win32.sepeh.gen [Trojan-Spy.Win32.Agent.jrmc, Trojan-Downloader.Win32.Agent.xxymmv]

ПК с windows XP, не продлили ключ на антивирус, после активации антивируса Kaspersky он находит вирус в системной памяти и не может его удалить. Находит то win32.sepeh.gen, то win32.stantinko.gen

Уважаемый(ая) [B]alex_crazy[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

Удалите Baidu через установку программ в панели управления.

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=2a0464c13f9c7de7f4d3a66d8c529004&text={searchTerms}
O2 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O4 - MSConfig\startupreg: MBLauncher.exe [command] = (HKCU) (2018/11/24) (no file)
O4 - MSConfig\startupreg: VKduty [command] = (HKCU) (2018/11/27) (no file)
O4 - MSConfig\startupreg: YandexElements [command] = (HKCU) (2016/02/12) (no file)
O4 - MSConfig\startupreg: show-dlg.exe [command] = (HKCU) (2016/02/11) (no file)
O22 - Task (.job): (Ready) APSnotifierPP1.job - C:\Program Files\AnyProtectEx\AnyProtect.exe (file missing) --notifier2 B
O22 - Task (.job): (Ready) APSnotifierPP2.job - C:\Program Files\AnyProtectEx\AnyProtect.exe (file missing) --notifier 4
O22 - Task (.job): (Ready) APSnotifierPP3.job - C:\Program Files\AnyProtectEx\AnyProtect.exe (file missing) --notifier 6
O23 - Service S2: Служба Google Update (gupdate) - (gupdate) - (no file)
[/CODE]


AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
StopService('BDMRTP');
StopService('bd0004');
DeleteService('bd0004');
DeleteService('BDMRTP');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\bd0004.sys','');
QuarantineFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','');
QuarantineFile('C:\WINDOWS\System32\wsaudio.dll','');
QuarantineFile('C:\WINDOWS\System32\ihctrl32.dll','');
QuarantineFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnSvc.exe','');
DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnSvc.exe','32');
DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0004.sys','32');
DeleteFile('C:\WINDOWS\System32\ihctrl32.dll','32');
DeleteFile('C:\WINDOWS\System32\wsaudio.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wsaudio\Parameters','ServiceDll');
DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\WINDOWS\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\WINDOWS\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\WINDOWS\Tasks\APSnotifierPP3.job','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.

Все сделал, только adwcleaner не запускается. ругается на отсутствующую библиотеку dwmapi.dll

[QUOTE=alex_crazy;1492657]Все сделал, только adwcleaner не запускается. ругается на отсутствующую библиотеку dwmapi.dll[/QUOTE]

Вам скорее всего необходимо бы воспользоваться [URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/files/851/"]6 версией[/URL], так как у Вас Windows XP.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

[QUOTE=alex_crazy;1492657]Все сделал, только adwcleaner не запускается. ругается на отсутствующую библиотеку dwmapi.dll[/QUOTE]
adwcleaner-ом
очистил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

прикрепил файлы
[QUOTE=SQ;1492662]Вам скорее всего необходимо бы воспользоваться [URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/files/851/"]6 версией[/URL], так как у Вас Windows XP.

- Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"][B]Farbar Recovery Scan Tool[/B][/URL] [IMG]http://i.imgur.com/NAAC5Ba.png[/IMG] и сохраните на Рабочем столе.

[B]Примечание[/B]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[LIST][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [B]Yes[/B] для соглашения с предупреждением.[*]Убедитесь, что в окне [B]Optional Scan[/B] отмечены [I]"List BCD"[/I] и [I]"Driver MD5"[/I].
[IMG]http://i.imgur.com/B92LqRQ.png[/IMG][*]Нажмите кнопку [B]Scan[/B].[*]После окончания сканирования будет создан отчет ([B]FRST.txt[/B]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([B]Addition.txt[/B]). Пожалуйста, прикрепите его в следующем сообщении.[/LIST]
[/QUOTE]

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Toolbar: HKU\S-1-5-21-1292428093-115176313-839522115-1003 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
S2 d3dadapter; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ir16_32; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wlanmgr; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S4 KaraokeService; no ImagePath
R1 BDEnhanceBoost; C:\WINDOWS\System32\drivers\BDEnhanceBoost.sys [61256 2014-09-20] (Baidu)
R2 BDMNetMon; C:\WINDOWS\System32\DRIVERS\BDMNetMon.sys [95048 2014-06-19] (Baidu)
NETSVC: KBDMAI -> no filepath.
NETSVC: d3dadapter -> no filepath.
NETSVC: ir16_32 -> no filepath.
NETSVC: wlanmgr -> no filepath.
ContextMenuHandlers1: [ABDSWShellExt] -> {11292110-6F8D-4D56-863C-44902A1E7880} => -> No File
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:16CE60FB [234]
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Обратите внимание, что обнаружен каталог сигнализирующий о возможных проблемах с файловой системой.
[CODE]
2018-11-27 11:36 - 2014-02-24 16:59 - 000000000 ____D C:\found.000
[/CODE]

