DeleteFile('C:\Program Files (x86)\IObit\Advanced', '32');
DeleteFile('C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\DWA\resources\libraries\EventMessages.dll', '32');
DeleteFile('C:\Users\Кирилл\AppData\Local\Amigo\Application\amigo.exe', '32');
DeleteFile('C:\Users\Кирилл\AppData\Local\Kometa\Application\kometa.exe', '32');
DeleteFile('C:\Users\Кирилл\AppData\Local\Kometa\Panel\KometaLaunchPanel.exe', '32');
DeleteFile('C:\Users\Кирилл\AppData\Local\Kometa\kometaup.exe', '32');
DeleteFile('C:\Program Files (x86)\Smart File Advisor\SFAUpdater.exe', '32');
DeleteFile('C:\Program Files (x86)\Smart File Advisor\sfa.exe', '32');
DeleteFile('C:\Users\Кирилл\AppData\Local\Mail.Ru\Sputnik\IESearchPlugin.dll', '32');
DeleteFile('C:\Users\Кирилл\AppData\Roaming\newSI_650\s_inst.exe', '32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduPinyin\3.3.2.1028\bdupdate.exe', '32');
DeleteFile('C:\Users\Кирилл\AppData\Roaming\FreeVPN\FreeVPN.exe', '32');
DeleteFile('C:\Program Files\COMODO\GeekBuddy\publisher.dll', '32');
DeleteService('AdvancedSystemCareService9');
DeleteService('BaiduPinyinUpdater');
DeleteService('DeskTop_F');
DeleteService('fb49a32ced378011a96aa9246130290a');
DeleteService('mrupdsrv');
DeleteService('Updater.Mail.Ru');
DeleteService('WeatherChiknSrvr');
DeleteService('Winsere');
DeleteService('QMUdisk');
DeleteService('softaal');
DeleteService('SRepairDrv');
DeleteService('tsnethlpx64');
DeleteService('EasyAntiCheat');
DeleteService('DragonUpdater');
DeleteFileMask('c:\program files (x86)\iobit', '*', true);
DeleteFileMask('c:\program files (x86)\baidu', '*', true);
DeleteFileMask('c:\programdata\desktopfind', '*', true);
DeleteFileMask('c:\program files\52c84176847e3c08917b5780a4ee945b', '*', true);
DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
DeleteFileMask('c:\program files (x86)\weatherchickn', '*', true);
DeleteFileMask('f:\program files (x86)\tencent', '*', true);
DeleteFileMask('c:\program files (x86)\tencent', '*', true);
DeleteFileMask('c:\program files (x86)\common files\adobe\oobe\pdapp', '*', true);
DeleteFileMask('c:\users\кирилл\appdata\local\amigo', '*', true);
DeleteFileMask('c:\users\кирилл\appdata\local\kometa', '*', true);
DeleteFileMask('c:\users\кирилл\appdata\local\mail.ru', '*', true);
DeleteFileMask('c:\users\кирилл\appdata\roaming\newsi_650\', '*', true);
DeleteFileMask('c:\users\кирилл\appdata\roaming\freevpn', '*', true);
DeleteDirectory('c:\program files (x86)\iobit');
DeleteDirectory('c:\program files (x86)\baidu');
DeleteDirectory('c:\programdata\desktopfind');
DeleteDirectory('c:\program files\52c84176847e3c08917b5780a4ee945b');
DeleteDirectory('c:\program files (x86)\mail.ru');
DeleteDirectory('c:\program files (x86)\weatherchickn');
DeleteDirectory('f:\program files (x86)\tencent');
DeleteDirectory('c:\program files (x86)\tencent');
DeleteDirectory('c:\program files (x86)\common files\adobe\oobe\pdapp');
DeleteDirectory('c:\users\кирилл\appdata\local\amigo');
DeleteDirectory('c:\users\кирилл\appdata\local\kometa');
DeleteDirectory('c:\users\кирилл\appdata\local\mail.ru');
DeleteDirectory('c:\users\кирилл\appdata\roaming\newsi_650\');
DeleteDirectory('c:\users\кирилл\appdata\roaming\freevpn');
DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "BaiduPinyinUpdate" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SystemRestore\FreeVPN" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\DefragPath', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
24.08.2016, 00:08
blackjacked

Вложений: 2

Готово.
24.08.2016, 07:23
Vvvyg

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
24.08.2016, 15:41
blackjacked

