Опять Mail.ru и Ко [Backdoor.Win32.Androm.mukl ]

Printable View

24.03.2017, 12:43
salievan

Вложений: 1

Опять Mail.ru и Ко [Backdoor.Win32.Androm.mukl ]

Опять прошу помощи, теперь уже комп брата оказался поражен, несколько дней за компом сидел мой друг, не совсем разборчивый в Интернете, в результате вчера обнаружил Амиго и прочий мусор, сегодня еще какие-то программы в автозапуске засели и не дают себя вычистить. Логи прилагаются.
24.03.2017, 12:44
Info_bot

Уважаемый(ая) [B]salievan[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.03.2017, 20:25
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\amigo\application\amigo.exe');
TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\amigo\application\47.5.2526.173\amigo_cr.exe');
TerminateProcessByName('f:\windows\temp\g7.tmp.exe');
QuarantineFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\amigo.exe', '');
QuarantineFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\47.5.2526.173\amigo_cr.exe', '');
QuarantineFile('f:\windows\temp\g7.tmp.exe', '');
QuarantineFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_elf.dll', '');
QuarantineFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome.dll', '');
QuarantineFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_child.dll', '');
QuarantineFile('F:\WINDOWS\TEMP\g6.tmp', '');
QuarantineFile('F:\Documents and Settings\All Users\Application Data\729d49d98q654\729d49d98q654.dll', '');
QuarantineFile('F:\Documents and Settings\Tolik1\ijbxh.exe', '');
QuarantineFile('F:\Program Files\Youtube AdBlockU\DhtBVSA.dll', '');
DeleteFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\amigo.exe', '32');
DeleteFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\47.5.2526.173\amigo_cr.exe', '32');
DeleteFile('f:\windows\temp\g7.tmp.exe', '32');
DeleteFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_elf.dll', '32');
DeleteFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome.dll', '32');
DeleteFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_child.dll', '32');
DeleteFile('F:\WINDOWS\TEMP\g6.tmp', '32');
DeleteFile('F:\Documents and Settings\All Users\Application Data\729d49d98q654\729d49d98q654.dll', '32');
DeleteFile('F:\Documents and Settings\Tolik1\ijbxh.exe', '32');
DeleteFile('F:\Program Files\Youtube AdBlockU\DhtBVSA.dll', '32');
DeleteFileMask('f:\documents and settings\tolik1\local settings\application data\amigo', '*', true);
DeleteFileMask('f:\documents and settings\all users\application data\729d49d98q654', '*', true);
DeleteFileMask('f:\program files\youtube adblocku', '*', true);
DeleteFileMask('F:\Documents and Settings\All Users\Application Data\Mail.Ru', '*', true);
DeleteDirectory('f:\documents and settings\tolik1\local settings\application data\amigo');
DeleteDirectory('f:\documents and settings\all users\application data\729d49d98q654');
DeleteDirectory('f:\program files\youtube adblocku');
DeleteDirectory('F:\Documents and Settings\All Users\Application Data\Mail.Ru');
ExecuteFile('schtasks.exe', '/delete /TN "F:\WINDOWS\Tasks\729d49d98q654.job" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "F:\WINDOWS\Tasks\Update Service for Youtube AdBlock.job" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "F:\WINDOWS\Tasks\Update Service for Youtube AdBlock2.job" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'TOLIK');
RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1645522239-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run', 'amigo');
RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1645522239-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run', 'MSConfig');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].
27.03.2017, 13:55
salievan

Вложений: 3

Карантин закачал.
Остальные логи добавил.
27.03.2017, 19:53
Vvvyg

Выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\ajun\msvpnagent.exe');
TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\ajun\ntcsrss.exe');
QuarantineFile('f:\documents and settings\tolik1\local settings\application data\ajun\msvpnagent.exe', '');
QuarantineFile('f:\documents and settings\tolik1\local settings\application data\ajun\ntcsrss.exe', '');
QuarantineFile('F:\Documents and Settings\Tolik1\Application Data\Microsoft\ccbahtav\uadsbfwu.exe', '');
DeleteFile('F:\Documents and Settings\Tolik1\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
DeleteFile('F:\WINDOWS\Tasks\Update Service for Youtube AdBlock.job', '32');
DeleteFile('F:\WINDOWS\Tasks\Update Service for Youtube AdBlock2.job', '32');
DeleteFile('F:\WINDOWS\Tasks\729d49d98q654.job', '32');
DeleteFile('f:\documents and settings\tolik1\local settings\application data\ajun\msvpnagent.exe', '32');
DeleteFile('f:\documents and settings\tolik1\local settings\application data\ajun\ntcsrss.exe', '32');
DeleteFile('F:\Documents and Settings\Tolik1\Application Data\Microsoft\ccbahtav\uadsbfwu.exe', '32');
DeleteFileMask('f:\documents and settings\tolik1\local settings\application data\ajun', '*', true);
DeleteFileMask('f:\documents and settings\tolik1\application data\microsoft\ccbahtav', '*', true);
DeleteFileMask('f:\program files\youtube adblocku', '*', true);
DeleteDirectory('f:\documents and settings\tolik1\local settings\application data\ajun');
DeleteDirectory('f:\documents and settings\tolik1\application data\microsoft\ccbahtav');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Сервер папки обмена Patcher');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'ESET');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Архив карантина quarantine.zip отправьте по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
28.03.2017, 11:37
salievan

Вложений: 3

Карантин отправлен.
Лог ClearLNK прилагаю, FRST также прилагается.
Нужно ли фиксить через FRST найденное?
28.03.2017, 19:05
Vvvyg

Ни в коем случае, угробите систему.

