Printable View
Доброго времени суток уважаемые форумчане . Имеется cd карта с неудаляемым файлом SMART_IO.CRD , флешка не форматируется (пробовал разные программы) . Неужели выбрасывать cd карту ? Файл этот занесли с другого компьютера.
Было ли у кого то нечто подобное ? Вирус ли это вообще ?
Уважаемый(ая) [B]Xtarr[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
O2 - HKLM\..\BHO: (no name) - {D0498E0A-45B7-42AE-A9AA-ABA463DBD3BF} - (no file)
O4 - MSConfig\startupreg: mUEçv1yeiA.exe [command] = C:\Users\Admin\AppData\Roaming\{48b-cf-ea-544aa-95b14-afa0-58a73}\mUEçv1yeiA.exe -r1_5 -r2_1 (file missing) (HKCU) (2017/02/26)
O7 - Policy: [Untrusted Certificate] 02C2D931062D7B1DC2A5C7F5F0685064081FB221 - DSDTestProvider
O7 - Policy: [Untrusted Certificate] 08E4987249BC450748A4A78133CBF041A3510033 - www.live.fi
O7 - Policy: [Untrusted Certificate] 3EB44E5FFE6DC72DED703E99902722DB38FFD1CB - D-LINK CORPORATION
O7 - Policy: [Untrusted Certificate] 4822824ECE7ED1450C039AA077DC1F8AE3489BBF - NIC Certifying Authority
O7 - Policy: [Untrusted Certificate] 7311E77EC400109D6A5326D8F6696204FD59AA3B - Alpha Networks Inc.
O7 - Policy: [Untrusted Certificate] 8B2E65A5DA17FCCCBCDE7EF87B0C0ED5D0701F9F - *.xboxlive.com
O7 - Policy: [Untrusted Certificate] 915A478DB939925DA8D9AEA12D8BBA140D26599C - KEEBOX, INC
O7 - Policy: [Untrusted Certificate] 98A04E4163357790C4A79E6D713FF0AF51FE6927 - eDellRoot
O7 - Policy: [Untrusted Certificate] C6796490CDEEAAB31AED798752ECD003E6866CB2 - NIC CA 2011
O7 - Policy: [Untrusted Certificate] D2DBF71823B2B8E78F5958096150BFCB97CC388A - NIC CA 2014
O7 - Policy: [Untrusted Certificate] DB5042ED256FF426867B332887ECCE2D95E79614 - TRENDnet, Inc.
O7 - Policy: [Untrusted Certificate] E1F3591E769865C4E447ACC37EAFC9E2BFE4C576 - MCSHOLDING TEST
O7 - Policy: [Untrusted Certificate] Fix all items from the log
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - &Связанные заметки OneNote - (no file)
O9-32 - Tools menu item: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - &Связанные заметки OneNote - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers: SkyDrivePro1 (ErrorConflict) - - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers: SkyDrivePro2 (SyncInProgress) - - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers: SkyDrivePro3 (InSync) - - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers: 00avg - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
[/CODE]
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFileF('C:\Users\Admin\AppData\Roaming\{48b-cf-ea-544aa-95b14-afa0-58a73}', '*.exe,*.dll,*.sys', false,'', 0, 0);
BC_ImportQuarantineList;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.
[ATTACH=CONFIG]674422[/ATTACH] [ATTACH=CONFIG]674423[/ATTACH]
Пожалуста не прикрепляйте в дальнейшем карантин к сообщениям.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[ATTACH=CONFIG]674429[/ATTACH]
[ATTACH=CONFIG]674430[/ATTACH]
Сами прописывали ограничения в локальной политике?
[CODE]
GroupPolicy: Restriction - Windows Defender <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
2018-10-20 10:17 - 2018-10-21 14:31 - 000000744 __RSH C:\Users\Admin\ntuser.pol
2018-10-21 14:31 - 2015-10-15 18:15 - 000001526 __RSH C:\Users\Все пользователи\ntuser.pol
2018-10-21 14:31 - 2015-10-15 18:15 - 000001526 __RSH C:\ProgramData\ntuser.pol
[/CODE]
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Program Files (x86)\Stardock\Object Desktop\IconPackager\iprepair.dll
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [mchjnmdbdlkdbfliogedbnpnanfjnolk] - hxxps://chrome.google.com/webstore/detail/mchjnmdbdlkdbfliogedbnpnanfjnolk
CHR HKLM-x32\...\Chrome\Extension: [mchjnmdbdlkdbfliogedbnpnanfjnolk] - hxxps://chrome.google.com/webstore/detail/mchjnmdbdlkdbfliogedbnpnanfjnolk
File: C:\Windows\PAExec.exe
Virustotal: C:\Windows\PAExec.exe
File: C:\Windows\system32\wuaueng2.dll
S4 MBAMScheduler; "\mbamscheduler.exe" [X]
S4 gdrv; no ImagePath
U4 aksfridge; no ImagePath
U3 avgbdisk; no ImagePath
Folder: C:\ProgramData\Microsoft Toolkit
File: C:\psapi.dll
Zip: C:\psapi.dll;C:\Windows\AutoKMS\AutoKMS.exe;C:\Program Files\KMSnano\TriggerKMS.exe
ContextMenuHandlers1-x32: [CnvShell] -> {A118FEA0-1D1B-4165-BC37-88F95B250E7A} => -> No File