я же верно понимаю, что эти файлы
R1 BDEnhanceBoost; C:\WINDOWS\System32\drivers\BDEnhanceBoost.sys [61256 2014-09-20] (Baidu)
R2 BDMNetMon; C:\WINDOWS\System32\DRIVERS\BDMNetMon.sys [95048 2014-06-19] (Baidu)
можно удалить?
быстрая проверка касперским ничего не нашла, запущу полную и завтра отпишусь


[QUOTE=SQ;1492689]
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [B]fixlist.txt[/B] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Toolbar: HKU\S-1-5-21-1292428093-115176313-839522115-1003 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
S2 d3dadapter; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ir16_32; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wlanmgr; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\WINDOWS\System32\svchost.exe [14336 2008-04-15] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S4 KaraokeService; no ImagePath
R1 BDEnhanceBoost; C:\WINDOWS\System32\drivers\BDEnhanceBoost.sys [61256 2014-09-20] (Baidu)
R2 BDMNetMon; C:\WINDOWS\System32\DRIVERS\BDMNetMon.sys [95048 2014-06-19] (Baidu)
NETSVC: KBDMAI -> no filepath.
NETSVC: d3dadapter -> no filepath.
NETSVC: ir16_32 -> no filepath.
NETSVC: wlanmgr -> no filepath.
ContextMenuHandlers1: [ABDSWShellExt] -> {11292110-6F8D-4D56-863C-44902A1E7880} => -> No File
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:16CE60FB [234]
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [B]Fix[/B] и подождите.[*] Программа создаст лог-файл [B](Fixlog.txt)[/B]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [B]перезагружен[/B].[/LIST]

Обратите внимание, что обнаружен каталог сигнализирующий о возможных проблемах с файловой системой.
[CODE]
2018-11-27 11:36 - 2014-02-24 16:59 - 000000000 ____D C:\found.000
[/CODE][/QUOTE]

[QUOTE=alex_crazy;1492695]я же верно понимаю, что эти файлы
R1 BDEnhanceBoost; C:\WINDOWS\System32\drivers\BDEnhanceBoost.sys [61256 2014-09-20] (Baidu)
R2 BDMNetMon; C:\WINDOWS\System32\DRIVERS\BDMNetMon.sys [95048 2014-06-19] (Baidu)
можно удалить?
быстрая проверка касперским ничего не нашла, запущу полную и завтра отпишусь[/QUOTE]

да можете удалять, если не используете китайский антивирус 360, так как в некоторых случаях способствуют появлению рекламы.

Уточните пожалуйста, что с проблемой?

Все хорошо, вируса нет. Спасибо! Тему можно закрывать.
Пошел разбираться, что за инструкции вы мне присылали и почему это помогло;-)

Помогло, потому что было обнаружено новое вредоносное ПО, которое было удалено:
[CODE]C:\WINDOWS\System32\ihctrl32.dll
C:\WINDOWS\System32\wsaudio.dll[/CODE]

P.S. вредоносное ПО было отправлено в Вир. лаб. в ближайщее время это вредоносное ПО будет детектироваться антивирусами.

В завершение:
1.
[list][*]Пожалуйста, запустите adwcleaner.exe[*]В меню [B]Настройки[/B] -[B] Удалить AdwCleaner[/B] - выберите [B]Удалить[/B].[*]Подтвердите удаление, нажав кнопку: Да.[/list]

Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]12[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\windows\system32\ihctrl32.dll - [B]Trojan-Downloader.Win32.A=
gent.xxymmv[/B] ( BitDefender: Gen:Variant.Barys.7147, AVAST4: Win32:T=
rojanX-gen [Trj] )[*] c:\windows\system32\wsaudio.dll - [B]Trojan-Spy.Win32.Agent.jrm=
c[/B][/LIST][/LIST]
=D0=E5=EA=EE=EC=E5=ED=E4=E0=F6=E8=E8:
[LIST=3D1][*]=CE=E1=ED=E0=F0=F3=E6=E5=ED=FB =F2=F0=EE=FF=ED=F1=EA=E8=E5 =EF=F0=EE=
=E3=F0=E0=EC=EC=FB =EA=EB=E0=F1=F1=E0 Trojan-PSW/Trojan-Spy - =ED=E0=F1=
=F2=EE=FF=F2=E5=EB=FC=ED=EE =F0=E5=EA=EE=EC=E5=ED=E4=F3=E5=F2=F1=FF =EF=
=EE=EC=E5=ED=FF=F2=FC =E2=F1=E5 =EF=E0=F0=EE=EB=E8 ![/LIST]