Printable View
[COLOR=#333333]Добрый день. [/COLOR]
[COLOR=#333333]Майнер самопроизвольно устанавливается и висит с загрузкой системы 50 процентов [/COLOR]
[COLOR=#333333]пробовал в безопасном режиме удалить, после перезагрузки через некоторое время опять появляется.
Удаление не в безопасном режиме приводит к синему экрану.
После удаления в безопасном режиме папки, где находился майнер, он создается в другой папке.[/COLOR]
Уважаемый(ая) [B]DIShat[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
1. [b]Временно отключите [url=https://virusinfo.info/showthread.php?t=130828]защитное ПО[/url][/b].
Выполните скрипт [url=https://virusinfo.info/showthread.php?t=7239]AVZ[/url].
[code]
begin
TerminateProcessByName('E:\ConsUserData\svchost.exe');
QuarantineFile('C:\Windows\Temp\ntshrui.dll','');
QuarantineFile('E:\ConsUserData\svchost.exe','');
DelCLSID('{2C7339CF-2B09-4501-B3F3-F3508C9228ED}');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
DeleteFile('E:\ConsUserData\svchost.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\AeLookupSvc\Parameters','ServiceDll');
DeleteFile('C:\Windows\Temp\ntshrui.dll','32');
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory +'quarantine.zip');
end.
[/code]
Корректно завершите все удалённые подключения к серверу, закройте все программы и перезагрузите систему вручную.
2. Файл карантина quarantine.zip из папки с AVZ отправьте по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
3. Сделайте новые логи программой [url=https://virusinfo.info/content.php?r=136-pravila]Autologger[/url] и пришлите их.
4. Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i739.photobucket.com/albums/xx33/emeraldnzl/FRST%20Console%20with%2090days.jpg[/img]
Спасибо за ответ.
Сразу же возникла проблема с первым пунктом. Я не могу выполнить данный скрипт. Я уже писал выше, что из работающей системы невозможно снести процесс вируса, система тут же ловит синий экран.
Выполнить скрипт в безопасном режиме?
Да, выполняйте
[QUOTE=thyrex;1457026]Да, выполняйте[/QUOTE]
К сожаление безопасный режим не работает. Как только сервер загружается, то сразу ловит синий экран смерти и уходит на перезагрузку..
Что можно еще придумать для выполнения скрипта?
Делайте логи Farbar
Запрошенные логи
Уязвимость, которую использует нашумевший WannaCry: [URL="https://support.microsoft.com/ru-ru/help/4012598/title"]MS17-010: Описание обновления безопасности для Windows SMB Server[/URL], установили уже, надеюсь? Если нет - сделайте это обязательно.
Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
E:\ConsUserData\svchost.exe
S4 AeLookupSvc; C:\Windows\Temp\ntshrui.dll [X]
Task: {A5CB8768-9BF1-4603-9E1D-1B0AD3E14361} - \Microsoft\Windows\PLA\diart -> No File <==== ATTENTION
Task: {E352F99F-0662-4DF2-893A-B32C7B11D819} - \Microsoft\Windows\PLA\System\PLA Optimize -> No File <==== ATTENTION
[/CODE]
Сохраните (Ctrl+S) и закройте.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению после руной перезагрузки сервера.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
Обновления устанавливаются автоматически
Прикрепляю запрошенные логи
Жив, там ещё и системная библиотека подменена.
Попробуем так.
Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
sreg
zoo %Sys32%\QMGR.DLL
;Trojan.BtcMine.1324 [DrWeb] 7
zoo E:\CONSUSERDATA\SVCHOST.EXE
del E:\CONSUSERDATA\SVCHOST.EXE
delref E:\CONSUSERDATA\SVCHOST.EXE
del %Sys32%\QMGR.DLL
apply
areg
[/CODE]
Запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится без предупреждения!
После перезагрузки скопируйте скрипт ниже в буфер обмена:[code];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
czoo
sfc %Sys32%\QMGR.DLL[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Должен восстановить исходный файл.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл в карантин.
Сделайте новый полный образ автозапуска uVS, загрузите в доступное облачное хранилище или на файлообменник (rghost.ru, например) и дайте ссылку.
Запрошенные логи
[url]http://rgho.st/8KrD5Y5nv[/url]
Вроде бы вирус не запустился после перезагрузки. Справились? Или могут еще быть хвосты? ))
Архив в карантин загружен
Чисто но последите за ситуацией пару дней, были случаи, когда снова пролезал этот майнер.
