Вирус ворующий пароли и деньги! [Trojan-Banker.Win32.Fibbit.uvb, UDS:DangerousObject.Multi.Generic ]

Здравствуйте! Вчера заметил странности какие-то. Появилось окно на пару сек и пропало, думал глюк. Потом запустил бота для сайта 999dice но он не запустился, словно вирус. Отследил то, что он делает и заметил, что вносятся измененния в каталоги и реестр. Сегодня утром зашел на 999dice а моих денежек там нет! Примерно 1200р. Денег то не особо жалко, все равно их с нуля поднял. Просто теперь боюсь за другие сайты и банк, например.

Выполнил скрипт, но ноут так и не перезагрузился. Логи прикрепляю
Винду переустанавливать не особо хочу, так как очень много полезных программ + есть программки, где слетит лицензия, а перепривязка денежек стоит.

+ сейчас заметил, что в папке TEMP появляются какие-то текстовики с работой системы. Что когда запущенно и т.д.

Уважаемый(ая) [B]Anael2015[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list=1][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

[QUOTE=mike 1;1471894]Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list=1][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img][/QUOTE]

Сделал всё как и просили. Логи прикрепил!

+ могу скинуть запакованого бота, который скорее всего и был вирусом. На компе его сейчас нет, но помню откуда качал. Мало ли, вдруг поможет

Я не удивлюсь, если какое-то из этих установленных расширений сливает информацию налево. Проверьте исполняемый файл бота на virustotal.

[QUOTE]CHR Extension: (Google Переводчик) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapbdbdomjkkjkaonfhkkikfgjllcleb [2017-10-21]
CHR Extension: (Torrent Search) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\afbpdhiclgghnffhkinjikglgmolhpee [2017-07-12]
CHR Extension: (Диск Google) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-07-12]
CHR Extension: (Adguard Антибаннер) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\bgnkhhnnamicmpeenaelnjfhikgbkllg [2017-09-26]
CHR Extension: (Tab Resize - split screen layouts) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\bkpenclhmiealbebdopglffmfdiilejc [2017-11-16]
CHR Extension: (YouTube) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-07-12]
CHR Extension: (Notepad) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\bmpkhfmiagfhlpecokcjnlhjmlkoohmf [2017-07-12]
CHR Extension: (ImprovedTube - YouTube Extension) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\bnomihfieiccainjcjblhegjgglakjdd [2017-12-25]
CHR Extension: (Разблокировать ВК - доступ Вконтакте, ОК) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\coahpcpgfnnaddeelpphpifmgfobflog [2017-11-23]
CHR Extension: (MegaBonus - Кешбэк до 40%) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\dbfipcjecamggjfabeaclacjoohfjhhn [2017-12-25]
CHR Extension: (Chameleon) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\dmpojjilddefgnhiicjcmhbkjgbbclob [2017-09-20]
CHR Extension: (Adobe Acrobat) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\efaidnbmnnnibpcajpcglclefindmkaj [2017-07-12]
CHR Extension: (Fast autoreg) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ejieecgghibdgpgmldpohaklokdkfbcg [2017-11-22]
CHR Extension: (NeoBuxOx) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\fcpnnjlljgdcinojgocmjddolelccbjc [2017-07-12]
CHR Extension: (ZenMate VPN - лучшее решение для интернет-безопасности) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\fdcgdnkidjaadafnichfpabhfomcebme [2017-11-22]
CHR Extension: (Toby Mini) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\gfdcgfhkelkdmglklfbndgopaihmoeci [2017-09-20]
CHR Extension: (Google*Документы офлайн) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-07-12]
CHR Extension: (99.9% Dice Помощник) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\hdagbpedejpckfjjlnenjipopjnaabcd [2017-07-12]
CHR Extension: (LastPass: Free Password Manager) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\hdokiejnpimakedhajhdlcegeplioahd [2017-11-17]
CHR Extension: (VkOpt) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\hoboppgpbgclpfnjfdidokiilachfcbb [2017-08-23]
CHR Extension: (VK Музыкальный плеер) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdcodafmbknbopclkbcnfkohmeaeapeg [2017-12-27]
CHR Extension: (Speed Dial 2 - Новая вкладка) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jpfpebmajhhopeonhlcgidhclcccjcik [2017-07-12]
CHR Extension: (Альтернативный поиск) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\kjkgjpddkihmdolbeghifnoaccfklena [2017-11-15]
CHR Extension: (Linkclump) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\lfpjkncokllnfokkgpkobnkbkmelfefj [2017-12-27]
CHR Extension: (Direct.Fastix ) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\lknnjfgcgglncamgpbbdfkianokjohlh [2017-07-12]
CHR Extension: (Lazarus: Form Recovery) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\loljledaigphbcpfhfmgopdkppkifgno [2017-07-12]
CHR Extension: (LetyShops - кэшбэк сервис) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\lphicbbhfmllgmomkkhjfkpbdlncafbn [2017-12-25]
CHR Extension: (FireShot - скриншоты страниц и аннотации) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\mcbpblocgmgfnpjjppndjkmgjaogfceg [2017-12-17]
CHR Extension: (SessionBox - Free multi login to any website) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\megbklhjamjbcafknkgmokldgolkdfig [2017-12-02]
CHR Extension: (VK Zen) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\mpfejdpmfgcomleigigpfdlkneimnioj [2017-12-27]
CHR Extension: (IDM Integration Module) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ngpampappnmepgilojfohadhhmbhlaek [2017-12-15]
CHR Extension: (VkButton - Качаем музыку и видео из ВК) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmieajomdnmlbmppoagkldjfhkjiijmh [2017-12-25]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2017-08-22]
CHR Extension: (PDF Viewer) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\oemmndcbldboiebfnladdacbdfmadadm [2017-07-18]
CHR Extension: (Checker Plus for Gmail™) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\oeopbcgkkoapgobdbedcemjljbihmemj [2017-11-16]
CHR Extension: (vidIQ Vision for YouTube) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pachckjkecffpdphbpmfolblodfkgbhl [2017-12-25]
CHR Extension: (AliExpress Radar) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pfjibkklgpfcfdlhijfglamdnkjnpdeg [2017-12-25]
CHR Extension: (Gmail) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-07-12]
CHR Extension: (Chrome Media Router) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2017-12-15]
[/QUOTE]

