Нахватал вирусни с левых торрентов [UDS:DangerousObject.Multi.Generic, Trojan.Win32.SelfDel.fwld ]

Printable View

15.07.2017, 22:00
piecework

Вложений: 1

Нахватал вирусни с левых торрентов [UDS:DangerousObject.Multi.Generic, Trojan.Win32.SelfDel.fwld ]

Ребята, приветствую!
Помогите с удалением вирусни.
Скачал фотошоп ломаный и понеслось.
Куча вирусни. Постоянно открываются левые окна, закрывается браузер и прочие прелести в виде включения видеорекламы в браузере.
В браузере открывает по умолчанию страницу [url]http://workno.ru/?utm_source=uoua03&utm_content=30279481911209992ea2df3b8dc4809c&utm_term=565F0C56AB69C41C8A1A842A9790F61F&utm_d=20170715[/url]

Прошу поддержки.
15.07.2017, 22:03
Info_bot

Уважаемый(ая) [B]piecework[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.07.2017, 10:31
thyrex

[QUOTE]Video and Audio Plugin UBar
YoutubeAdBlock[/QUOTE]удалите через Установку программ

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\YiuAskU2\EUJHowC.dll','');
QuarantineFile('C:\Users\Piecework\AppData\Roaming\Microsoft\msi.exe','');
QuarantineFile('C:\Users\Piecework\AppData\Roaming\curl\curl_7_54.exe','');
QuarantineFile('C:\Users\Piecework\AppData\Roaming\curl\curl.exe','');
QuarantineFile('C:\Program Files (x86)\YiuAskU\nISNhLA.dll','');
TerminateProcessByName('c:\program files (x86)\yiuaskie\mnu8ofaum.exe');
DelBHO('{2C6A44CB-AD42-4731-A544-3FBD3D83AB5B}');
QuarantineFile('C:\Program Files (x86)\YiuAskIE\ktr9tIj.dll','');
QuarantineFile('C:\Users\Piecework\AppData\Roaming\fiibkhokmfkkadmpaigijmgmlfenpchk\ml.py','');
SetServiceStart('UbarPolicyProvider', 4);
DeleteService('UbarPolicyProvider');
SetServiceStart('SvcHost Service Host', 4);
DeleteService('SvcHost Service Host');
SetServiceStart('Ea3Host', 4);
DeleteService('Ea3Host');
TerminateProcessByName('c:\users\piecework\appdata\local\yc\application\yc.exe');
QuarantineFile('c:\users\piecework\appdata\local\yc\application\yc.exe','');
TerminateProcessByName('C:\Program Files\UBar\UbarService.exe');
QuarantineFile('C:\Program Files\UBar\UbarService.exe','');
TerminateProcessByName('C:\Program Files\UBar\ubar.exe');
QuarantineFile('C:\Program Files\UBar\ubar.exe','');
TerminateProcessByName('C:\Windows\Microsoft\svchost.exe.exe');
QuarantineFile('C:\Windows\Microsoft\svchost.exe.exe','');
TerminateProcessByName('C:\Windows\Microsoft\svchost.exe');
QuarantineFile('C:\Windows\Microsoft\svchost.exe','');
QuarantineFile('c:\program files (x86)\yiuaskie\mnu8ofaum.exe','');
TerminateProcessByName('C:\Windows\System32\Ea3Host.exe');
QuarantineFile('C:\Windows\System32\Ea3Host.exe','');
DeleteFile('C:\Windows\System32\Ea3Host.exe','32');
DeleteFile('C:\Windows\Microsoft\svchost.exe','32');
DeleteFile('C:\Windows\Microsoft\svchost.exe.exe','32');
DeleteFile('C:\Program Files\UBar\ubar.exe','32');
DeleteFile('C:\Program Files\UBar\UbarService.exe','32');
DeleteFile('c:\users\piecework\appdata\local\yc\application\yc.exe','32');
DeleteFile('C:\Users\Piecework\AppData\Roaming\fiibkhokmfkkadmpaigijmgmlfenpchk\ml.py','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_658253F607F32ED3A165EFF0037ADBBF');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','fiibkhokmfkkadmpaigijmgmlfenpchk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ycAutoLaunch_FBD4BE74C60F1B2EDA690AEDF5256CF9');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','codddbumcw');
DeleteFile('C:\Program Files (x86)\YiuAskIE\ktr9tIj.dll','32');
DeleteFile('c:\program files (x86)\yiuaskie\mnu8ofaum.exe','32');
DeleteFile('C:\Program Files (x86)\YiuAskU\nISNhLA.dll','32');
DeleteFile('C:\WINDOWS\Tasks\2C6A44CB-AD42-4731-A544-3FBD3D83AB5B.job','32');
DeleteFile('C:\WINDOWS\system32\Tasks\2C6A44CB-AD42-4731-A544-3FBD3D83AB5B','64');
DeleteFile('C:\WINDOWS\system32\Tasks\2C6A44CB-AD42-4731-A544-3FBD3D83AB5B2','64');
DeleteFile('C:\WINDOWS\system32\Tasks\curl','64');
DeleteFile('C:\Users\Piecework\AppData\Roaming\curl\curl.exe','32');
DeleteFile('C:\Users\Piecework\AppData\Roaming\curl\curl_7_54.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\curls','64');
DeleteFile('C:\WINDOWS\system32\Tasks\fiibkhokmfkkadmpaigijmgmlfenpchk','64');
DeleteFile('C:\Users\Piecework\AppData\Roaming\Microsoft\msi.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\MSI','64');
DeleteFile('C:\WINDOWS\system32\Tasks\U2_2C6A44CB-AD42-4731-A544-3FBD3D83AB5B','64');
DeleteFile('C:\Program Files (x86)\YiuAskU2\EUJHowC.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
16.07.2017, 12:46
piecework

