Имеется компьютер и подключенное к нему сетевое хранилище NetGear. Содержимое хранилища подключено как сетевой диск.
В каждой папке этого сетевого диска регулярно появляются файлы "Photo.scr" и "info.zip", на локальном диске их нет. Антивирус находит и удаляет эти файлы только если зайти непосредственно в папку с файлом, либо если сделать полное сканирование диска, но через какое-то время эти файлы появляются вновь.
Прошу помощи, прикладываю лог.
Уважаемый(ая) [B]rikinaru[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
Уточните на подключаемом диске, расшаренны папки?
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Логи прилагаю.
Папки не расшарены, насколько я знаю.
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
2016-12-14 22:59 - 2016-12-14 22:59 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
Task: {0ED44815-4413-4880-8EEE-AAED316739CC} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {1838A670-7BE9-4C85-93DF-C35EBFF8913C} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {465C5BBD-04DF-482D-8C21-6D34AFA9D265} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {4AE5DD7C-2169-413D-A917-F1D6C3E25D69} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {67CD1203-390F-4569-8011-B55C6E95FC0D} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {718C8C0C-F111-4367-853D-0DA194D37818} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {780F45D5-D9C4-47D3-9D43-BF649B34FCC8} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {8D482BA1-58C0-4892-9AB7-B871E2FDB72C} - \WPD\SqmUpload_S-1-5-21-2802657588-986218442-199930120-1001 -> No File <==== ATTENTION
Task: {98482AA3-4CC7-4E39-8D74-F57E801CE3F3} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {B492787E-F04D-4F34-BCB6-216DBFAC4B85} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {C35528DA-E2D8-4774-A62A-534938EEA0A5} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {F1FDEA34-2BBE-4AD8-951E-C5A880F75061} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {F85F311F-CEF9-4AC2-B64A-AE60A44FA783} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [152]
AlternateDataStreams: C:\ProgramData\TEMP:BF3D62E7 [374]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [152]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:BF3D62E7 [374]
CMD: net share
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Исполнено, лог прикрепляю
Обратите внимание у Вас расшарен каталог [B]C:\Users[/B] :
[CODE]
========= net share =========
Users C:\Users
========= End of CMD: =========
[/CODE]
Уточните пожалуйста в этом каталоге образуются вредоносные архивы?
P.S. Пробуйте закрыть расшаренный каталог.
Нет, не образуются, но общий доступ убрал.
Просканировал перед сном сетевой диск, он убрал файлы. Но сейчас там опять info.zip
- Покажите лог [URL="http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.exe"]TDSSKiller[/URL]
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
Прикладываю
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
Выполнил, прилагаю результат
Уточните перед возникновением проблемы, вставляете какие-то стороние флэшки?
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]
Прилагаю лог
Я так же просканировал проблемный архив info.zip Касперским и этой программой, но они не видят в нем угрозы. Внутри архива файл - information.vbe.
Мне думается, может просто поудалять эти архивы. Photo.scr больше не появляется.
Приложите в карантин info.zip для анализа.
Удалите MBAM через установку программ в панели управления
Не могу найти теперь эти info.zip, но photo.scr вернулся. Надеюсь, я правильно его завернул в карантин и архив с паролем.
Malwarebytes говорит, что это "PUP.Optional.BitCoinMiner"
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
Прошу
[URL="http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
OFFSGNSAVE
BREG
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DHDOKIEJNPIMAKEDHAJHDLCEGEPLIOAHD%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CHROME.GOOGLE.COM/WEBSTORE/DETAIL/FHOIBNPONJCGJGCNFACEKAIJDBBPLHIB
delref HTTPS://YANDEX.RU/SEARCH/?TEXT={SEARCHTERMS}&CLID=2233627
restart[/CODE]
Пробуйте отклбючит ПК от сети на день и не вставлять флэшку, проблема проявляется в этом случае?
P.S. В логах не заметил этих файлов.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\frst\photo.scr - [B]Trojan.Win32.Agentb.btdr[/B] ( BitDefender: Trojan.GenericKD.3039704 )[/LIST][/LIST]