Постоянно выскакивает реклама в браузерах, открываются новые страницы [Trojan.Win32.BitMiner.ayj ]

Printable View

01.08.2017, 01:34
lohudra

Постоянно выскакивает реклама в браузерах, открываются новые страницы [Trojan.Win32.BitMiner.ayj ]

Autologger
01.08.2017, 01:35
Info_bot

Уважаемый(ая) [B]lohudra[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
02.08.2017, 11:45
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\PROGRA~3\64eeb050\597e1538.dll','');
QuarantineFile('C:\ProgramData\{725F175A-C5F4-A0F1-03BB-3AD898AF744E}\4535F4A9-F29E-4302-CB23-68407FDEB1C7.exe','');
QuarantineFile('C:\ProgramData\{80732586-37D8-922D-DD31-AE6814F9777D}\4D7E40AF-FAD5-F704-B39A-808CC845653F.exe','');
QuarantineFile('C:\PROGRA~2\7hx405B\zcr406B.bat','');
QuarantineFile('C:\Users\NBV\AppData\Local\DateOption\regCheck.vbs','');
QuarantineFile('C:\Users\NBV\AppData\Local\LastNews\regCheck.vbs','');
QuarantineFile('C:\Users\NBV\AppData\Local\ValidateLife\regCheck.vbs','');
QuarantineFile('C:\Users\NBV\AppData\Local\ImmediateHelp\regCheck.vbs','');
QuarantineFile('C:\Users\NBV\AppData\Local\TestMenu\regCheck.vbs','');
TerminateProcessByName('c:\programdata\{10d6b775-a77d-00de-9730-8b962b14b8d9}\12a318d8-a508-af73-4943-7d11e6c70729.exe');
QuarantineFile('c:\programdata\{10d6b775-a77d-00de-9730-8b962b14b8d9}\12a318d8-a508-af73-4943-7d11e6c70729.exe','');
TerminateProcessByName('c:\programdata\{725f175a-c5f4-a0f1-03bb-3ad898af744e}\4535f4a9-f29e-4302-cb23-68407fdeb1c7.exe');
QuarantineFile('c:\programdata\{725f175a-c5f4-a0f1-03bb-3ad898af744e}\4535f4a9-f29e-4302-cb23-68407fdeb1c7.exe','');
TerminateProcessByName('c:\programdata\{80732586-37d8-922d-dd31-ae6814f9777d}\4d7e40af-fad5-f704-b39a-808cc845653f.exe');
QuarantineFile('c:\programdata\{80732586-37d8-922d-dd31-ae6814f9777d}\4d7e40af-fad5-f704-b39a-808cc845653f.exe','');
TerminateProcessByName('c:\programdata\{e434cac6-539f-7d6d-d4bf-c73d3fecf11a}\68712874-dfda-9fdf-f003-8f75ff710dd8.exe');
QuarantineFile('c:\programdata\{e434cac6-539f-7d6d-d4bf-c73d3fecf11a}\68712874-dfda-9fdf-f003-8f75ff710dd8.exe','');
TerminateProcessByName('c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe');
QuarantineFile('c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe','');
DeleteFile('c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe','32');
DeleteFile('c:\programdata\{e434cac6-539f-7d6d-d4bf-c73d3fecf11a}\68712874-dfda-9fdf-f003-8f75ff710dd8.exe','32');
DeleteFile('c:\programdata\{80732586-37d8-922d-dd31-ae6814f9777d}\4d7e40af-fad5-f704-b39a-808cc845653f.exe','32');
DeleteFile('c:\programdata\{725f175a-c5f4-a0f1-03bb-3ad898af744e}\4535f4a9-f29e-4302-cb23-68407fdeb1c7.exe','32');
DeleteFile('c:\programdata\{10d6b775-a77d-00de-9730-8b962b14b8d9}\12a318d8-a508-af73-4943-7d11e6c70729.exe','32');
DeleteFile('C:\Users\NBV\AppData\Local\TestMenu\regCheck.vbs','32');
DeleteFile('C:\Users\NBV\AppData\Local\ImmediateHelp\regCheck.vbs','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','windowsupdates');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','importantupdates');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu5');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
DeleteFile('C:\Users\NBV\AppData\Local\ValidateLife\regCheck.vbs','32');
DeleteFile('C:\Users\NBV\AppData\Local\LastNews\regCheck.vbs','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
DeleteFile('C:\Users\NBV\AppData\Local\DateOption\regCheck.vbs','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DateOption5','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FileSystemOptions','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FileSystemOptions5','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FilterOptions','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FilterOptions5','command');
DeleteFile('C:\PROGRA~2\7hx405B\zcr406B.bat','32');
DeleteFile('C:\Windows\system32\Tasks\f9c38018558b45909ae7861f48cbcb4c','64');
DeleteFile('C:\Windows\system32\Tasks\Translator Command Helper','64');
DeleteFile('C:\Windows\system32\Tasks\{080C7D47-7F7A-050C-0911-7E7D080F117A}','64');
DeleteFile('C:\ProgramData\{80732586-37D8-922D-DD31-AE6814F9777D}\4D7E40AF-FAD5-F704-B39A-808CC845653F.exe','32');
DeleteFile('C:\ProgramData\{725F175A-C5F4-A0F1-03BB-3AD898AF744E}\4535F4A9-F29E-4302-CB23-68407FDEB1C7.exe','32');
DeleteFile('C:\PROGRA~3\64eeb050\597e1538.dll','32');
DeleteFile('C:\Windows\system32\Tasks\{61E5FD46-D64E-4AED-F32B-7DA621F97490}','64');
DeleteFile('C:\Windows\system32\Tasks\{9AE90F90-2D42-B83B-F1DE-1DB241CB1A48}','64');
DeleteFile('C:\Windows\system32\Tasks\{A04FC095-BA43-F23E-0557-520FD72A7621}','64');
DeleteFile('C:\Windows\system32\Tasks\{D3733231-64D8-859A-8D17-EA020ED3C56D}','64');
DeleteFile('C:\Windows\system32\Tasks\{E439A914-5392-1EBF-7114-45D745773686}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger[/COLOR][/B]
02.08.2017, 18:52
lohudra