ContextMenuHandlers6: [CnvShell] -> {A118FEA0-1D1B-4165-BC37-88F95B250E7A} => -> No File
Task: {0E029C08-42D4-40A0-A737-A7261F2D10EA} - \vdi\shared\product updater\produpd -> No File <==== ATTENTION
Task: {326FE798-9CD0-4E03-9677-60E5FBD8C9AB} - \utorrent\utorrent -> No File <==== ATTENTION
File: C:\Windows\AutoKMS\AutoKMS.exe
Task: {79A89159-8CFB-49C5-BC5C-339601ED204C} - \event monitor\em -> No File <==== ATTENTION
Task: {A0DCBA5F-B73B-4F5D-8167-C8213240D868} - \vdi\shared\product updater\produpd-exe -> No File <==== ATTENTION
Task: {AF12F486-97CE-4FEF-8CB0-C93335475F45} - \hda\ravcpl64 -> No File <==== ATTENTION
Task: {BFEDFCE8-AFD2-4B01-8427-A10C0A6D4FD5} - \utorrent\updates\3-4 -> No File <==== ATTENTION
Task: {C00E36B7-871F-404A-AFE2-C5FF3EEFF914} - \Driver Booster SkipUAC (Admin) -> No File <==== ATTENTION
File: C:\Program Files\KMSnano\TriggerKMS.exe
Task: {D716E1F7-9E7E-45E4-A6CA-0AC20851D8E6} - \{48b-cf-ea-544aa-95b14-afa0-58a73}\muecv1yeia -> No File <==== ATTENTION
Task: {DE70E695-20E8-44EF-9365-83849DD4384C} - \utorrent\updates\3-4-9_43295\utorrentie -> No File <==== ATTENTION
Task: {F5425312-EC01-42E4-9C52-C8110A477D27} - \adobe\manager -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData:iSpring Solutions [128]
AlternateDataStreams: C:\Users\All Users:iSpring Solutions [128]
AlternateDataStreams: C:\Users\Все пользователи:iSpring Solutions [128]
AlternateDataStreams: C:\Users\Admin\Application Data:iSpring Solutions [128]
AlternateDataStreams: C:\Users\Admin\AppData\Roaming:iSpring Solutions [128]
AlternateDataStreams: C:\ProgramData\Application Data:iSpring Solutions [128]
AlternateDataStreams: C:\Users\Все пользователи\Application Data:iSpring Solutions [128]
HKLM\...\regfile\DefaultIcon: C:\Windows\regedit.exe,1 <==== ATTENTION
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
На рабочем столе образуется карантин вида [B]<date>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Ограничения прописывал сам по совету с какого то форума :blush:
zip карантин не входит в сообщение
[ATTACH=CONFIG]674436[/ATTACH]
активаторы для офиса там :blush:
и dllка какая то
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
вот без активаторв
Не прикрепляйте карантин к сообщения. Похоже это из-за приложения рутокен.
Сообщите, что с проблемой?
Доброго времени суток уважаемые форумчане. С проблемой все то же. Рутокен походу есть на том компьютере где сел этот .CRD . Я тоже установил , думал может удалится этот файл , но нет. Файл скрытый архивный и вроде как удаляется, но в корзине не появляется и упорно создается (а может и не удаляется), именно на этой флешке (на других нет) и снова скрытый архивный , и там еще файлы с видеорегистратора есть(12шт. в двух папках) , они тоже архивными помечены ,флаги снимал, пытался удалить , и тоже вроде удаляются , но вновь появляются(снова архивные) после попытки форматирования или извлечения флешки.
Служба CardSpace работает (пробовал остановить), а при попытке открыть этот файл монитор темнеет немного на секунду и все.Low level HDD Format доходит до 100% пишет ОК, а на флешке эти все файлы лежат :) Думаю, может ли быть, что на том компе (в одной организации) где сел этот .CRD получится восстановить работоспособность флешки ? Или уж выкинуть ее? Регистратор на нее не пишет теперь.
и за беспокойство прошу прощения
с ув.
Если ориентироваться на ваше описание, что скоре всего, что-то с флэшкой. Попробуйте обратиться на офф. форум производителя флэшки, скорее всего идет речь о системной или аппаратной ошибке. Вряд ли это связанно с вирусами.
Видимо нельзя вот давать свою флешку кому попало. Либо защиту на нее программно поставить от подобных файлов. Помню раньше какой то Autorun.inf был, вроде чтоб какие то вирусы не лезли. Попробую подобрать что нибудь подобное для других флешек.
Спасибо за участие ув. [FONT=Arial Black][COLOR="#FFA500"][COLOR="#FF8C00"][SIZE=4][COLOR="#cc6633"]SQ[/COLOR][/SIZE][/COLOR][/COLOR][/FONT] , еще раз извините за беспокойство.
Обращайтесь.
В завершение:
1.
[list][*]Пожалуйста, запустите adwcleaner.exe[*]В меню [B]Настройки[/B] -[B] Удалить AdwCleaner[/B] - выберите [B]Удалить[/B].[*]Подтвердите удаление, нажав кнопку: Да.[/list]
Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.
Остальные утилиты лечения и папки можно просто удалить.