Вирус (или майнер). В папке temp создает папки с privoxy, tor, ,mmm

Printable View

27.12.2016, 21:30
Антон Макаровв

Вложений: 3

Вирус (или майнер). В папке temp создает папки с privoxy, tor, ,mmm

Доброго времени суток! Появилось подозрение на наличие вредоносного ПО (может быть майнер).
2-3 дня назад было замечено падение скорости интернет (например просмотра видео).
В диспетчере задач windows появился процесс dllhost.exe потребляющий основную массу ресурсов ЦП.
Свойства процесса указывают на расположение C:\Windows\Temp\mj1wu3un.0l5\1 (прикрепленный файл "снимок").
В C:\Windows\Temp содержатся 3 (три) "подозрительных" папки ("прикрепленный файл "снимок2"):
1.3v5h00a0.22o - при попытке удаления ссылается на использование процессом privoxy.exe;
2.jh3z2mbl.tj3- при попытке удаления ссылается на использование процессом tor.exe;
3.mj1wu3un.0l5 - при попытке удаления ссылается на использование процессом dllhost.exe;
При загрузке системы в безопасном режиме удаление вышеперечисленных папок возможно, но при последующей загрузке системы в обычном режиме происходит их повторное создание после подключения сетевого соединения.
27.12.2016, 21:32
Info_bot

Уважаемый(ая) [B]Антон Макаровв[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
28.12.2016, 07:23
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('C:\Windows\Temp\mj1wu3un.0l5\1\dllhost.exe');
TerminateProcessByName('c:\windows\temp\3v5h00a0.22o\privoxy\privoxy-3.0.26\privoxy.exe');
TerminateProcessByName('c:\windows\temp\jh3z2mbl.tj3\tor\tor\tor.exe');
StopService('svchost');
QuarantineFile('C:\Windows\Temp\mj1wu3un.0l5\1\dllhost.exe', '');
QuarantineFile('c:\windows\temp\3v5h00a0.22o\privoxy\privoxy-3.0.26\privoxy.exe', '');
QuarantineFile('C:\Windows\Systеm32\svchost.exe', '');
QuarantineFile('c:\windows\temp\jh3z2mbl.tj3\tor\tor\tor.exe', '');
QuarantineFile('C:\Windows\TEMP\jh3z2mbl.tj3\tor\Tor\LIBEAY32.dll', '');
QuarantineFile('C:\Windows\TEMP\jh3z2mbl.tj3\tor\Tor\SSLEAY32.dll', '');
DeleteFile('C:\Windows\Temp\mj1wu3un.0l5\1\dllhost.exe', '32');
DeleteFile('c:\windows\temp\3v5h00a0.22o\privoxy\privoxy-3.0.26\privoxy.exe', '32');
DeleteFile('c:\windows\temp\jh3z2mbl.tj3\tor\tor\tor.exe', '32');
DeleteFile('C:\Windows\TEMP\jh3z2mbl.tj3\tor\Tor\LIBEAY32.dll', '32');
DeleteFile('C:\Windows\TEMP\jh3z2mbl.tj3\tor\Tor\SSLEAY32.dll', '32');
DeleteFile('C:\Users\ТА\AppData\Local\Amigo\Application\amigo.exe', '32');
DeleteFile('C:\Users\ТА\AppData\Local\Amigo\Application\vk.exe', '32');
DeleteFile('C:\Users\ТА\AppData\Local\Amigo\Application\ok.exe', '32');
DeleteService('svchost');
DeleteFileMask('c:\users\та\appdata\local\amigo', '*', true);
DeleteDirectory('c:\users\та\appdata\local\amigo');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новые логи по правилам.
28.12.2016, 12:29
Антон Макаровв

Вложений: 1

Выполнил указанные вами действия. Архив с карантином отправлен по ссылке "Прислать запрошенный карантин".
После перезагрузки и по настоящий момент проблемы больше не возникало (в папке C:\Windows\Temp больше не создаются "вредоносные" файлы).
28.12.2016, 19:23
Vvvyg

Сделайте лог [url=http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657]сканирования МВАМ.[/url]
29.12.2016, 06:05
Антон Макаровв

