Самовосстанавливающийся вирус на флешке (5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe) [not-a-virus:UDS:AdWare.Win32.DealPly, HEUR:Trojan.Win32.Khalesi.gen]

Printable View

22.10.2019, 22:58
Dmitriy02

Вложений: 1

Самовосстанавливающийся вирус на флешке (5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe) [not-a-virus:UDS:AdWare.Win32.DealPly, HEUR:Trojan.Win32.Khalesi.gen]

Столкнулся с таким вирусом. Все файлы превращает в ярлыки.

[COLOR=#333333]Логи приложены.[/COLOR]

[COLOR=#333333]Заранее спасибо за помощь![/COLOR]
22.10.2019, 23:00
Info_bot

Уважаемый(ая) [B]Dmitriy02[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
23.10.2019, 07:03
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\PROGRA~3\AF2124~1\{0D009~1.', '');
QuarantineFile('C:\Users\Димас\AppData\Local\Pbrowserupd\Pbrowserupd.exe', '');
QuarantineFile('c:\users\Димас\appdata\roaming\{A6289B6A-C9B9-45C8-B82A-06721FB857BF}\0b974bf5.exe', '');
DeleteFile('C:\PROGRA~3\AF2124~1\{0D009~1.', '');
DeleteFile('C:\Users\Димас\AppData\Local\Pbrowserupd\Pbrowserupd.exe', '');
DeleteFile('c:\users\Димас\appdata\roaming\{A6289B6A-C9B9-45C8-B82A-06721FB857BF}\0b974bf5.exe', '');
ExecuteFile('schtasks.exe', '/delete /TN "{3A38B35A-E189-D9D8-B82A-06721FB857BF}" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "AF224B40-85A6-9D0B-4013-C7153753F5C4" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Pbrowserupd" /F', 0, 15000, true);
DeleteFileMask('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}', '*', true);
DeleteDirectory('c:\users\димас\appdata\local\pbrowserupd');
DeleteDirectory('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Chromium');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'GoogleChromeAutoLaunch_A7D74E27BF70863B5762BCF62FE2DB55');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Opera Browser Assistant');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(tfalse);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Удалите программы NativeDesktopMediaService и RelevantKnowledge, это adware.
Браузер FreeU - это устаревшая версия Chromium с рекламой и незакрытыми уязвимостями, в Chrome нужный функционал добавляется расширениями.
TACHYON Internet Security - очень сомнительный антивирус.

Сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].
23.10.2019, 20:43
Dmitriy02

Вложений: 2

Самовосстанавливающийся вирус на флешке (5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe)

Прилагаю лог ADWCleaner.

Залил "запрошеный карантин", скриншот прилагаю.

Удалил NativeDesktopMediaService, RelevantKnowledge, FreeU, TACHYON Internet Security.

Посоветуйте пожалуйста антивирус бесплатный.

Спасибо за помощь!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Ссылка на "лог такой версией Autologger'' не открылась в браузере(
23.10.2019, 20:57
thyrex

[quote="Dmitriy02;1505592"]Ссылка на "лог такой версией Autologger'' не открылась в браузере([/quote]Все прекрасно открывается. Скачайте, распакуйте и запустите.
23.10.2019, 21:10
Vvvyg

[url="https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C00].txt, прикрепите к своему следующему сообщению.

По ссылке из правил ("[URL="http://virusinfo.info/soft/tool.php?tool=AutoLogger"]Нажмите сюда[/URL]") скачайте Autologger и сделайте новый лог.

