Toolbar.Escort.A и т.д.

Printable View

24.11.2016, 11:37
Looking

Вложений: 2

Win32/Toolbar.Montiera.G, Win32/Toolbar.Escort.A и т.д.

Доброго времени суток! От заражения лечился антивирусом ESET Smart Security, он устранил часть угроз, но некоторые не мог устранить, поэтому далее лечился с загрузочного диска DrWeb утилитой CureIT.
Прошу проверить - остались ли еще очаги заражения и помочь устранить уязвимости.
24.11.2016, 11:38
Info_bot

Уважаемый(ая) [B]Looking[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
25.11.2016, 10:13
Looking

Что-то не отвечает никто.... Все хорошо в логах?
26.11.2016, 13:56
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\askpartnernetwork\toolbar\apnmcp.exe');
TerminateProcessByName('c:\program files (x86)\askpartnernetwork\toolbar\updater\tbnotifier.exe');
StopService('APNMCP');
QuarantineFile('c:\program files (x86)\askpartnernetwork\toolbar\apnmcp.exe', '');
QuarantineFile('c:\program files (x86)\askpartnernetwork\toolbar\updater\tbnotifier.exe', '');
QuarantineFile('C:\Users\Sony\AppData\Local\delta\delta\2.2.4.0\delta.exe', '');
QuarantineFile('"C:\Program Files (x86)\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll"', '');
QuarantineFile('C:\Users\Sony\AppData\Local\delta\delta\2.2.4.0\Delta', '');
QuarantineFile('C:\Users\Sony\AppData\Roaming\BABSOL~1\Shared\BabMaint.exe', '');
DeleteFile('c:\program files (x86)\askpartnernetwork\toolbar\apnmcp.exe', '32');
DeleteFile('c:\program files (x86)\askpartnernetwork\toolbar\updater\tbnotifier.exe', '32');
DeleteFile('C:\Users\Sony\AppData\Local\delta\delta\2.2.4.0\delta.exe', '32');
DeleteFile('"C:\Program Files (x86)\AskPartnerNetwork\Toolbar\ORJ-SPE\Passport.dll"', '32');
DeleteFile('C:\Users\Sony\AppData\Local\delta\delta\2.2.4.0\Delta', '32');
DeleteFile('C:\Users\Sony\AppData\Roaming\BABSOL~1\Shared\BabMaint.exe', '32');
DeleteService('rzgwrhgb');
DeleteService('mesumqmi');
DeleteService('mbmiodrvr');
DeleteService('fheokumz');
DeleteService('McSysmon');
DeleteService('McShield');
DeleteService('McODS');
DeleteService('APNMCP');
DeleteFileMask('c:\program files (x86)\askpartnernetwork', '*', true);
DeleteFileMask('c:\users\sony\appdata\local\delta', '*', true);
DeleteFileMask('"c:\program files (x86)\askpartnernetwork', '*', true);
DeleteFileMask('c:\users\sony\appdata\roaming\babsol~1', '*', true);
DeleteDirectory('c:\program files (x86)\askpartnernetwork');
DeleteDirectory('c:\users\sony\appdata\local\delta');
DeleteDirectory('"c:\program files (x86)\askpartnernetwork');
DeleteDirectory('c:\users\sony\appdata\roaming\babsol~1');
DelBHO('{4F524A2D-5350-4500-76A7-7A786E7484D7}');
DelBHO('{0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064}');
DelBHO('{B69F34DD-F0F9-42DC-9EDD-957187DA688D}');
DelBHO('{B164E929-A1B6-4A06-B104-2CD0E90A88FF}');
DelBHO('{7DB2D5A0-7241-4E79-B68D-6309F01C5231}');
ExecuteFile('schtasks.exe', '/delete /TN "Delta Toolbar Updater" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "EPUpdater" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ApnTBMon');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Delta Toolbar');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
26.11.2016, 22:22
Looking

Вложений: 1

[QUOTE=Vvvyg;1415787][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].[/QUOTE]

все действия выполнил. также до Вашего ответа я проводил сканирование утилитами Kaspersky Virus Removal Tool и Kaspersky Security Scan, выявленными ими угрозы устранял, единственное, что так и остается в логах данных утилит как угроза и не устраняется, ниже в цитате:
[QUOTE]HEUR:Trojan.Win32.Prikormka.gen
C:\Program Files\ESET\ESET Smart Security\Modules\em002_64\31538\em002_64.dll
Сегодня, 19:48
HEUR:Trojan.Win32.Prikormka.gen
C:\Program Files\ESET\ESET Smart Security\Modules\em002_64\31538\em002_64.dll[/QUOTE]