Новый лог
04.08.2017, 07:57
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
04.08.2017, 20:39
lohudra

Логи, ie также автоматически запускается с рекламой
05.08.2017, 08:15
thyrex

[QUOTE]Ace Stream Media 3.1.16.1
Adblock Plus for IE
Adblock Plus для IE[/QUOTE]удалите через Установку программ

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
Task: {0E5991A0-1332-495A-8AC4-61B2A91F3C04} - \{E439A914-5392-1EBF-7114-45D745773686} -> No File <==== ATTENTION
Task: {353D33CE-133C-41D4-8591-B8E1BE36F305} - System32\Tasks\NvTmMon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} => C:\Program Files (x86)\NVIDIA Corporation\Update Core\NvTmMon.exe [2017-06-28] (NVIDIA Corporation)
Task: {3CB8D1AA-EE81-4905-B7D1-077DA2F7912B} - \{9AE90F90-2D42-B83B-F1DE-1DB241CB1A48} -> No File <==== ATTENTION
Task: {3EC31487-F09D-419E-804C-AEF0A1689095} - \{A04FC095-BA43-F23E-0557-520FD72A7621} -> No File <==== ATTENTION
Task: {6D1AB150-DE1E-4D31-967E-F0D446B6E199} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {70060DC8-BA46-4D8B-BAB3-F00836CA1EBE} - \{080C7D47-7F7A-050C-0911-7E7D080F117A} -> No File <==== ATTENTION
Task: {8D98E5FB-A3B8-461B-851D-D9DB5FD2329F} - \f9c38018558b45909ae7861f48cbcb4c -> No File <==== ATTENTION
Task: {955C305D-48E4-4F81-82D6-D368122B0244} - \{61E5FD46-D64E-4AED-F32B-7DA621F97490} -> No File <==== ATTENTION
Task: {A8966B4E-AB74-48D5-8A8B-9610F2FAE19F} - \Current Request Helper -> No File <==== ATTENTION
Task: {B5787E19-4DDC-473B-B225-629FBCD951B1} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {B777A517-301D-461F-802E-D0D46673E41E} - \{D3733231-64D8-859A-8D17-EA020ED3C56D} -> No File <==== ATTENTION
Task: {BBA54735-3493-4AAB-9AF8-44A7378892AD} - System32\Tasks\7runewscombops => "C:\Program Files\Internet Explorer\iexplore.exe" 7runews.com/bops <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:2B19EBF3 [106]
AlternateDataStreams: C:\ProgramData\TEMP:47626ACA [396]
AlternateDataStreams: C:\ProgramData\TEMP:9D1B94FD [169]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:2B19EBF3 [106]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:47626ACA [396]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:9D1B94FD [169]
MSCONFIG\startupreg: AceStream => C:\Users\NBV\AppData\Roaming\ACEStream\engine\ace_engine.exe
MSCONFIG\startupreg: DateOption =>
MSCONFIG\startupreg: DateOption5 =>
MSCONFIG\startupreg: FileSystemOptions => C:\Users\NBV\AppData\Local\FileSystemOptions\regCheck.vbs www.minipigping.com/?rnd=135 1 1200000
MSCONFIG\startupreg: FileSystemOptions5 => C:\Users\NBV\AppData\Local\FileSystemOptions\regCheck.vbs www.minipigping.com/?rnd=135 1 1500000
MSCONFIG\startupreg: FilterOptions => C:\Users\NBV\AppData\Local\FilterOptions\regCheck.vbs www.regtestproc.com/?rnd=135 1 600000
MSCONFIG\startupreg: FilterOptions5 => C:\Users\NBV\AppData\Local\FilterOptions\regCheck.vbs www.regtestproc.com/?rnd=135 1 900000
BHO: Adblock Plus for IE Browser Helper Object -> {FFCB3198-32F3-4E8B-9539-4324694ED664} -> C:\Program Files\Adblock Plus for IE\AdblockPlus64.dll [2015-09-22] (Eyeo GmbH)
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO-x32: [email protected] -> {8E8F97CD-60B5-456F-A201-73065652D099} -> C:\Users\NBV\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll => No File
BHO-x32: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C0} -> C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\npHtml5loc.dll => No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> C:\Program Files (x86)\Yandex\FastDial\fastdial.dll => No File
