Printable View
каждый раз при включении компьютера нод32 выдает сообщение "Объект угроза MSIL/Agent.APN найден в файле, к которому приложение Windows PowerShell пытается получить доступ. Файл очищен." Несколько раз сканировал компьтер нодом и Malwarebytes, ничего не находят, но при перезагрузке сообщение все равно выскакивает.
Уважаемый(ая) [B]олег2019[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ из папки Autologger
[code]begin
QuarantineFile('C:\Users\Public\.NET_FrameWork.js','');
QuarantineFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.NET_FrameWork.js','');
BC_ImportAll;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.
сделано
ну что, все так плохо?
Новый лог Autologger сделайте.
сделал
[COLOR="#FF0000"][URL="http://virusinfo.info/showthread.php?t=9279"]Загрузите систему в безопасном режиме[/URL].[/COLOR]
Запустите HijackThis, расположенный в папке Autologger (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B])и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O4 - HKCU\..\Run: [NET Framework] = C:\Users\Public\.NET_FrameWork.js
O4 - MSConfig\startupreg: NET Framework [command] = C:\Users\Public\.NET_FrameWork.js (HKCU) (2019/03/09)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Заполнить формы: (default) = C:/Program Files/Siber Systems/AI RoboForm (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Настроить Меню: (default) = C:/Program Files/Siber Systems/AI RoboForm (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Показать тулбар RF: (default) = C:/Program Files/Siber Systems/AI RoboForm (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Сохранить формы: (default) = C:/Program Files/Siber Systems/AI RoboForm (file missing)
O4 - MSConfig\startupfolder: C:^Users^Олег^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^BitCurrencyPro-qt.exe [backup] = C:\Windows\pss\BitCurrencyPro-qt.exe.Startup (2018/10/23)
O4 - MSConfig\startupreg: GoogleChromeAutoLaunch_67F92C84D74636F653C6EB55F0B952A6 [command] = C:\Program Files\BraveSoftware\Brave-Browser\Application\brave.exe --no-startup-window /prefetch:5 (HKCU) (2019/03/09)
O4 - MSConfig\startupreg: GoogleChromeAutoLaunch_769953F2F983FCC0B41B0A5A0E9ED7DD [command] = C:\Program Files\Google\Chrome\Application\chrome.exe --no-startup-window /prefetch:5 (HKCU) (2019/01/12)
O4 - MSConfig\startupreg: HarmonyUserStartup [command] = C:\Program Files\CSR\CSR Harmony Wireless Software Stack\HarmonyUserStartup.exe (HKLM) (2019/01/09) (file missing)
O4 - MSConfig\startupreg: KiesTrayAgent [command] = D:\Kies\KiesTrayAgent.exe (HKLM) (2015/09/27) (file missing)
O4 - MSConfig\startupreg: vksts [command] = C:\Program Files\CSR\CSR Harmony Wireless Software Stack\vksts.exe (HKLM) (2019/01/09) (file missing)[/code]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Public\.NET_FrameWork.js', '');
QuarantineFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.NET_FrameWork.js', '');
QuarantineFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\BitCurrencyPro-qt.exe', '');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.521\BaiduProtect.exe', '32');
DeleteFile('C:\Users\Public\.NET_FrameWork.js', '32');
DeleteFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.NET_FrameWork.js', '32');
DeleteFile('C:\Users\Олег\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\BitCurrencyPro-qt.exe', '32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys', '32');
DeleteService('bd0002');
DeleteService('BDSGRTP');
DeleteFileMask('c:\program files\common files\baidu', '*', true);
DeleteDirectory('c:\program files\common files\baidu');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NET Framework', '32');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^Олег^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^BitCurrencyPro-qt.exe', '32');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
УдалитеJava 8 Update 66, это устаревшая версия со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите [URL="http://www.java.com/ru/download/"]текущий билд Java 8[/URL].
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
все выполнил
[B]Опять в безопасном режиме выполните.[/B]
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
CloseProcesses:
R1 bd0001; C:\Windows\System32\DRIVERS\bd0001.sys [73032 2014-12-12] (Beijing baidu Netcom science and technology co.ltd -> Baidu)
R1 bd0004; C:\Windows\System32\DRIVERS\bd0004.sys [182088 2014-12-12] (Beijing baidu Netcom science and technology co.ltd -> Baidu)
R2 BDArKit; C:\Windows\System32\DRIVERS\BDArKit.sys [132936 2014-12-12] (Beijing baidu Netcom science and technology co.ltd -> Baidu Technology)
R1 BDMWrench; C:\Windows\System32\DRIVERS\BDMWrench.sys [209992 2014-12-12] (Beijing baidu Netcom science and technology co.ltd -> Baidu)
R2 BDSafeBrowser; C:\Windows\system32\drivers\BDSafeBrowser.sys [63304 2014-12-12] (Beijing baidu Netcom science and technology co.ltd -> Baidu)
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk -> C:\firefox.bat (No File)
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [125]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [129]
AlternateDataStreams: C:\ProgramData\TEMP:DBC416F8 [134]
MSCONFIG\Services: BDSGRTP => 2
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
сделал
Проблема решена?
да
огромное спасибо
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]2[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]13[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]