[QUOTE=mike 1;1471911]Я не удивлюсь, если какое-то из этих установленных расширений сливает информацию налево. Проверьте исполняемый файл бота на virustotal.[/QUOTE]

В расширениях я уверен, так как пользуюсь ими не один день, а вот бота скачал вчера. Как раз когда всё это произошло! И через 10 мин после запуска с моего аккаунта ушли деньги! Бот после этого еще раз запустил, но уже с отслежкой, через программу uninstall tool. Отследил, всё удалил. Вроде как ничего нет, но всё же у меня подозрение, что логи сливаются. Именно по этой причине решил дополнительно обратиться сюда, так как мне тут неоднократно помогали. Всё же побаиваюсь за свои финансы, но как писал выше: переустанавливать систему вообще не вариант.

Исполняемый файл бота упакуйте в zip архив с именем virus и загрузите по красной ссылке вверху темы.

[QUOTE=mike 1;1471942]Исполняемый файл бота упакуйте в zip архив с именем virus и загрузите по красной ссылке вверху темы.[/QUOTE]

Всё сделал!
Результат загрузки
Файл сохранён как 171228_115605_VIRUS_5a44dbd5725a6.zip
Размер файла 4091345
MD5 b568811d88dbcce9c957924442446afa
Файл закачан, спасибо!

\virus\bot.exe - Trojan-Banker.Win32.Fibbit.uvb (ворует пароли)
\virus\libeay32.dll - UDS:9DangerousObject.Multi.Generic

[QUOTE=mike 1;1471976]\virus\bot.exe - Trojan-Banker.Win32.Fibbit.uvb (ворует пароли)
\virus\libeay32.dll - UDS:9DangerousObject.Multi.Generic[/QUOTE]

Я бот удалил, но не внедрился ли он в систему куда-то? Если я его убрал, то теперь он не украдёт пароль?

Активного заражения по логам не видно. Можете для контроля сделать полную проверку с помощью MBAM.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \virus\bot.exe - [B]Trojan-Banker.Win32.Fibbit.uvb[/B][*] \virus\libeay32.dll - [B]UDS:DangerousObject.Multi.Generic[/B][/LIST][/LIST]