Процесс aes-acx2.exe грузит ЦП на 100%, появляется снова [Trojan.Win32.Raum.f, not-a-virus:RiskTool.Win32.BitCoinMiner.hzon ]

Появился процесс в диспетчере задач aes-acx2.exe
при завершении появляется снова
находится по пути (C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3)
файлы из этой папки не удаляются, потому что они "открыты другой программой"

Уважаемый(ая) [B]Shok23[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\users\pavel\appdata\roaming\ceuju\kcj\svchost.exe');
QuarantineFile('c:\users\pavel\appdata\roaming\ceuju\kcj\svchost.exe','');
TerminateProcessByName('c:\users\pavel\appdata\roaming\ceuju\qzza.exe');
QuarantineFile('c:\users\pavel\appdata\roaming\ceuju\qzza.exe','');
QuarantineFile('c:\users\pavel\appdata\roaming\notifyltd49\notifybackup.exe','');
TerminateProcessByName('c:\windows\mssecsvc.exe');
QuarantineFile('c:\windows\mssecsvc.exe','');
TerminateProcessByName('C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3\aes-avx2.exe');
QuarantineFile('C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3\aes-avx2.exe','');
DeleteFile('C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3\aes-avx2.exe','32');
DeleteFile('c:\windows\mssecsvc.exe','32');
DeleteFile('c:\users\pavel\appdata\roaming\ceuju\qzza.exe','32');
DeleteFile('c:\users\pavel\appdata\roaming\ceuju\kcj\svchost.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','QzV');
DeleteFile('C:\Windows\winstart.bat','32');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

Я перед запуском скрипта сканировал [U]Kaspersky Virus Removal Tool 2015[/U], он удалил те файлы вируса
после чего я смог удалить папку где были эти файлы
Процесс aes-acx2.exe пропал

но после перезагрузки
начало что-то грузиться и открывалась командная строка быстро едва видно

в диспетчере мелькнул процесс [B]qzza.exe[/B] и опять появился процесс [B]aes-acx2.exe[/B] который грузит на 100%
и снова появилась папка с файлом этого процесса которую я удалял

Периодически крашится проводник и д.р., то файлы скачанные не видны и прочие глюки..

Вот последние логи и последний карантин после появления процесса опять.

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

Сделал.
У меня правда при повторном сканировании "[U]Kaspersky Virus Removal Tool 2015[/U]"
после перезагрузки был синий экран с ошибкой "[B]srv.sys[/B]"

Мне на форуме "kasperskyclub.ru" не продолжать дублированную тему ?

Вот ссылка на результат Virus-Detector - [URL="https://virusinfo.info/virusdetector/report.php?md5=8972C5B7B465523A15577E19B0B7F6BE"]ссылка[/URL]

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKU\S-1-5-21-1368408871-3472851102-630820129-1000\...\Run: [QzV] => C:\Users\Pavel\AppData\Roaming\CEUJu\Qzza.exe [4948480 2017-12-30] ()
FF Extension: (FullProtected v15.2.8) - C:\Users\Pavel\AppData\Roaming\Mozilla\Firefox\Profiles\4jry7w8v.default\Extensions\[email protected] [2015-02-08] [Legacy] [not signed]
R2 mssecsvc2.0; C:\WINDOWS\mssecsvc.exe [3723264 2017-12-30] () [File not signed]
R2 Rerun service for Torrent Search; C:\Windows\TEMP\TorrentSearch_restartonfail\InstallAfterRebootService0.exe [114184 2015-01-30] ()
2017-12-30 20:53 - 2017-12-30 20:53 - 003723264 ____S C:\Windows\mssecsvc.exe
2017-12-30 18:49 - 2017-12-30 20:37 - 000000000 ___HD C:\Users\Pavel\AppData\Roaming\NotifyLtd49
2017-12-30 18:49 - 2017-12-30 20:37 - 000000000 ____D C:\Users\Pavel\AppData\Roaming\CEUJu
2017-12-30 18:49 - 2017-12-30 20:37 - 000000000 _____ C:\Users\Pavel\AppData\Roaming\s.s
2017-12-30 18:49 - 2017-12-30 18:49 - 000325120 _____ C:\Users\Pavel\AppData\Roaming\m.exe
2017-11-24 15:55 - 2017-11-24 15:55 - 000000180 _____ () C:\Users\Pavel\AppData\Local\Temp\00e481b5e22dbe1f649fcddd505d3eb7.dll
2017-11-24 15:55 - 2017-12-25 10:21 - 000000016 _____ () C:\Users\Pavel\AppData\Local\Temp\1a3f69f2a963b7043563edc3b6839ae5.dll
Task: {4BC56A6C-31E4-47D5-8C84-FEA911DF77AE} - \chrome5 -> No File <==== ATTENTION
Task: {C17A1338-FA8F-4EC3-A25E-290850A30D46} - \chrome5_logon -> No File <==== ATTENTION
Task: {F538F296-756E-4010-9D8B-8CE168ACD276} - \GoogleUpdateTaskMachineUI -> No File <==== ATTENTION
AlternateDataStreams: C:\Users\Pavel:Heroes & Generals [38]
AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [286]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:D8999815 [286]
C:\ProgramData\eiuwqmwualymvom168
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

