Printable View
[COLOR=#333333]Добрый день![/COLOR]
[COLOR=#333333]Пожалуйста помогите, не могу удалить вирус с терминального сервера (WS2008 R2 Enterprise x64). Происходит следующие, CPU нагружается до 100% и не дает работать, без моего участия закрывается диспетчер задач, не работает центр обновления windows (службу перезапускал ), в процесах обнаружил [/COLOR]webisida.broser.exe и Secure.Surf.Browser, после того как прогнал антивирусом смог их удалить, но потом они снова появились. Пожалуйста помогите.
Уважаемый(ая) [B]PorkiThePig[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Логи сделаны в терминальной сессии, сделайте их из консоли, т.е. непосредственно на самом компьютере.
[QUOTE=Sandor;1507107]Здравствуйте!
Логи сделаны в терминальной сессии, сделайте их из консоли, т.е. непосредственно на самом компьютере.[/QUOTE]
Сделал.
[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[CODE]begin
ClearQuarantineEx(true);
QuarantineFile('C:\Windows\assembly\up\2.bat', '');
ExecuteFile('schtasks.exe', '/delete /TN "Google Updates" /F', 0, 15000, true);
DeleteFile('C:\Windows\assembly\up\2.bat', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(9);
end.
[/CODE]
[color=#FF0000]Пожалуйста, перезагрузите компьютер вручную.[/color]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])
Только предварительно удалите сам Автологер, созданную им папку вместе с содержимым и скачайте не с зеркала, а с [url=http://virusinfo.info/soft/tool.php?tool=AutoLogger]основной ссылки[/url].
В логах безопасности меня пытаются ломать без перерыва. Отключаю службу обновления винды, она сама включается и в слева внизу в трэе, при наведение виден процесс установки каких то обновлений, когда открываю центр обновления он пишет что обновлений нет.
Лечение продолжаем?
[QUOTE=Sandor;1507135]Лечение продолжаем?[/QUOTE]
Конечно, обратите внимание я обновил прошлое сообщение.
[quote="Sandor;1507114"]Сделайте повторные логи по правилам. (CollectionLog)
Только предварительно удалите сам Автологер, созданную им папку вместе с содержимым и скачайте не с зеркала, а с основной ссылки.[/quote]
Ждём.
[QUOTE=Sandor;1507137]Ждём.[/QUOTE]
Я уже отвечал, думал сообщения теперь скрываются )
[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[CODE]begin
ClearQuarantineEx(true);
QuarantineFile('C:\Windows\Fonts\reg.exe', '');
DeleteSchedulerTask('{20F849C7-8F66-44C0-887F-A307F5B24656}');
DeleteFile('C:\Windows\Fonts\reg.exe', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
[/CODE]
[color=#FF0000]Пожалуйста, перезагрузите компьютер вручную.[/color]
Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])
[QUOTE=Sandor;1507139][URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[CODE]begin
ClearQuarantineEx(true);
QuarantineFile('C:\Windows\Fonts\reg.exe', '');
DeleteSchedulerTask('{20F849C7-8F66-44C0-887F-A307F5B24656}');
DeleteFile('C:\Windows\Fonts\reg.exe', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
[/CODE]
[color=#FF0000]Пожалуйста, перезагрузите компьютер вручную.[/color]
Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])[/QUOTE]
Ошибка в скрипте.
Ошибки нет, его следует выполнять в этой версии:
[QUOTE]C:\Users\Администратор\Downloads\AutoLogger-test\AutoLogger\AVZ\avz.exe[/QUOTE]
[QUOTE=Sandor;1507141]Ошибки нет, его следует выполнять в этой версии:[/QUOTE]
Сделал в вашей последовательности, avz удалил reg.exe , но после перезагрузки автологгер опять его нашел.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
+
Карантин после предыдущего скрипта еще раз отправьте, пожалуйста.