Вложений: 1

Лог сканирования MBAM
29.12.2016, 07:11
Vvvyg

Удалите в MBAM (переместите в карантин) всё, [B]кроме[/B]:[code]HackTool.WpaKill, E:\DOWNLOADS\REMOVEWAT\REMOVEWAT.EXE, Проигнорировано пользователем, [4139], [75683],1.0.878
HackTool.WinActivator, E:\DOWNLOADS\TORRENT\WINDOWS LOADER 2.2.1 BY DAZ\WINDOWS LOADER.EXE, Проигнорировано пользователем, [2273], [352889],1.0.878
RiskWare.Tool.HCK, E:\DOWNLOADS\TORRENT\KEYS\KEYS_KASPERSKY\KASPERSKY RESET TRIAL 5.0.0.111\KRT_5.0.0.111.EXE, Проигнорировано пользователем, [2476], [69818],1.0.878
RiskWare.Tool.HCK, E:\DOWNLOADS\TORRENT\KASPERSKY INTERNET SECURITY 2016 16.0.1.445 (C) MR1 FINAL\KASPERSKY_RESET_TRIAL_5.1.0.25.EXE, Проигнорировано пользователем, [2476], [69818],1.0.878
RiskWare.Tool.HCK, E:\DOWNLOADS\TORRENT\AUTODESK_AUTOCAD_2015_SP1\CRACK\XF-ADSK2015_X64.EXE, Проигнорировано пользователем, [2476], [65468],1.0.878
RiskWare.Tool.CK, E:\SOFT\ADOBE-AUDITION\ADOBE.AUDITION.V3.0.MULTILINGUAL.RETAIL.INCL.KEYMAKER.READ.NFO-AGAIN\KEYGEN.EXE, Проигнорировано пользователем, [341], [26575],1.0.878
Trojan.Agent.CK, E:\SOFT\CAD\CAD10\ACTIVATION\AUTODESK_2010_64_BITS\XF-A2010.EXE, Проигнорировано пользователем, [3162], [135525],1.0.878
CrackTool.Agent.Keygen, E:\SOFT\CAD\CAD10\ACTIVATION\AUTODESK_2010_32_BITS\XF-A2010.EXE, Проигнорировано пользователем, [418], [355559],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\ACRONIS POWER UTILITIES 2005 V7.0.614 RUSSIAN\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [54025],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\SISOFTWARE SANDRA V2007 SP1\ENGINEER\KEYGEN.EXE, Проигнорировано пользователем, [341], [26575],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\WINAMP PRO V5.21.497\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [26575],1.0.878
CrackTool.Zuma.Keygen, E:\SOFT\WINDOWS SOFT 2007\ACRONIS DISK DIRECTOR SUITE V10.0.2064 RUSSIAN\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [10215], [92944],1.0.878
Trojan.Agent.CK, E:\SOFT\WINDOWS SOFT 2007\ADOBE CS 2.0\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [3162], [135512],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\ZONEALARM SECURITY SUITE V6.5.722.000\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [54025],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\ACRONIS TRUE IMAGE V9.0.2302 RUSSIAN\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [54025],1.0.878
Trojan.MalPack.NSPack, E:\SOFT\WINDOWS SOFT 2007\PASSMARK BURNINTEST PRO V4.0.1032\CRACK\BIT.EXE, Проигнорировано пользователем, [18904], [279517],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\CYBERLINK POWERDVD DELUXE V6.0.0.2023\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [133319],1.0.878
Worm.Brontok, E:\SOFT\WINDOWS SOFT 2007\OSL 2000 BOOT MANAGER V8.81\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [1214], [273877],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\LAVALYS EVEREST 2006.V3.00.626\ULTIMATE EDITION\KEYGEN.EXE, Проигнорировано пользователем, [341], [26575],1.0.878
Trojan.MalPack.Generic, E:\SOFT\WINDOWS SOFT 2007\ETRUST EZ ANTIVIRUS V7.1.8.0\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [1558], [83906],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\O&O DEFRAG PROFESSIONAL EDITION V8.0\PRO\KEYGEN.EXE, Проигнорировано пользователем, [341], [54025],1.0.878
PUP.Optional.MediaGet, E:\SYSTEM VOLUME INFORMATION\_RESTORE{6EF06ED5-A30E-47FE-9AE8-91562AA09231}\RP1212\A0261767.EXE, Проигнорировано пользователем, [3919], [10419],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\FLASHGET V1.72\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [26575],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\O&O DEFRAG PROFESSIONAL EDITION V8.0\SERVER\KEYGEN.EXE, Проигнорировано пользователем, [341], [54025],1.0.878
RiskWare.Tool.CK, E:\SOFT\WINDOWS SOFT 2007\NVIDIA PUREVIDEO DECODER V1.02.233\KEYGEN\KEYGEN.EXE, Проигнорировано пользователем, [341], [296583],1.0.878[/code]
29.12.2016, 23:46
Антон Макаровв

