Подхватил трояна! [Trojan.Python.PBot.a ]

Printable View

11.12.2016, 21:14
prival

Вложений: 1

Подхватил трояна! [Trojan.Python.PBot.a ]

Внешне проявляется в браузерах: при открытии браузера (любого) сразу открываются закладки 12kotov, luxuruslotonline, premiumslotonline, которые нельзя закрыть. Защитник windows находит вирус Trojan^Win32/Azden.A!cl
Стоит операционка win10.
Из антивирусов стоит McAffe.
11.12.2016, 21:16
Info_bot

Уважаемый(ая) [B]prival[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
13.12.2016, 20:24
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Admin\AppData\Local\FilterStart\FilterStart.exe','');
QuarantineFile('C:\Users\Admin\AppData\Local\syslog\syslog.exe','');
QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_4396\s_inst.exe','');
QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_21591\s_inst.exe','');
QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_21590\s_inst.exe','');
QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_2149\s_inst.exe','');
QuarantineFile('C:\Users\Admin\AppData\Roaming\PBot\launchall.py','');
TerminateProcessByName('c:\users\admin\appdata\local\filterstart\filterstart.exe');
QuarantineFile('c:\users\admin\appdata\local\filterstart\filterstart.exe','');
DeleteFile('c:\users\admin\appdata\local\filterstart\filterstart.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qvxeicbden');
DeleteFile('C:\Users\Admin\AppData\Roaming\PBot\launchall.py','32');
DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_2149\s_inst.exe','32');
DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_21590\s_inst.exe','32');
DeleteFile('C:\WINDOWS\Tasks\newSI_21590.job','32');
DeleteFile('C:\WINDOWS\Tasks\newSI_2149.job','32');
DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_21591\s_inst.exe','32');
DeleteFile('C:\WINDOWS\Tasks\newSI_21591.job','32');
DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_4396\s_inst.exe','32');
DeleteFile('C:\WINDOWS\Tasks\newSI_4396.job','32');
DeleteFile('C:\WINDOWS\system32\Tasks\Account Translator Mgr','64');
DeleteFile('C:\WINDOWS\system32\Tasks\newSI_21591','64');
DeleteFile('C:\WINDOWS\system32\Tasks\newSI_4396','64');
DeleteFile('C:\WINDOWS\system32\Tasks\newSI_21590','64');
DeleteFile('C:\WINDOWS\system32\Tasks\newSI_2149','64');
DeleteFile('C:\WINDOWS\system32\Tasks\Private Standart Helper','64');
DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\Standart Base Helper','64');
DeleteFile('C:\WINDOWS\system32\Tasks\syslog','64');
DeleteFile('C:\Users\Admin\AppData\Local\syslog\syslog.exe','32');
DeleteFile('C:\Users\Admin\AppData\Local\FilterStart\FilterStart.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи[/COLOR][/B]
13.12.2016, 22:54
prival

Вложений: 1

Выполнил скрипты, отправил карантин по красной ссылке.
Повторно выполнил скрипты и вставил в сообщение.
15.12.2016, 22:00
thyrex

Нам нужны новые логи Autologger
16.12.2016, 13:42
prival

Вложений: 1

Добрый день!
Сделал новые логи Autologger.
Позавчера переустановил Firefox. Пропали закладки на сайты с казино, но осталась периодически появляющаяся (примерно каждые 10 минут) закладка akisho.ru.
17.12.2016, 00:22
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
19.12.2016, 17:07
prival