[QUOTE=Sandor;1507146]Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
+
Карантин после предыдущего скрипта еще раз отправьте, пожалуйста.[/QUOTE]
Готово
[quote="PorkiThePig;1507142"]avz удалил reg.exe , но после перезагрузки автологгер опять его нашел[/quote]
Посмотрите, файл реально существует?
[QUOTE=Sandor;1507151]Посмотрите, файл реально существует?[/QUOTE]
Не существует, физически я его не вижу, и прописав в адрес C:\Windows\Fonts\reg.exe тоже пишет что его нет.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
Task: {1FD1A24C-741E-47CD-A79A-9B06AFBC4FEA} - System32\Tasks\system => taskkill [Argument = /im taskmgr.exe /f] <==== ATTENTION
Task: {DDA59420-8D9F-4FD3-95D8-A6E8484ACA18} - System32\Tasks\systems => taskkill [Argument = /im prefmon.exe /f]
CHR HKLM-x32\...\Chrome\Extension: [djlkjhaeaofhlchjkhhohmgadibkoaad]
2019-12-08 12:24 - 2019-12-13 18:34 - 000003392 _____ C:\Windows\system32\Tasks\systems
2019-12-08 12:24 - 2019-12-13 18:34 - 000003392 _____ C:\Windows\system32\Tasks\system
2019-12-08 12:23 - 2019-06-29 03:31 - 000858624 _____ C:\Windows\system32\qw.exe
2019-12-08 12:20 - 2019-12-08 12:20 - 074148906 _____ C:\Windows\ss.exe
2019-12-08 12:19 - 2019-12-08 12:20 - 080712548 _____ C:\Windows\b1.exe
2019-12-08 12:19 - 2019-12-08 12:20 - 058814836 _____ C:\Windows\w.exe
2019-12-08 12:19 - 2019-12-08 12:19 - 004387608 _____ C:\Windows\wget.exe
2019-12-08 12:19 - 2019-12-08 12:19 - 004086900 _____ C:\Windows\rm.exe
2019-12-08 12:19 - 2019-12-08 12:19 - 000604808 _____ C:\Windows\fix.exe
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Fix[/B] один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер перезагрузите вручную.
[QUOTE=Sandor;1507153][List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
Task: {1FD1A24C-741E-47CD-A79A-9B06AFBC4FEA} - System32\Tasks\system => taskkill [Argument = /im taskmgr.exe /f] <==== ATTENTION
Task: {DDA59420-8D9F-4FD3-95D8-A6E8484ACA18} - System32\Tasks\systems => taskkill [Argument = /im prefmon.exe /f]
CHR HKLM-x32\...\Chrome\Extension: [djlkjhaeaofhlchjkhhohmgadibkoaad]
2019-12-08 12:24 - 2019-12-13 18:34 - 000003392 _____ C:\Windows\system32\Tasks\systems
2019-12-08 12:24 - 2019-12-13 18:34 - 000003392 _____ C:\Windows\system32\Tasks\system
2019-12-08 12:23 - 2019-06-29 03:31 - 000858624 _____ C:\Windows\system32\qw.exe
2019-12-08 12:20 - 2019-12-08 12:20 - 074148906 _____ C:\Windows\ss.exe
2019-12-08 12:19 - 2019-12-08 12:20 - 080712548 _____ C:\Windows\b1.exe
2019-12-08 12:19 - 2019-12-08 12:20 - 058814836 _____ C:\Windows\w.exe
2019-12-08 12:19 - 2019-12-08 12:19 - 004387608 _____ C:\Windows\wget.exe
2019-12-08 12:19 - 2019-12-08 12:19 - 004086900 _____ C:\Windows\rm.exe
2019-12-08 12:19 - 2019-12-08 12:19 - 000604808 _____ C:\Windows\fix.exe
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Fix[/B] один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер перезагрузите вручную.[/QUOTE]
Компьютер перезагрузился после выполнения команды Fix самостоятельно, мне его еще раз перезагрузить?