[QUOTE=Vvvyg;1457179]Чисто но последите за ситуацией пару дней, были случаи, когда снова пролезал этот майнер.[/QUOTE]
Он сперва появился два месяца назад. Запускался он скриптом из Планировщика заданий
[CODE]<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
<RegistrationInfo>
<Date>2017-04-24T11:35:11.7055143</Date>
<Author>SERVER\Артем</Author>
</RegistrationInfo>
<Triggers>
<BootTrigger>
<Repetition>
<Interval>PT30M</Interval>
<StopAtDurationEnd>false</StopAtDurationEnd>
</Repetition>
<Enabled>true</Enabled>
</BootTrigger>
</Triggers>
<Principals>
<Principal id="Author">
<RunLevel>LeastPrivilege</RunLevel>
<UserId>S-1-5-18</UserId>
</Principal>
</Principals>
<Settings>
<MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
<DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
<StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
<AllowHardTerminate>true</AllowHardTerminate>
<StartWhenAvailable>false</StartWhenAvailable>
<RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
<IdleSettings>
<StopOnIdleEnd>true</StopOnIdleEnd>
<RestartOnIdle>false</RestartOnIdle>
</IdleSettings>
<AllowStartOnDemand>true</AllowStartOnDemand>
<Enabled>true</Enabled>
<Hidden>false</Hidden>
<RunOnlyIfIdle>false</RunOnlyIfIdle>
<WakeToRun>false</WakeToRun>
<ExecutionTimeLimit>PT0S</ExecutionTimeLimit>
<Priority>7</Priority>
</Settings>
<Actions Context="Author">
<Exec>
<Command>C:\Windows\System32\svcmngr.exe</Command>
<Arguments>-t 6 -a cryptonight -o stratum+tcp://xmr-eu.dwarfpool.com:8080 -O 47sghzufGhJJDQEbScMCwVBimTuq6L5JiRixD8VeGbpjCTA12noXmi4ZyBZLc99e66NtnKff34fHsGRoyZk3ES1s1V4QVcB.15dd6b557482400249a9313cefded2eac7daf99d172535775483f391b90fe0d7.TRIUMPH:x</Arguments>
</Exec>
</Actions>
</Task>[/CODE]
Тогда я просто удалил это из планировщика, удалил пользователя и в безопасном режиме удалил файл. Полтора месяца была тишина и он всплыл, но уже в другой форме.
Спасибо Вам за помощь. Будем надеяться и верить ))
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Не помогло... Он снова вернулся
Выполните скрипт в uVS:[code];uVS v3.81.8 [http://dsrt.dyndns.org]
Exec wevtutil.exe epl System system.evtx
Exec wevtutil.exe epl Application Application.evtx
Exec wevtutil.exe epl Security Security.evtx
Exec pack\7za.exe a -t7z -sdel -mx9 -m0=ppmd:o=32:mem=512m Events.7z *.evtx[/code]
В папке с UVS появится архив [B]Events.7z[/B], загрузите его на rghost.ru и дайте ссылку в теме.
Запрошенные логи
[url]http://rgho.st/7pT8rpFsq[/url]
Пока неясно. как именно эта радость пролезает в систему - будем принимать меры профилактического характера против взлома и пытаться заблокировать работу майнера. Я вас сейчас чуточку сканирую с интернета, не волнуйтесь, это не взлом, а проверка уязвимостей.
Первым делом смените пароль администратора и запретите ему вход в систему по RDP. Заведите другую учётную запись для удалённого администрирования, с нетипичным именем и сложным паролем.
Поищите в папке с майнером файл pools.txt или другой текстовый, там должен быть список пулов майнинга, типа такого:[CODE]stratum+tcp://xmr-usa.dwarfpool.com:8050
stratum+tcp://xmr-eu.dwarfpool.com:8080
stratum+tcp://xmr-eu.dwarfpool.com:8050
stratum+tcp://pool.minexmr.com:4444
stratum+tcp://xmr.crypto-pool.fr:3333
stratum+tcp://xmr.hashinvest.net:5555
stratum+tcp://mine.moneropool.com:3333[/CODE]и заблокируйте эти домены через файл hosts.
Сделайте новый полный образ автозапуска uVS.
Полностью отключил встроенную учетную запись администратора и сменил на ней пароль.
Создал новую учетную запись.
С новой учетной записи процесс легко убивается, но через время стартует заново, при этом создавай нового пользователя с правами администратора
Запрошенные логи
[url]http://rgho.st/6dvjSRqVx[/url]
Остановите и отключите временно службу Mobile SMARTS Сервер, есть у меня смутные подозрения...
Выполните скрипт в UVS:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %Sys32%\APPINFO.DLL
addsgn BA652BBE5D22C5062FC4F9F9E724324CAE72772CC171EEFB7FC2B0B9B841724C235B4890B586D5C2E5C80FC36226017109FBD03AD61E9073C4F05AD038CAEEBF 58 Trojan.BtcMine.1324 [DrWeb] 4
zoo E:\CONSUSERDATA\SVCHOST.EXE
addsgn A7A4F676C56A4C724359C2954C809B703DC2758BA9B29625858F4CF9789AF801135B4A02061914146BCC0DFA0E5AC0972D9361070D9639514D3F2D62CF4EAB26 8 Win32.BitCoinMiner.ibto [Kaspersky] 7
chklst
delvir
apply
czoo[/CODE]
Перезагрузите сервер.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Новый файл ZOO отправьте в карантин.
Выполните скрипт в UVS:[CODE];uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
sfc %Sys32%\APPINFO.DLL[/CODE]
Удалите левых пользователей, установите все доступные обновления к системе.
Службу отключил
Обновления все последние
Пользователей лишних удалил
Запрошенные логи прикладываю
Карантин отправил
После перезапуска пока что вируса не наблюдаю. Посмотрю дальше