Вложений: 3

Сделано!
25.08.2016, 08:12
Vvvyg

Деинсталлируйте GeekBuddy, hohosearch Uninstall, Zaxar Games Browser 4.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
S4 AxAutoMntSrv; C:\Program Files (x86)\Alcohol Soft\Alcohol 120\AxAutoMntSrv.exe [X]
S4 ETDService; "C:\Program Files\Elantech\ETDService.exe" [X]
S4 Hamachi2Svc; "C:\Program Files (x86)\LogMeIn Hamachi\hamachi-2.exe" -s [X]
S4 LMIGuardianSvc; "C:\Program Files (x86)\LogMeIn Hamachi\LMIGuardianSvc.exe" [X]
S4 StarWindServiceAE; C:\Program Files (x86)\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe [X]
2016-06-10 17:43 - 2016-06-10 17:43 - 00000016 _____ C:\ProgramData\mntemp
2016-06-06 17:44 - 2016-06-06 17:44 - 0000000 _____ () C:\Program Files (x86)\Free VPN
Task: {05FDCBC4-97EC-4279-B715-B6F5B52DDEB8} - \newSI_650 -> No File <==== ATTENTION
Task: {31C38E2C-F09A-4045-AE3B-1304289B02E1} - \BaiduPinyinUpdate -> No File <==== ATTENTION
Task: {981C87B6-4892-4A6A-AD3B-72B778B2DE0C} - \Microsoft\Windows\SystemRestore\FreeVPN -> No File <==== ATTENTION
Task: {E3770CC2-4189-4173-9068-3DBA7745B3A9} - \Advanced PC Care_Logon -> No File <==== ATTENTION
Task: {EC4BFA8F-6699-4E00-BEBC-DFFB57CD817B} - \Realtek HD Audio -> No File <==== ATTENTION
FirewallRules: [{A80E98AA-A5BE-46F7-B908-58D653977D87}] => (Allow) C:\program files (x86)\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [{0AB505E2-A9A8-4613-A0BB-FEECCCE814E0}] => (Allow) C:\program files (x86)\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [{C91F5AC1-543F-446C-9537-088075A9609E}] => (Allow) F:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\PLUGINS\CHECKPCMGRUPDATE.EXE
FirewallRules: [{AA0593F7-E465-4C2C-A41A-D9DB1536273A}] => (Allow) F:\AppData\Local\Temp\QQPCDownload8890540.exe
FirewallRules: [{2562F0D7-D732-4974-B694-7643EF99CBFC}] => (Allow) F:\AppData\Local\Temp\QQPCDownload8890540.exe
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\qwytjpbven" /f
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
25.08.2016, 13:35
blackjacked

Вложений: 1

Прикрепил:
25.08.2016, 20:00
Vvvyg

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.
26.08.2016, 03:08
blackjacked

Вложений: 1

Сделал. Вот:
26.08.2016, 07:22
Vvvyg

[QUOTE]Системный диск: C: ФС: [NTFS] Емкость: [55.8 Гб] Занято: [55.8 Гб] Свободно: [0 Гб][/QUOTE]
Места нет на системном разделе, от слова "совсем". Расчищайте, а лучше расширяйте диск.

[QUOTE]iTunes v.12.3.0.44 [color=red][b]Внимание! [url=https://www.apple.com/ru/itunes/download/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Для проверки новой версии используйте приложение Apple Software Update^[/b][/color]
QuickTime 7 v.7.76.80.95 [color=red][b]Данная программа больше не поддерживается разработчиком и имеет известные проблемы безопасности![/b][/color] Рекомендуется [b][url=https://support.apple.com/ru-ru/HT205771]деинсталлировать[/url][/b] данное ПО.[/QUOTE]

[QUOTE]Adobe Flash Player 20 NPAPI v.20.0.0.267 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 21 PPAPI v.21.0.0.242 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ppapi.exe]Скачать обновления[/url][/b][/color]
Adobe Shockwave Player 12.1 v.12.1.3.153 [color=red][b]Внимание! [url=http://get.adobe.com/shockwave/]Скачать обновления[/url][/b][/color][/QUOTE]

Продукты Adobe всегда нужно иметь свежими, они наряду с браузерами и Java наиболее часто используются для внедрения вирусов через уязвимости.
Кстати, Java старые версии удалите, 64-битные, они, скорее всего, вообще не нужны.

[QUOTE]Yandex v.16.7.1.20936 [color=red][b]Внимание! [url=http://browser.yandex.ru/?from=cont_spec]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Дополнительно - О браузере Yandex!^[/b][/color]
Yandex taskbar button v.2.0.1.2130 [color=red][b]Внимание! [url=http://browser.yandex.ru/?from=cont_spec]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Дополнительно - О браузере Yandex!^[/b][/color]
Comodo Dragon v.46.9.15.424 [color=red][b]Внимание! [url=http://download.comodo.com/browser/update/dragon/dragonsetup.exe]Скачать обновления[/url][/b][/color]
Google Chrome v.49.0.2623.87 [color=red][b]Внимание! [url=https://www.google.ru/chrome/browser/desktop/index.html]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - О Google Chrome!^[/b][/color]
Opera Stable 38.0.2220.29 v.38.0.2220.29 [color=red][b]Внимание! [url=http://www.opera.com/computer]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню О программе!^[/b][/color][/QUOTE]
Браузеры - первый эшелон безопасности в интернете, тоже обновлять своевременно обязательно.

[QUOTE]Wajam v.1.65.10.5 [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция.
AddMeFast Bot PR-BOT.RU 0.01 v.0.01 [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция.
AusLogics BoostSpeed [color=red][b]Внимание! Подозрение на демо-версию антишпионской программы или программы-оптимизатора - scareware или badware.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
hohosearch Uninstall [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция.
Zaxar Games Browser 4 v.4 [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция.
Universal Driver Updater v.1.0.2.0 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Free VPN version 3.2 v.3.2 [color=red][b]Внимание! Подозрение на Adware!
Auslogics BoostSpeed 7 v.7.8.0.0 [color=red][b]Внимание! Подозрение на демо-версию антишпионской программы или программы-оптимизатора - scareware или badware.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Setup v.18.0.0.181 [color=blue][b]<< Скрыта[/b][/color] [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция.
IconRunner version 1.0 v.1.0 [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция.[/QUOTE]

Часть самих программ уже зачищена, остались только записи от инсталляторов, но лучше удалить всё, заодно немного места расчистите.
26.08.2016, 07:50
blackjacked

Большое спасибо за помощь! Я так понимаю, что DarkKomet'а 100% нет на моём пк?)
26.08.2016, 20:46
Vvvyg

Активного - точно нет.

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
26.08.2016, 20:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]