Удалено в МВАМ, согласно вашим инструкциям. Нужны ли какие-либо еще действия?
30.12.2016, 07:14
Vvvyg

Удалите Malwarebytes Anti-Malware

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
30.12.2016, 18:59
Антон Макаровв

Вложений: 2

Программа Malwarebytes Anti-Malware удалена.
Приложены отчеты FRST.txt, Addition.txt.
30.12.2016, 19:24
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-2272819588-2288160951-924661014-1000\...\Policies\Explorer: []
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR HomePage: Profile 1 -> hxxps://mail.ru/cnt/11956636
CHR DefaultSearchURL: Profile 1 -> hxxp://go.mail.ru/search?q={searchTerms}&fr=xtn8
CHR DefaultSearchKeyword: Profile 1 -> mail.ru
CHR DefaultSuggestURL: Profile 1 -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
CHR Extension: (Video Ad Blocker Plus) - C:\Users\ТА\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\hegneaniplmfjcmohoclabblbahcbjoe [2016-07-11]
CHR HKLM-x32\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
S1 ESProtectionDriver; \??\C:\Windows\system32\drivers\mbae64.sys [X]
S2 MBAMChameleon; \SystemRoot\system32\drivers\MBAMChameleon.sys [X]
S3 MBAMFarflt; \??\C:\Windows\system32\drivers\farflt.sys [X]
S3 MBAMProtection; \??\C:\Windows\system32\drivers\mbam.sys [X]
S0 MBAMSwissArmy; system32\drivers\MBAMSwissArmy.sys [X]
S3 MBAMWebProtection; \??\C:\Windows\system32\drivers\mwac.sys [X]
C:\ProgramData\RegistryReviver.exe
2016-12-30 01:42 - 2014-08-22 20:44 - 00000000 ____D C:\ProgramData\ReviverSoft
2016-12-30 01:42 - 2014-08-22 20:44 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ReviverSoft
Task: {CFCE9FB0-54C9-4DFB-AA3E-BA04B1432E33} - \Start Registry Reviver for ТА-ПК@ТА(logon) -> No File <==== ATTENTION
Shortcut: C:\Users\ТА\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk -> C:\Users\ТА\AppData\Local\Amigo\Application\amigo.exe (No File) <===== Cyrillic
Shortcut: C:\Users\ТА\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk -> C:\Users\ТА\AppData\Local\Amigo\Application\vk.exe (No File) <===== Cyrillic
Shortcut: C:\Users\ТА\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk -> C:\Users\ТА\AppData\Local\Amigo\Application\ok.exe (No File) <===== Cyrillic
Shortcut: C:\Users\Public\Desktop\Google Планета Земля.lnk -> C:\Program Files (x86)\Google\Google Earth\client\googleearth.exe (No File) <===== Cyrillic
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBAMService => ""="Service"
MSCONFIG\startupreg: amigo =>
MSCONFIG\startupreg: MailRuUpdater =>
MSCONFIG\startupreg: Malwarebytes TrayApp => E:\PROGRAMS\ANTI-MALWARE\mbamtray.exe
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
31.12.2016, 15:59
Антон Макаровв

Вложений: 1

Выполнено согласно инструкции.
Приложен лог-файл (Fixlog.txt).
31.12.2016, 17:47
Vvvyg

Всё на этом.

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

И - с наступающим Новым Годом!
31.12.2016, 17:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]