[b]Shok23[/b],
+
[URL='http://virusinfo.info/showthread.php?t=7239']Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]var PathAutoLogger, CMDLine : string;

begin
clearlog;
PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-4));
AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now)+#13#10+ PathAutoLogger);
SaveLog(PathAutoLogger+'report3.log');
if FolderIsEmpty(PathAutoLogger+'CrashDumps')
then CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log"'
else CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log" "' + PathAutoLogger + 'CrashDumps\"';
if FileExists('7za.exe') then ExecuteFile('7za.exe', CMDLine, 0, 180000, false)
else ExecuteFile('7za.pif', CMDLine, 0, 180000, false);
AddLineToTxtFile(PathAutoLogger+'report3.log', '7z ReturnCode ' + IntToStr(GetLastExitCode)+#13#10+'end time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now));
end.
[/CODE]

архив Report.zip из папки с AutoLogger, пожалуйста, прикрепите к своему сообщению. Выполнение скрипта может занять несколько минут. Если архив слишком большой, загрузите его на файлообменник, например на один из этих файлообменников [url]http://www.zippyshare.com/[/url] , [url]http://my-files.ru/[/url] , [url]http://www.ge.tt/[/url] и дайте на него ссылку в Вашей теме.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ [QUOTE]- Файл [COLOR="#FF0000"]quarantine.zip[/COLOR] из папки AVZ отправьте по адресу [email][email protected][/email][/QUOTE]
Этот архив загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
PS. логи туда грузить не надо.

Вообщем вчера пропал интернет.
Как узнал, провайдер забанил меня за трафик (видимо из-за вируса).

Пока не было интернета, еще раз просканировал "[U]Kaspersky Virus Removal Tool[/U]" и удалил все вирусы.
В итоге сегодня уже с интернетом, при проверке в [U]KVRT[/U] не обнаруживается ничего, процессов вирусных и папок с ними пока нет.

[URL="http://my-files.ru/3jlip7"]Ссылка[/URL] на Report.zip

Архив карантин у меня только вчерашнего образца, новый не появился
ну я вчерашний отправл

p.s. я чтото напутал с папками, и создал новую папку с AutoLogger, и там уже Report.zip получился не 30+мб а 2кб весом, но я отправил котоый первый был и весил 30мб

Всё написанное выше всё равно выполните.

Выполнил, обновил свой последний пост.

[b]Shok23[/b]
а этого файла у вас на диске не осталось?

[quote]
C:\Users\Pavel\Desktop\AutoLogger\CrashDumps\[B]HiJackThis.exe.22100.dmp[/B]
[/quote]

CrashDumps только такие:

GoogleUpdate.exe.6772.dmp
jhi_service.exe.10768.dmp
LMS.exe.10812.dmp

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

[quote="Shok23;1472163"]p.s. я чтото напутал с папками, и создал новую папку с AutoLogger[/quote]
что подразумевалось под напутали? В новой папке конечно не будет указанных файлов. Папку которая изначально была вы удалили?

Нет, папку я не удалял, и я проверил все папки которые есть на этот файл, там его нету.

Напутал так - я переместил ярлык с рабочего стола в папку самого Логера, и после выполнения одного из скриптов, он создал еще одну папку Логера, внутри этой папки (C:\Users\Pavel\Desktop\[B]AutoLogger\AutoLogger[/B])

Но потом я решил распаковать отдельно новый Логер в новую папку и ничего не перемещал оттуда (C:\Users\Pavel\Desktop\[B]AutoLogger[U]2[/U]\AutoLogger)[/B]
И во всех новых папках кроме самой первой файл [B]"Report.7z[/B]" получался весом 2кб всего, а в первой (оригинальной) 34мб.

Я уже прикреплял самый первый, вот другие.

Написанное в сообщении №14 выполните

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]42[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\pavel\appdata\local\temp\is-1965b9a\mvcrt110.dll - [B]Trojan.Win32.Raum.j[/B][*] c:\users\pavel\appdata\roaming\ceuju\qzza.exe - [B]Trojan.Win32.Raum.f[/B] ( BitDefender: Gen:Variant.Razy.34765 )[*] c:\users\pavel\appdata\roaming\ceuju\rsq\xg_2\xam.exe - [B]not-a-virus:RiskTool.Win32.Generic[/B][*] c:\users\pavel\appdata\roaming\ceuju\rsq\xg_2\xnv.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.hzon[/B][*] c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\aes-avx.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.cdr[/B][*] c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\aes-avx2.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.cao[/B][*] c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\aes-sse42.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.cdo[/B][*] c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\mon32.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.hzkc[/B] ( BitDefender: Gen:Trojan.Heur.RP.AHW@a0Rr8Jki )[*] c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\sse2.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.cdq[/B][*] c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\sse42.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.cdp[/B][*] c:\windows\mssecsvc.exe - [B]Trojan-Ransom.Win32.Wanna.m[/B] ( BitDefender: Gen:Variant.Adware.Barys.1890 )[*] c:\windows\temp\torrentsearch_restartonfail\installafterrebootservice0.exe - [B]not-a-virus:WebToolbar.Win32.Agent.bhv[/B][/LIST][/LIST]