Подскажите как удалить hiver? [not-a-virus:RiskTool.Win32.Agent.aouh, not-a-virus:RiskTool.Win32.Agent.amrp ]

Printable View

18.03.2018, 10:10
igor_chaus

Вложений: 3

Подскажите как удалить hiver? [not-a-virus:RiskTool.Win32.Agent.aouh, not-a-virus:RiskTool.Win32.Agent.amrp ]

Здравствуйте.
Стал замечать, что на сервере после загрузки происходит самопроизвольный запуск окна командной строки и в трее около часов появляется сообщение "Api server created at port 20000". Если навести мышку в трее в это место и нажать правую кнопку мыши, то открывается контекстное меню "Open hiver". Из интернета узнал что скорее всего это Waspace hiver. В диспетчере задач присутствует процесс wahiver. Если его удалить, то приложение в трее закрывается, но через небольшое время самопроизвольно запускается снова. Подскажите, пожалуйста как избавиться от этой заразы. Предполагаю, что подхватил ее когда экспериментировал с драйверами принтера hp.[ATTACH=CONFIG]670039[/ATTACH][ATTACH=CONFIG]670040[/ATTACH]
18.03.2018, 10:13
Info_bot

Уважаемый(ая) [B]igor_chaus[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.03.2018, 14:24
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
TerminateProcessByName('c:\windows\inf\sdbserv\000d\1049\5.0\sql\lsm.exe');
StopService('wtsfsdrv');
StopService('wtsfxpoll');
QuarantineFile('c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\wahiver.exe', '');
QuarantineFile('c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\wasp.exe', '');
QuarantineFile('c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\waspwing.exe', '');
QuarantineFile('C:\Windows\Inf\sdbserv\000D\1049\5.0\1049\5.0\mms.exe', '');
QuarantineFile('c:\windows\inf\sdbserv\000d\1049\5.0\sql\lsm.exe', '');
DeleteFile('c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\wahiver.exe', '32');
DeleteFile('c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\wasp.exe', '32');
DeleteFile('c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\waspwing.exe', '32');
DeleteFile('C:\Windows\Inf\sdbserv\000D\1049\5.0\1049\5.0\mms.exe', '32');
DeleteFile('c:\windows\inf\sdbserv\000d\1049\5.0\sql\lsm.exe', '32');
DeleteService('wtsfsdrv');
DeleteService('wtsfxpoll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
end.[/code][color=#FF0000]Перезагрузите сервер вручную.[/color]

Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
18.03.2018, 18:44
igor_chaus

Вложений: 2

Прикрепил только 1 файл. Файл карантина занимает 6,75 МБ. Пишет большой размер прикреплять не хочет. Что делать дальше?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

При загрузке WINDOWS выдает сообщение, что сбой при загрузке драйвера или службы. Пробую посмотреть журнал выдает такое сообщение[ATTACH=CONFIG]670057[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Чувствую, что придется переставлять SERVER
18.03.2018, 19:57
Vvvyg

Не так всё страшно, при подсаживании этого майнера портится консоль просмотра журналов системы. Этот файл eventwvr.msc только заменить - и всё.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v400c
delref %SystemRoot%\INF\SDBSERV\000D\1049\5.0\SQL\LSM.EXE
delref %SystemRoot%\INF\SDBSERV\000D\1049\5.0\1049\5.0\MMS.EXE
delref RES://%SYSTEMROOT%\SYSTEM32\MYS.DLL/MYS.HTA
sfc c:\Windows\System32\eventvwr.msc
deltmp
apply[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt, приложите его в тему.
19.03.2018, 11:22
igor_chaus

Вложений: 2

Здравствуйте.
Все сделал. Подскажите, пожалуйста, где мне взять файл eventwvr.msc и как его заменить. И что посоветуете по поводу критических уязвимостей.
19.03.2018, 15:03
Vvvyg

Запустите FAR через правую кнопку мыши [B]Запуск от имени администратора[/B]. Найдите через поиск файл EVENTVWR.MSC в подпапках C:\Windows и скопируйте в C:\WINDOWS\SYSTEM32, если не найдёте - извлеките из дистрибутива, как - погуглите. Это быстрее, чем переустанавливать.