Вложений: 1

Спасибо! Логи прилагаю. Карантин также приложил.
16.07.2017, 13:25
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
16.07.2017, 13:39
piecework

Вложений: 1

Архив с логами прилагаю
16.07.2017, 17:03
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
BHO: YoutubeAdBlock -> {2C6A44CB-AD42-4731-A544-3FBD3D83AB5B} -> C:\Program Files (x86)\YiuAskIE\t9WlcCyc.dll => No File
CHR StartupUrls: Default -> "hxxp://www.google.com/","hxxp://www.istartsurf.com/?type=hp&ts=1447432453&z=286db8ba0a1b26e8398dce4gcz5z7m7z7c3o9o5e8q&from=cor&uid=SAMSUNGXMZMPA016HMCD-000L1_S11BNEACB01449","hxxp://mail.ru/cnt/10445?gp=811009"
CHR Extension: (Adblock Plus) - C:\Users\Piecework\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2017-07-16]
CHR Extension: (Блокировщик Рекламы Для Ютуба™) - C:\Users\Piecework\AppData\Local\Google\Chrome\User Data\Default\Extensions\nhgokgcnplbfnkjpejjgafogeecgaini [2017-07-16]
CHR HKU\S-1-5-21-962045732-4012997713-2919529679-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [epgjfmblhacacphaljkdcjllkomdcjpc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
2017-07-16 02:42 - 2017-07-16 02:42 - 00002072 _____ C:\Users\Piecework\Desktop\Вoйти в Интeрнет.lnk
2017-07-16 02:38 - 2017-07-16 11:38 - 00000000 ____D C:\Users\Piecework\AppData\Local\wutphost
2017-07-16 01:59 - 2017-07-16 01:59 - 00000000 ____D C:\Users\Piecework\AppData\Local\Войны престолов
2017-07-16 01:45 - 2017-07-16 01:45 - 00000000 ____D C:\Users\Piecework\AppData\Local\Вoйти в Интeрнет
2017-07-16 01:43 - 2017-07-16 03:27 - 00000000 ____D C:\Users\Piecework\AppData\Local\yc
2017-07-16 01:43 - 2017-07-16 01:43 - 00920784 _____ C:\WINDOWS\system32\Ea3Host.exe
2017-07-16 01:37 - 2017-07-16 01:37 - 00001668 _____ C:\Users\Piecework\Desktop\Поиcк в Интeрнете.lnk
2017-07-16 01:37 - 2017-07-16 01:37 - 00000000 ____D C:\Users\Piecework\AppData\Local\Поиcк в Интeрнете
2017-07-16 01:35 - 2017-07-16 01:45 - 00000000 ____D C:\Users\Piecework\AppData\Local\Amigo
2017-07-16 01:33 - 2017-07-16 16:35 - 00000000 ____D C:\Users\Piecework\AppData\Roaming\curl
ContextMenuHandlers01: [MyPhoneExplorer] -> {A372C6DF-7A85-41B1-B3B0-D1E24073DCBF} => -> No File
