Вирус создает в каждой папке ярлык MyMusic и ярлык папки в которой находиться. [Trojan.WinLNK.Agent.ja, Trojan.WinLNK.Agent.gj, Trojan.WinLNK.Agent.jp ]

Printable View

Показывать 40 сообщений этой темы на одной странице

24.03.2017, 10:25
asanali1

Вложений: 2

Вирус создает в каждой папке ярлык MyMusic и ярлык папки в которой находиться. [Trojan.WinLNK.Agent.ja, Trojan.WinLNK.Agent.gj, Trojan.WinLNK.Agent.jp ]

Вирус создает в каждой папке ярлык MyMusic и ярлык папки в которой находиться. Оба ярлыка ссылаются на system32. Создаются во всех корневых папках и флешках.
24.03.2017, 10:26
Info_bot

Уважаемый(ая) [B]asanali1[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.03.2017, 08:19
SQ

Здравствуйте,

Что из следующего Вам известно?
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 85.114.141.155:8000
O4 - HKCU\..\Run: [Google Chrome] C:\GoogleChrome\WindowsUpdate.lnk
O4 - User Startup: Run.lnk -> C:\Users\Асанали\AppData\Roaming\NsMiner\IMG001.exe[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\Асанали\AppData\Roaming\NsMiner\IMG001.exe','');
QuarantineFileF('C:\Users\Асанали\AppData\Roaming\NsMiner', '*.exe,*.dll,*.sys, *.pif', false,'', 0, 0);
QuarantineFile('C:\GoogleChrome\GoogleUpdate.lnk','');
QuarantineFile('C:\GoogleChrome\WindowsUpdate.lnk','');
QuarantineFile('C:\GoogleChrome\GoogleChrome.a3x','');
QuarantineFile('c:\program files (x86)\ncalayer\ncalayer.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
26.03.2017, 22:01
asanali1

Вложений: 1

Привет вот лог. И еще этот вирус не только диск С заразил, а еще мой съемный жесткий диск. И другие разделы на втором жестком диске.
27.03.2017, 06:29
SQ

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
27.03.2017, 13:39
asanali1

Вложений: 1

Предоставляю отчет.
28.03.2017, 10:12
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
28.03.2017, 13:11
asanali1

Вложений: 2

Предоставляю
29.03.2017, 09:39
SQ

Прокси-сервер сами прописывали?
[CODE]ProxyServer: [S-1-5-21-4008912447-1458340657-1267728842-1001] => 85.114.141.155:8000[/CODE]

Удалите через установку программ в панели управления:
[CODE]Driver Booster 3.3 (HKLM-x32\...\Driver Booster_is1) (Version: 3.3 - IObit)[/CODE]

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-4008912447-1458340657-1267728842-1001\...\Run: [Google Chrome] => C:\GoogleChrome\WindowsUpdate.lnk [796 2014-11-16] ()
HKU\S-1-5-21-4008912447-1458340657-1267728842-1001\...\Run: [AdopeUpdate] => C:\GoogleChrome\GoogleUpdate.lnk [692 2014-11-16] ()
HKU\S-1-5-21-4008912447-1458340657-1267728842-1001\...\Run: [AdopeFlash] => C:\GoogleChrome\GoogleChrome.exe [750320 2012-01-30] (AutoIt Team)
IFEO\CNC3.exe: [Debugger]
IFEO\CNC3EP1.exe: [Debugger]
IFEO\generals.exe: [Debugger]
IFEO\RA3.exe: [Debugger]
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => -> No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Folder: C:\Users\Асанали\AppData\Roaming\NsMiner
2017-02-27 22:56 - 2017-03-08 19:01 - 00000000 ____D C:\Users\Асанали\AppData\Roaming\NsMiner
Folder: C:\GoogleChrome
2016-08-22 21:56 - 2016-08-22 21:56 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
Task: {1BB43394-15D7-423A-A2AA-33B4F2CEECE8} - \Auslogics\BoostSpeed\Start BoostSpeed оn Асанали logon -> No File <==== ATTENTION
Task: {85DDE25A-C1C1-4095-B344-156F87977F90} - System32\Tasks\Driver Booster Scheduler => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe [2016-04-15] (IObit)
Task: {A243A7F7-E68C-4D03-982F-748828C46D1A} - \Обновление Браузера Яндекс -> No File <==== ATTENTION
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
29.03.2017, 14:22
asanali1

Вложений: 1

Вот лог. Прокси мои кажется.
29.03.2017, 17:44
SQ

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]
31.03.2017, 14:11
asanali1

Вложений: 1

Здравствуйте! Вот предоставляю лог. Еще хотел сказать, с хочу переустановить виндовс. Поможет ли это? Из идей было зайти в безопасный режим все эти ярлыки удалить. И переустановить виндовс. Как быть?
31.03.2017, 17:28
SQ

[URL="https://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:

[CODE]Worm.Rowmanti, C:\GOOGLECHROME, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\MOZILLAFIREFOX, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\GOOGLECHROME\GOOGLECHROME.A3X, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\GoogleChrome.exe, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\GoogleChrome.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\GoogleUpdate.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\MozillaFirefox.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\My Music.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\WindowsUpdate.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\MOZILLAFIREFOX\GOOGLECHROME.A3X, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\GoogleChrome.exe, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\GoogleChrome.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\GoogleUpdate.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\MozillaFirefox.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\My Music.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\WindowsUpdate.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622[/CODE]
31.03.2017, 19:48
asanali1

Выполнил! Проблема не исчезла.
31.03.2017, 20:42
SQ

Закройте расшаренные папки, это червь распространятеся по сети и приложите новыу логи утилиты FRST.
31.03.2017, 21:12
asanali1

Вложений: 2

Вот
01.04.2017, 06:26
SQ

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
Zip: C:\ProgramData\ProgramData.lnk;C:\ProgramData\My Music.lnk;C:\MozillaFirefox;C:\GoogleChrome
2017-03-31 22:50 - 2017-03-31 22:50 - 00000000 _RSHD C:\MozillaFirefox
2017-03-31 22:49 - 2017-03-31 22:49 - 00000000 _RSHD C:\GoogleChrome
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\Users\Все пользователи\ProgramData.lnk
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\Users\Все пользователи\My Music.lnk
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\ProgramData\ProgramData.lnk
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\ProgramData\My Music.lnk
Task: {9E319307-CBF4-4686-8F8F-AFBE48AA3492} - System32\Tasks\Driver Booster SkipUAC (Асанали) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

После перегрузки на рабочем столе появиться архив вида [B]<дата>-<время>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
01.04.2017, 19:58
asanali1

Вложений: 1

Логи и карантин загрузил
03.04.2017, 08:15
SQ

- Покажите лог [URL="http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.exe"]TDSSKiller[/URL]
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
03.04.2017, 15:22
asanali1

Вложений: 1

Вот.

Показывать 40 сообщений этой темы на одной странице