BHO-x32: Adblock Plus for IE Browser Helper Object -> {FFCB3198-32F3-4E8B-9539-4324694ED664} -> C:\Program Files\Adblock Plus for IE\AdblockPlus32.dll [2015-09-22] (Eyeo GmbH)
FF Extension: (Ace Stream Web Extension) - C:\Users\NBV\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi [2017-07-12]
CHR Extension: (Adblock Plus) - C:\Users\NBV\AppData\Local\Google\Chrome\User Data\dtithershboyjerotion\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2016-12-02]
CHR HKU\S-1-5-21-373623261-2949339627-1615149869-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
CHR crx: C:\Program Files (x86)\Google\Chrome\Application\44.0.2403.125\default_apps\search.crx [2015-07-25]
CHR crx: C:\Program Files (x86)\Google\Chrome\Application\39.0.2171.99\default_apps\search.crx [2015-01-09]
S2 BstHdUpdaterSvc; C:\Program Files (x86)\BlueStacks\HD-UpdaterService.exe [X]
S3 NvStreamNetworkSvc; "C:\Program Files\NVIDIA Corporation\NvStreamSrv\NvStreamNetworkService.exe" [X]
S2 NvStreamSvc; "C:\Program Files\NVIDIA Corporation\NvStreamSrv\NvStreamService.exe" [X]
S2 Web client service; C:\Program Files (x86)\Disco Browser\srvagent.exe /start [X]
2017-08-01 18:55 - 2017-08-01 18:55 - 000000001 _RHOT C:\Users\NBV\AppData\Local\rightchose
2017-07-31 20:02 - 2017-07-31 20:02 - 000000001 _RHOT C:\Users\NBV\AppData\Local\FilterOptions
2017-07-31 20:02 - 2017-07-31 20:02 - 000000001 _RHOT C:\Users\NBV\AppData\Local\FileSystemOptions
2017-07-31 20:02 - 2017-07-31 20:02 - 000000001 _RHOT C:\Users\NBV\AppData\Local\DateOption
2017-07-29 09:43 - 2017-07-29 09:43 - 001655496 _____ C:\Windows\SysWOW64\26E5knASqymL.exe
2017-07-09 18:13 - 2017-07-09 18:13 - 000000001 _RHOT C:\Users\NBV\AppData\Roaming\Microleaves
2017-07-09 18:13 - 2017-07-09 18:13 - 000000001 _RHOT C:\Users\NBV\AppData\Local\AdvinstAnalytics
2017-07-09 18:13 - 2017-07-09 18:13 - 000000001 _RHOT C:\Program Files (x86)\Microleaves
2017-07-09 18:12 - 2017-07-09 18:12 - 000000000 ____D C:\Users\NBV\AppData\Roaming\windowsupdates
2017-07-09 17:36 - 2017-07-09 17:50 - 000003564 _____ C:\Windows\System32\Tasks\7runewscombops
2017-07-07 19:43 - 2017-07-07 19:43 - 000000001 _RHOT C:\Users\NBV\AppData\Roaming\Enigma Software Group
2017-07-07 19:43 - 2017-07-07 19:43 - 000000001 _RHOT C:\Program Files\Enigma Software Group
2017-06-05 23:43 - 2017-06-06 00:41 - 000000000 ___HD C:\_acestream_cache_
2017-06-05 23:39 - 2017-08-02 06:47 - 000000000 ____D C:\Users\NBV\AppData\Roaming\.ACEStream
2017-06-05 23:36 - 2017-06-05 23:36 - 000001951 _____ C:\Users\NBV\Desktop\Ace Player.lnk
2017-06-05 23:36 - 2017-06-05 23:36 - 000000000 ____D C:\Users\NBV\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Ace Stream Media
2017-06-05 23:36 - 2017-06-05 23:36 - 000000000 ____D C:\Users\NBV\AppData\LocalLow\.ACEStream
2017-06-05 23:35 - 2017-06-05 23:40 - 000000000 ____D C:\Users\NBV\AppData\Roaming\ACEStream
2017-06-05 23:25 - 2017-06-05 23:26 - 083381280 _____ C:\Users\NBV\Downloads\Ace_Stream_Media_3.1.16.1.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
05.08.2017, 16:49
lohudra

Лог FRST
06.08.2017, 07:43
thyrex

Что с проблемой?
07.08.2017, 08:08
lohudra

IE перестал вылезать, но надо еще последить за системой.
Кажется какие-то ссылки на рекламу еще остались, если покопаться в папке C:\Windows\system32\Tasks\
Обязательно отпишу
07.08.2017, 21:54
lohudra

В Tasks видел: 7runews.com, но теперь все чистенько!
Как закрыть все уязвимости? Какие приложения обновить?
07.08.2017, 22:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe - [B]Trojan.Win32.BitMiner.ayj[/B] ( BitDefender: Gen:Application.Heur2.@FW@bWJ8Cdgib )[/LIST][/LIST]