карантин AVZ также загрузил
[QUOTE]Результат загрузки
Файл сохранён как 161126_222320_quarantine_5839e12859e43.zip
Размер файла 157186
MD5 32ed92d3d511e365029058611fd1fab6
Файл закачан, спасибо![/QUOTE]
27.11.2016, 00:56
Vvvyg

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.
27.11.2016, 10:45
Looking

Вложений: 1

[QUOTE=Vvvyg;1415910][URL="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.[/QUOTE]

действия выполнил, затем провел сканирование утилитой Kaspersky Security Scan, данная утилита так и продолжает обнаруживать две угрозы (см.цитату ниже). это ложное срабатывание, или действительно файлы антивируса Eset заражены?
[QUOTE]HEUR:Trojan.Win32.Prikormka.gen
C:\Program Files\ESET\ESET Smart Security\Modules\em002_64\31542\em002_64.dll
HEUR:Trojan.Win32.Prikormka.gen
C:\Program Files\ESET\ESET Smart Security\Modules\em002_64\31542\em002_64.dll.raw[/QUOTE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Также не работает Поиск обновлений Windows, при запуске поиска обновлений отображается диалог "Поиск обновлений" и данный диалог все время отображается, а далее ничего не происходит. Так было и до начала работ.
27.11.2016, 12:55
Vvvyg

Думаю, у KSS ложное срабатывание. Проверьте эти файлы на [url]https://www.virustotal.com/ru/[/url]
27.11.2016, 16:21
Looking

[QUOTE=Vvvyg;1415952]Думаю, у KSS ложное срабатывание. Проверьте эти файлы на [URL]https://www.virustotal.com/ru/[/URL][/QUOTE]
проверил, показывает, что только Касперский считает его вирусом
[URL]https://www.virustotal.com/ru/file/615b5021d323434177680e33a9c2870a52f129468a8286853c17fc95a02c2cd9/analysis/1480251646/[/URL][TABLE]
[TR]
[TD]SHA256:[/TD]
[TD] 615b5021d323434177680e33a9c2870a52f129468a8286853c17fc95a02c2cd9 [/TD]
[/TR]
[TR]
[TD]Имя файла:[/TD]
[TD]em002_64.dll[/TD]
[/TR]
[TR]
[TD]Показатель выявления:[/TD]
[TD="class: text-red"]1 / 56 [/TD]
[/TR]
[TR]
[TD]Дата анализа[/TD]
[TD]2016-11-27 13:00:46 UTC (1 минута назад)

[TABLE="class: table table-striped"]
[TR]
[TD="class: ltr"]Kaspersky [/TD]
[TD="class: ltr text-red"] HEUR:Trojan.Win32.Prikormka.gen [/TD]
[TD="class: ltr"] 20161127 [/TD]
[/TR]
[/TABLE]
[/TD]
[/TR]
[/TABLE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

а вот на второй файл уже 4 антивируса сработали
[url]https://www.virustotal.com/ru/file/b600abe67440826db908fca7cd9095ad5357fa7bf8775f0132a4541225803bc5/analysis/1480252194/[/url]

SHA256: b600abe67440826db908fca7cd9095ad5357fa7bf8775f0132a4541225803bc5
Имя файла: em002_64.dll.raw
Показатель выявления: 4 / 55
Дата анализа: 2016-11-27 13:09:54 UTC (1 минута назад)

AVware XPSecurityCenter (fs) 20161127
Avast Civil Defense-6672 20161127
Kaspersky HEUR:Trojan.Win32.Prikormka.gen 20161127
VIPRE XPSecurityCenter (fs) 20161127
27.11.2016, 18:18
Vvvyg

Исходя из того, что эти файлы относятся к антивирусу Eset - всё же ложное срабатывание.

По поводу обновлений - попробуйте советы [URL="http://forum.ixbt.com/topic.cgi?id=22:90614"]отсюда[/URL].
28.11.2016, 23:23
Looking

[QUOTE=Vvvyg;1416015]Исходя из того, что эти файлы относятся к антивирусу Eset - всё же ложное срабатывание.

По поводу обновлений - попробуйте советы [URL="http://forum.ixbt.com/topic.cgi?id=22:90614"]отсюда[/URL].[/QUOTE]

с обновлениями помогло, спасибо! насчет подозрения на вирусы отправил обращение в ТП Eset сегодня утром, пока отмалчиваются, напишу об их ответе, как он появится.
29.11.2016, 08:34
Vvvyg

Логичнее было обратиться в Лабораторию Касперского.
29.11.2016, 08:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]