ContextMenuHandlers01: [WinRAR32] -> {B41DB860-8EE4-11D2-9906-E49FADC173CA} => -> No File
ContextMenuHandlers05: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} => -> No File
ContextMenuHandlers05: [igfxDTCM] -> {9B5F5829-A529-4B12-814A-E81BCB8D93FC} => -> No File
ContextMenuHandlers06: [WinRAR32] -> {B41DB860-8EE4-11D2-9906-E49FADC173CA} => -> No File
Task: {12E03B0B-C25E-4AD1-B3A4-D07A58AEA179} - \2C6A44CB-AD42-4731-A544-3FBD3D83AB5B2 -> No File <==== ATTENTION
Task: {13347A80-225D-4F09-848B-4C6A6E3B44D3} - \curls -> No File <==== ATTENTION
Task: {49A74B06-862C-469B-AC7D-DDDB3A175FF8} - \curl -> No File <==== ATTENTION
Task: {6A11F4DE-A664-4D8F-8142-ED1E84E3C1D3} - \MSI -> No File <==== ATTENTION
Task: {C91871C5-AB82-471A-885C-AA3E3255157D} - \U2_2C6A44CB-AD42-4731-A544-3FBD3D83AB5B -> No File <==== ATTENTION
FirewallRules: [{042ED18E-33F2-429A-8191-A79770826DD9}] => (Allow) C:\Users\Piecework\AppData\Local\Amigo\Application\amigo.exe
FirewallRules: [{70DC8101-1393-4CB3-BDE5-F5E615F729B8}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{F1486DB9-79DB-4F80-BD70-F529A921ADE7}] => (Allow) C:\Users\Piecework\AppData\Local\yc\Application\yc.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
16.07.2017, 17:46
piecework

Вложений: 1

Требуемый лог прилагаю
16.07.2017, 18:01
thyrex

Проблема решена?
16.07.2017, 18:18
piecework

К сожалению пока нет. Реклама выпадает в произвольном порядке в браузере
17.07.2017, 17:20
piecework

Вечер добрый!
Можно ли ожидать дальнейшей поддержки по моему запросу?
17.07.2017, 19:17
thyrex

Помощь оказывается добровольно в свободное от основных занятий время.

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему.
18.07.2017, 17:26
piecework

thyrex, спасибо большое за поддержку. Вероятно проблема возникала действительно из-за некоего расширения в браузере.
Удалил подозрительные - проблема решилась. Спасибо большое за поддержку! Тикет можно закрывать.
18.07.2017, 17:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\piecework\appdata\roaming\microsoft\msi.exe - [B]UDS:DangerousObject.Multi.Generic[/B][*] c:\windows\microsoft\svchost.exe - [B]Trojan.Win32.SelfDel.fwld[/B][*] c:\windows\microsoft\svchost.exe.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.csg[/B][/LIST][/LIST]