Printable View
Добрый день.
OC Windows Server 2003 R2 32-bit, не запускаются некоторые приложения (не является Win32, совместимость не помогает), не открывается окно управление сервером(белое окно без содержимого). MS Security Essentials работает но не обновляется с 30.05.2017.
Логи прилагаю.
Заранее благодарю за помощь!
Уважаемый(ая) [B]splinterru[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.ru/cnt/10445?gp=811040
R4 - HKCU\Software\Microsoft\Internet Explorer\SearchScopes: DefaultScope = {FFEBBF0A-C22C-4172-89FF-45215A135AC7} - Поиск@Mail.Ru - http://go.mail.ru/search?q={SearchTerms}&fr=iextn&gp=811014
R4 - HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{FFEBBF0A-C22C-4172-89FF-45215A135AC7} - Поиск@Mail.Ru - http://go.mail.ru/search?q={SearchTerms}&fr=iextn&gp=811014
O4 - HKU\S-1-5-18\..\Run: [kpm.exe] C:\Program Files\Kaspersky Lab\Kaspersky Password Manager 8.0.3\kpm.exe (file missing)
O26 - Image File Execution Options: Your Image File Name Here without a path - ntsd -d (file missing)[/code]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\WINDOWS\system32\wsaudio.dll','');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At1.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At2.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At3.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At4.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At5.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At6.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At7.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At8.job','32');
DeleteFile('C:\Documents and Settings\Администратор.SERVER\WINDOWS\Tasks\At9.job','32');
DeleteFile('C:\WINDOWS\system32\wsaudio.dll','32');
ExecuteSysClean;
BC_ImportDeletedList;
BC_Activate;
end.[/code]Перезагрузите сервер.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Если ещё не устранили уязвимость, которую используют нашумевшие шифровальщики WannaCry и Petya - [URL="https://support.microsoft.com/ru-ru/help/4012598/title"]MS17-010: Описание обновления безопасности для Windows SMB Server[/URL] срочно устанавливайте, причём на всех компьютерах в сети.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше все в одном архиве).
Файл с карантином сам не создался, вручную упаковал папку Quarantine с паролем virus и отправил по ссылке.
Лог FRST прикладываю.
Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKU\S-1-5-18\...\Run: [] => [X]
HKU\S-1-5-18\...\RunOnce: [] => [X]
BHO: Поиск@Mail.Ru -> {8E8F97CD-60B5-456F-A201-73065652D099} -> C:\Documents and Settings\Администратор.SERVER\Local Settings\Application Data\Mail.Ru\Sputnik\IESearchPlugin.dll [2017-02-26] (Mail.Ru)
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=811009"
CHR HKLM\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
S2 ihctrl32; C:\WINDOWS\System32\svchost.exe [14848 2009-11-17] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\WINDOWS\System32\svchost.exe [14848 2009-11-17] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
2017-07-17 17:30 - 2010-01-15 13:43 - 00000348 _____ C:\WINDOWS\Tasks\At9.job
2017-07-17 17:30 - 2010-01-15 12:38 - 00000342 _____ C:\WINDOWS\Tasks\At8.job
2017-07-17 17:30 - 2010-01-14 13:33 - 00000342 _____ C:\WINDOWS\Tasks\At7.job
2017-07-17 17:30 - 2010-01-14 09:13 - 00000344 _____ C:\WINDOWS\Tasks\At6.job
2017-07-17 17:30 - 2010-01-13 12:50 - 00000348 _____ C:\WINDOWS\Tasks\At5.job
2017-07-17 17:30 - 2010-01-12 13:42 - 00000346 _____ C:\WINDOWS\Tasks\At4.job
2017-07-17 17:30 - 2010-01-12 12:12 - 00000346 _____ C:\WINDOWS\Tasks\At3.job
2017-07-17 17:30 - 2010-01-11 11:12 - 00000346 _____ C:\WINDOWS\Tasks\At2.job
2017-07-17 17:30 - 2009-12-30 14:14 - 00000348 _____ C:\WINDOWS\Tasks\At1.job
C:\Documents and Settings\All Users\Главное меню\Программы\Администрирование\Управление данным сервером.lnk[/CODE]
Сохраните (Ctrl+S) и закройте.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Создайте ярлык для файла SrvMgr.exe, это, как я понимаю, и будет управление сервером. Оригинальный ярлык испорчен вирусом.
По нажатию CTRL+Y блокнот не открылся, вручную создал файл fixlist.txt, нажал Fix, сработало. Fixlog прилагаю.
SrvMgr.exe в системе не найден, запустил sfc /scannow
Если честно, я не совсем уверен, что это SrvMgr.exe, другое не нагуглилось, а проверить не начем.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\wsaudio.dll - [B]not-a-virus:AdWare.Win32.Esprot.aln[/B][/LIST][/LIST]