По уязвимостям:[QUOTE]MS17-010: Обновления безопасности для Windows SMB Server
[url]http://www.catalog.update.microsoft.com/search.aspx?q=KB4012598[/url]

Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=1e2738b9-d3c2-4dfe-8a79-335d5feee55b[/url]

Установите Adobe Reader XI (11.0) или удалите старый.
[url]http://get.adobe.com/reader/otherversions[/url][/QUOTE]S17-010 устанавливать обязательно, проблемы у вас именно из-за его отсутствия.
19.03.2018, 17:03
igor_chaus

Выполнил поиск при помощи FAR и оказалось, что у меня в папке C:\WINDOWS\SYSTEM32 файл с именем EVENTVWR.MSC присутствует. Что делать?
19.03.2018, 21:29
Vvvyg

Вложений: 1

[QUOTE=igor_chaus;1477756]Прикрепил только 1 файл. Файл карантина занимает 6,75 МБ. Пишет большой размер прикреплять не хочет.[/QUOTE]
Перечитайте, куда нужно было загрузить карантин, и сделайте это.

Это тот самый повреждённый eventvwr.msc и есть. Замените на тот, что во вложении.
[ATTACH=CONFIG]670085[/ATTACH]
20.03.2018, 10:26
igor_chaus

[QUOTE=Vvvyg;1477828]Перечитайте, куда нужно было загрузить карантин, и сделайте это.

[/QUOTE]

Отправил файл карантина
20.03.2018, 21:10
Vvvyg

EVENTVWR.MSC работает?
21.03.2018, 08:09
igor_chaus

Здравствуйте. Я попытался его скопировать вместо того который у меня сейчас в папке windows32. Но windows переписывать отказывается: говорит нет доступа. Хочу загрузить server с какого-нибудь загрузочного диска и переписать. Диска такого у меня нет. Планирую в ближайшее время найти в интернете. Если есть возможность сделать это как то проще, сообщите пожалуйста
21.03.2018, 08:41
Vvvyg

Проверьте права безопасности на этот файл, дайте себе полные. Надеюсь, под пользователем с админскими правами пробуете?
Если не поможет - выполните в UVS такой скрипт:[CODE]del c:\Windows\System32\eventvwr.msc[/CODE]Файл удалится, пробуйте скопировать на его место правильный.
21.03.2018, 11:12
igor_chaus

Вложений: 2

Большое спасибо. Все получилось. Не могли бы Вы подсказать ответы на следующие вопросы:
1.Как эта дрянь попала на сервер. Я грешу на драйвер принтера HP. Я его скачал из непроверенного источника.
2.В логах появился какая то ошибка DCOM связанная с журналом событий. Что это и как ее можно исправить
3.В логах приложение написано, что запущен сервис HP LaserJet. Я удалил этот принтер со всеми драйверами. Почему эта служба продолжает работать. Как ее убрать.
4.Как вы считаете по логам все в системе нормально?[ATTACH=CONFIG]670114[/ATTACH][ATTACH=CONFIG]670115[/ATTACH]
21.03.2018, 21:36
Vvvyg

1. Драйвера нужно скачивать только с офсайтов, это даже не обсуждается. Этот "пакет программ" чаще подсаживают после взлома, через уязвимости, или по RDP.

2. Это уже вопрос для сисадминов, нагуглить рецепты решения можно.

3. Остановите и отключите службу. Файл, кстати, легитимный, от HP.
21.03.2018, 21:46
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\wahiver.exe - [B]not-a-virus:RiskTool.Win32.Agent.aouh[/B][*] c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\wasp.exe - [B]not-a-virus:RiskTool.Win32.Agent.amrp[/B][*] c:\windows\inf\sdbserv\0009\v3.5.56385\1049\5.0\waspwing.exe - [B]not-a-virus:RiskTool.Win32.Agent.amrm[/B][/LIST][/LIST]