Kaspersky Free могу порекомендовать в качестве антивируса.
23.10.2019, 22:05
Dmitriy02

Вложений: 1

Самовосстанавливающийся вирус на флешке (5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe)

Лог с ADW. Ссылка на диск не работает, ищу причину.
24.10.2019, 06:29
Vvvyg

Я вам ещё ссылку дал, внимательнее.
24.10.2019, 18:49
Dmitriy02

Вложений: 1

Самовосстанавливающийся вирус на флешке

Приложил лог нужной версии.
24.10.2019, 20:23
Vvvyg

Выполните в AVZ скрипт:[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('c:\users\Димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}\0b974bf5.exe', '');
QuarantineFile('C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.exe', '');
QuarantineFile('C:\PROGRA~2\COMMON~1\COLESO~1\Perun.exe','');
QuarantineFileF('c:\users\димас\appdata\roaming\bvvhbvuj', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
DeleteFile('c:\users\Димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}\0b974bf5.exe', '64');
DeleteFile('C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.exe', '32');
DeleteFile('C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.exe', '64');
DeleteFileMask('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}', '*', true);
DeleteFileMask('c:\users\димас\appdata\roaming\bvvhbvuj', '*', true);
DeleteDirectory('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}');
DeleteDirectory('c:\users\димас\appdata\roaming\bvvhbvuj');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'xrtxt', '32');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'xrtxt', '64');
DeleteSchedulerTask('{3A38B35A-E189-D9D8-B82A-06721FB857BF}');
DeleteSchedulerTask('{67C1C8A0-5004-4EF6-A9E3-330C59BD1053}');
DeleteSchedulerTask('{6ED5E1BC-CFFC-4234-A19F-7D18981B0DF9}');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B])и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O4 - HKCU\..\Run: [freeu] = C:\Users\Димас\AppData\Local\FreeU\Application\freeu.exe --no-startup-window (file missing)[/code]
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
25.10.2019, 07:44
Dmitriy02

Вложений: 3

Все прикрепил, карантин залил.
25.10.2019, 19:37
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-380488577-2729281609-2639886893-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-380488577-2729281609-2639886893-1000\...\Run: [tsrtx] => C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.ex
Task: {843C187D-9D7A-4D9F-9876-E91CFC5491A1} - System32\Tasks\Opera scheduled Autoupdate 1548591853 => C:\Users\Димас\AppData\Local\Programs\Opera\launcher.exe
Task: {F3B7B0BD-1712-4FC9-BCB1-2E3A28C7DF6D} - System32\Tasks\{3A38B35A-E189-D9D8-B82A-06721FB857BF} => c:\users\Димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}\0b974bf5.exe [319488 2019-10-24] (The reader is the leader) [File not signed] <==== ATTENTION
Task: {C4057129-8AA9-4080-93F1-EC2027C64875} - System32\Tasks\Perun\{39A73A92-8E1F-3CFD-20C6-4B5E9D3066DC} => C:\Program Files (x86)\Common Files\Colesoped\Perun.exe [496128 2013-05-03] () [File not signed]
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
CHR StartupUrls: Default -> "hxxp://interget.net/","hxxp://mail.ru/cnt/10445?gp=mp4","hxxp://mypoisk.su/","hxxps://www.google.com/"
CHR Profile: C:\Users\Димас\AppData\Local\Google\Chrome\User Data\System Profile [2019-07-31]
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
S1 vdmzotu5; C:\Windows\SysWOW64\Drivers\vdmzotu5.sys [13312 2019-10-22] () [File not signed]
2019-10-24 20:43 - 2019-10-24 20:43 - 000000000 ____D C:\Users\Димас\AppData\Roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}
2019-10-22 22:25 - 2019-10-22 22:25 - 000000022 _____ C:\Users\Димас\Desktop\quarantine.zip
2019-10-24 23:10 - 2019-01-20 16:34 - 000000000 ____D C:\Users\Димас\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения FreeU
2019-10-23 18:45 - 2019-10-24 20:43 - 000000000 ____D C:\Users\Димас\AppData\Roaming\bvvhbvuj
2019-10-23 18:30 - 2019-10-23 18:30 - 000000000 _____ C:\TKSPProtectLog.txt
C:\Program Files (x86)\Common Files\Colesoped
F:\{b68466a2-a4d7-164e-10b1-d650222fe5c4}\5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe
S3 TKCtrl; C:\Windows\system32\TKCtrl2k64.sys [147240 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKFsAvM; C:\Windows\system32\TKFsAv64.sys [198808 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKFsFtM; C:\Windows\system32\TKFsFt64.sys [28824 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKPcFt; C:\Windows\system32\TKPcFtCb64.sys [54504 2018-01-30] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKRgAc; C:\Windows\system32\TKRgAc2k64.sys [115760 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKRgFt; C:\Windows\system32\TKRgFtXp64.sys [68848 2018-02-04] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKSP; C:\Windows\system32\TKSPxp64.sys [80824 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKFsAvM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKFsFtM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKPcFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKRgAc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKRgFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKFsAvM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKFsFtM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKPcFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKRgAc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKRgFt => ""="Service"
C:\Windows\system32\TKCtrl2k64.sys
C:\Windows\system32\TKFsAv64.sys
C:\Windows\system32\TKFsFt64.sys
C:\Windows\system32\TKPcFtCb64.sys
C:\Windows\system32\TKRgAc2k64.sys
C:\Windows\system32\TKRgFtXp64.sys
C:\Windows\system32\TKSPxp64.sys
Folder: C:\Windows\progress
Reboot:
End::[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
[B]Загрузите систему в безопасном режиме.[/B]
Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
25.10.2019, 22:58
Dmitriy02