Я за Вами не успеваю, в каждом новом логе что-то свежее. Что-то каждый раз устанавливаете, запускаете, или "оно само"?

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
Closeprocesses:
() F:\Documents and Settings\Tolik1\Application Data\XmVkVVxcUWZVXlVkUQxx\gjhax_16.exe
HKU\S-1-5-21-1645522239-1004336348-725345543-1003\...\Run: [gjhax_16.exe] => F:\Documents and Settings\Tolik1\Application Data\XmVkVVxcUWZVXlVkUQxx\gjhax_16.exe [155599 2017-03-28] ()
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
SearchScopes: HKU\S-1-5-21-1645522239-1004336348-725345543-1003 -> {76DEFAE6-09B2-40B2-8F8A-5A6A5D5CE4EB} URL = hxxps://search.yahoo.com/search/?toggle=1&cop=mss&ei=UTF-8&fr=vmn&type=auslog_yaapp2_ch&p={searchTerms}
FF DefaultSearchEngine: F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default -> Поиск@Mail.Ru
FF Keyword.URL: F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7B3BF198BF-03C2-4608-A9FE-0064710B9D67%7D&gp=820331
FF Extension: (Домашняя страница Mail.Ru) - F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default\Extensions\[email protected] [2017-03-22]
FF Extension: (Поиск@Mail.Ru) - F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default\Extensions\[email protected] [2017-03-22]
FF Extension: (Визуальные закладки @Mail.Ru) - F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-03-22]
2017-03-28 11:15 - 2017-03-28 11:15 - 00000000 __SHD F:\Documents and Settings\Tolik1\Application Data\XmVkVVxcUWZVXlVkUQxx
2017-03-22 14:37 - 2017-03-28 11:12 - 00000119 _____ F:\WINDOWS\mujifejujifanaxoluzugalegivilosevenipebajemolazozivexubewudoborezuzurivehesonawijuma
2017-03-22 14:21 - 2017-03-22 14:21 - 00000000 ____D F:\Documents and Settings\Tolik1\Application Data\MailProducts
2017-03-22 14:19 - 2017-03-22 14:19 - 00000000 ____D F:\Program Files\Youtube AdBlockIE
2017-03-22 14:18 - 2017-03-27 13:28 - 00000000 ___HD F:\Documents and Settings\All Users\Application Data\729d49d98q654
2017-03-22 14:23 - 2017-03-22 16:44 - 00282624 _____ F:\Documents and Settings\Tolik1\Local Settings\Application Data\teamviever_tr.exe
2015-09-20 20:56 - 2015-09-20 20:56 - 0000000 _____ () F:\Documents and Settings\Tolik1\Application Data\mail.log
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
29.03.2017, 12:03
salievan

Вложений: 2

Увы, оно само...
Вчера увидел этот gjhax_16.exe, сразу удалил вручную, ибо не давал в интернет зайти ни одному процессу...
Лог прилагаю
29.03.2017, 20:01
Vvvyg

Наконец, отбились.

Имеем:
1. Не поддерживаемую давно уже MS и, скорее всего, даже не до конца обновлённую систему.
2. Древний Avast с устаревшими базами.
3. Устаревшая и со множеством критических уязвимостей Java.
4. µTorrent на рабочем компьтере. Качай, запускай всякую фигню...
30.03.2017, 13:06
salievan

Спасибо большое!!
1. Увы, на моем железе больше не потянет,
2. Руки пока не дошли, но мне привезли лиценз ДрВеб на 2 года, установлю себе и брату,
3. С Явой вынужден иметь дело, т.к. приходится часто работать дома,
4. Потом снесу, тут он лишний раз и забыл о нем.
Тему наверно можно закрывать.
30.03.2017, 19:33
Vvvyg

[QUOTE]Processor: Intel(R) Core(TM)2 Duo CPU E8400 @ 3.00GHz
Total physical RAM: 3549.04 MB[/QUOTE]
1. На такой конфигурации 7-ка весьма резва, даже x64, и даже 10-ка вполне шевелится.

3. Имейте дело с актуальной версией: [URL="http://www.java.com/ru/download/"]Java 8 Update 121[/URL].
30.03.2017, 19:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]29[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] f:\documents and settings\all users\application data\729d49d98q654\729d49d98q654.dll - [B]HEUR:Trojan.Win32.Generic[/B][*] f:\documents and settings\tolik1\application data\microsoft\ccbahtav\uadsbfwu.exe - [B]Backdoor.Win32.Androm.mukl[/B][*] f:\windows\temp\g6.tmp - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Symmi.49121 )[*] f:\windows\temp\g7.tmp.exe - [B]Trojan.Win32.Wdfload.afj[/B][/LIST][/LIST]