Вложений: 1

Выполнил FRST.exe
19.12.2016, 22:47
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\...\Run: [DateOption] => C:\Users\Admin\AppData\Local\DateOption\regCheck.vbs www.syschecksync.com/?rnd=141 0 0
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [FilterOptions] => C:\Users\Admin\AppData\Local\FilterOptions\regCheck.vbs www.regtestproc.com/?rnd=141 0 600000
HKLM\...\Policies\Explorer\Run: [TestMenu] => C:\Users\Admin\AppData\Local\TestMenu\regCheck.vbs www.testmenu.xyz
HKLM\...\Policies\Explorer\Run: [ImmediateHelp] => C:\Users\Admin\AppData\Local\ImmediateHelp\regCheck.vbs www.2road.xyz
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\Run: [FileSystemOptions] => C:\Users\Admin\AppData\Local\FileSystemOptions\regCheck.vbs www.minipigping.com/?rnd=141 0 1200000
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\Policies\Explorer\Run: [LastNews] => C:\Users\Admin\AppData\Local\LastNews\regCheck.vbs www.snowyear.xyz
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\Policies\Explorer\Run: [ValidateLife] => C:\Users\Admin\AppData\Local\ValidateLife\regCheck.vbs www.hitopup.xyz
Startup: C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\regCheck.lnk [2016-12-13]
ShortcutTarget: regCheck.lnk -> C:\Users\Admin\AppData\Local\rightchose\regCheck.vbs ()
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=A3D5163006EDC983E77994D1DEDE79A3&utm_d=20161207
CHR HomePage: Profile 3 -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=A3D5163006EDC983E77994D1DEDE79A3&utm_d=20161207
CHR StartupUrls: Profile 3 -> "hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=A3D5163006EDC983E77994D1DEDE79A3&utm_d=20161207"
CHR HKLM\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - hxxp://clients2.google.com/service/update2/crx
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\ValidateLife
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\TestMenu
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\rightchose
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\LastNews
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\ImmediateHelp
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\FilterOptions
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\FileSystemOptions
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\DateOption
2016-12-07 18:28 - 2016-12-14 10:29 - 00000000 ____D C:\Users\Admin\AppData\Roaming\PBot
2016-12-07 18:28 - 2016-12-07 18:28 - 00003424 _____ C:\WINDOWS\System32\Tasks\PBot
2016-12-07 18:24 - 2016-12-13 23:41 - 00000000 ____D C:\Users\Admin\AppData\Local\FilterStart
2016-12-07 18:24 - 2016-12-07 18:24 - 00057072 _____ (Windows (R) Win 7 DDK provider) C:\WINDOWS\ServiceMgr.sys
2016-12-07 18:24 - 2016-12-07 18:24 - 00010240 _____ (telfax) C:\Users\Admin\AppData\Local\Account Translator Mgr.exe
2016-12-07 18:24 - 2016-12-07 18:24 - 00000326 _____ C:\Users\Admin\AppData\Local\expand.ini
2016-12-07 18:24 - 2016-12-07 18:24 - 00000000 ____D C:\Users\Admin\AppData\Local\Вoйти в Интeрнет
2016-12-07 18:20 - 2016-12-13 23:41 - 00000000 ____D C:\Users\Admin\AppData\Local\syslog
2016-12-07 18:19 - 2016-12-07 18:19 - 00000000 ____D C:\Users\Admin\AppData\Local\Поиcк в Интeрнете
C:\Users\Admin\AppData\Local\Temp\643D.tmp.exe
C:\Users\Admin\AppData\Local\Temp\libeay32.dll
C:\Users\Admin\AppData\Local\Temp\msvcr120.dll
C:\Users\Admin\AppData\Local\Temp\sqlite3.dll
Task: {02EE2232-A791-46EC-BAF3-592AFE2A9C86} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {056C734F-D933-40D5-BA81-3631AAD02941} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {19636CDC-4E41-44E5-BAA2-07B94A017E63} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {4D947D11-54F3-4724-B7D6-9ABCE24E4983} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {53F44FA2-F633-4E48-896D-28ABAA8E29E7} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {6E00B5DD-5DFF-4030-B046-D16C61D68F65} - \Private Standart Helper -> No File <==== ATTENTION
Task: {959F9FEB-D555-452C-BD57-53CC61BD7956} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {9888B333-B7B2-4EDA-AF35-19F27792C075} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {A4CE6451-2ED4-4A2D-9C5E-A3B0483A4EDA} - System32\Tasks\GarantUpdate => C:\updater.bat [2014-02-12] () <==== ATTENTION
Task: {B2B51D23-FF3B-4C7F-9B81-A101569E5339} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {B9F20AAF-A8BB-4DA8-B1BA-25D1EB834663} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {CB8821D6-5DA5-4335-BA39-966FC075A559} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {D03250F0-B79B-4D68-8E23-3DC9F48A2D8D} - \Microsoft\Windows\Setup\GWXTriggers\Logon-URT -> No File <==== ATTENTION
Task: {DAAB3B89-00AC-46D6-B182-6530E692B9CD} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {DD5E7691-10CB-46E9-BBC0-FEC118DE0A9A} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {E0F05981-2C28-477C-9F84-111E21BE5A9F} - \Account Translator Mgr -> No File <==== ATTENTION
Task: {EAD0D710-EA27-4A4A-9D7E-9AFD30C58CA1} - \Standart Base Helper -> No File <==== ATTENTION
Task: {EE86F173-0BE2-4746-8EF5-2ED2CA789A14} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {F065D602-BA05-4F62-988F-9DDE997FF30D} - \syslog -> No File <==== ATTENTION
HKLM\...\StartupApproved\StartupFolder: => "0x4E45544745415220574E4131313030201C0434410442043504442043044104420432A2A6C6E6B<*>"
HKLM\...\StartupApproved\Run: => "DateOption"
HKLM\...\StartupApproved\Run32: => "FilterOptions"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\StartupFolder: => "regCheck.lnk"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\Run: => "Browser Manager"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\Run: => "PBot"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\Run: => "FileSystemOptions"
FirewallRules: [{3AEEC98B-C7D2-469D-83C8-551CC20D332B}] => C:\Program Files\UBar\ubar.exe
FirewallRules: [{237BA416-B0F5-4FC5-B23A-F3B02C65C5CB}] => C:\Users\Admin\AppData\Local\Amigo\Application\amigo.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
20.12.2016, 17:38
prival

Вложений: 1

Выполнил fixlog.txt
21.12.2016, 01:29
thyrex

Проблема решена?
21.12.2016, 10:00
prival

Добрый день!
Да, пропали все закладки с казино. Однако, окна с рекламой возникают при переходе на каждую ссылку или открытии новой вкладки.
Реклама Кёрхер и Черкизово. Если я запрещаю скрипты на этой странице, то реклама выходит в виде контура и закрывает страницу под ней.
24.12.2016, 09:22
thyrex

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему
27.12.2016, 18:39
prival

Добрый день!
Сделал. Вроде-бы все пропало. Спасибо за помощь!
С наступающим Новым годом!
30.12.2016, 10:07
thyrex

Теперь по одному включайте и найдете виновника. Сообщите нам его имя
30.12.2016, 10:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\admin\appdata\local\filterstart\filterstart.exe - [B]not-a-virus:AdWare.Win32.Agent.kczh[/B][*] c:\users\admin\appdata\local\syslog\syslog.exe - [B]Trojan-Downloader.Win32.AdLoad.nixp[/B][*] c:\users\admin\appdata\roaming\pbot\launchall.py - [B]Trojan.Python.PBot.a[/B][/LIST][/LIST]