Вложений: 1

Сделал.
26.10.2019, 05:45
Vvvyg

Что с проблемой? Вы с флэшки не заражаетесь повторно? Их все либо пролечивать нужно, либо просто отформатировать.

Сделайте лог [url=https://virusinfo.info/showthread.php?t=218706&p=1480220&viewfull=1#post1480220]сканирования Мalwarebytes.[/url]
26.10.2019, 17:36
Dmitriy02

Вложений: 1

Флешка постоянно подключена к компьютеру. Её нужно отключить?

Флешку форматировал, проблемы нет!
26.10.2019, 22:45
Vvvyg

Удалите в Мalwarebytes (направьте в карантин) всё, [B]кроме[/B]:[code]HackTool.Agent, C:\USERS\DEFAULT\Desktop\Активатор Windows.lnk, Проигнорировано пользователем, [3928], [563681],1.0.13079
HackTool.Agent, C:\USERS\Димас\Desktop\Активатор Windows.lnk, Проигнорировано пользователем, [3928], [563681],1.0.13079
HackTool.Agent, C:\Активатор\WINDOWS LOADER.EXE, Проигнорировано пользователем, [3928], [563681],1.0.13079[/code]
Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

Деинсталлируйте Мalwarebytes.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

И всё на этом.
26.10.2019, 22:55
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]2[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]6[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\progra~2\common~1\coleso~1\perun.exe - [B]not-a-virus:UDS:A=
dWare.Win32.DealPly[/B] ( AVAST4: Win32:DealPly-AJ [Adw] )[*] c:\users\=E4=E8=EC=E0=F1\appdata\local\pbrowserupd\pbrowseru=
pd.exe - [B]not-a-virus:AdWare.Win32.Webalt.hux[/B] ( AVAST4: Win32:Ma=
lware-gen )[*] c:\users\=E4=E8=EC=E0=F1\appdata\roaming\{a6289b6a-c9b9-45c8-=
b82a-06721fb857bf}\0b974bf5.exe - [B]Trojan.Win32.Agentb.isqc[/B][*] c:\users\=E4=E8=EC=E0=F1\appdata\roaming\bvvhbvuj\vhsvutvj.e=
xe - [B]HEUR:Trojan.Win32.Khalesi.gen[/B] ( BitDefender: Gen:Trojan.He=
ur.RP.kqW@ai4xO1dO, AVAST4: Win32:Malware-gen )[/LIST][/LIST]