Не удается установить и запустить MalwareBytes Anti-Malware из-за вирусов.

Printable View

08.12.2020, 14:30
mass1ve

Вложений: 3

Не удается установить и запустить MalwareBytes Anti-Malware из-за вирусов.

[I][B][SIZE=3]Здравствуйте![/SIZE][/B][/I] Попытался установить антивирус MalwareBytes Anti-Malware, но - во первых, при открытии и стандартной установке ничего не трогая и щёлкая "Далее" , пишет что недопустимый путь(устанавливал на C), изменил путь на диск G, вроде всё шло хорошо, потребовало перезагрузку, после нее последовало еще 2 перезагрузки, а после 3 - выдало ошибку "[COLOR=#333333]Возникла ошибка из-за которой невозможно установить Malwarebytes на Ваш компьютер."[/COLOR]
[COLOR=#333333]Через безопасный режим также пробовал устанавливать MBAM - не помогло, переименовывал инсталлятор - тоже не помогло.
Предполагаю что вирус припятствует установке антивируса, надеюсь на вашу помощь, заранее спасибо, [SIZE=3][I][B]логи прикрепляю[/B][/I]! [/SIZE][/COLOR]
08.12.2020, 14:31
Info_bot

Уважаемый(ая) [B]mass1ve[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
08.12.2020, 16:02
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]{Перед использованием скрипта убедиться, что в системе не установлены упомянутые в скрипте антивирусы. Автор скрипта: regist}
var
ProgramData, ProgramFiles, ProgramFiles86, fname, OSVer: string;
PD_folders, PF_folders, O_folders : TStringList;

procedure FillList;
begin
PD_folders := TStringList.Create;
PD_folders.Add('360TotalSecurity');
PD_folders.Add('360safe');
PD_folders.Add('AVAST Software');
PD_folders.Add('Avg');
PD_folders.Add('Avira');
PD_folders.Add('ESET');
PD_folders.Add('Indus');
PD_folders.Add('Kaspersky Lab Setup Files');
PD_folders.Add('Kaspersky Lab');
PD_folders.Add('MB3Install');
PD_folders.Add('Malwarebytes');
PD_folders.Add('McAfee');
PD_folders.Add('Norton');
PD_folders.Add('grizzly');
PD_folders.Add('RealtekHD');
PD_folders.Add('RunDLL');
PD_folders.Add('Setup');
PD_folders.Add('System32');
PD_folders.Add('Windows');
PD_folders.Add('WindowsTask');
PD_folders.Add('install');
PF_folders := TStringList.Create;
PF_folders.Add('360');
PF_folders.Add('AVAST Software');
PF_folders.Add('AVG');
PF_folders.Add('ByteFence');
PF_folders.Add('COMODO');
PF_folders.Add('Cezurity');
PF_folders.Add('Common Files\McAfee');
PF_folders.Add('ESET');
PF_folders.Add('Enigma Software Group');
PF_folders.Add('GRIZZLY Antivirus');
PF_folders.Add('Kaspersky Lab');
PF_folders.Add('Malwarebytes');
PF_folders.Add('Microsoft JDX');
PF_folders.Add('Panda Security');
PF_folders.Add('SpyHunter');
PF_folders.Add('RDP Wrapper');
O_folders := TStringList.Create;
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\AdwCleaner'));
O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\KVRT_Data'));
O_folders.Add(NormalDir('%windir%'+'\NetworkDistribution'));
O_folders.Add(NormalDir('%windir%'+'\speechstracing'));
O_folders.Add(NormalDir('%windir%'+'\Fonts\Mysql'));
end;

procedure Del_folders(path:string; AFL : TStringList);
var
i : integer;
begin
for i := 0 to AFL.Count - 1 do
begin
fname := NormalDir(path + AFL[i]);
if DirectoryExists(fname) then
begin
QuarantineFileF(fname, '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
DeleteFileMask(fname, '*', true);
DeleteDirectory(fname);
end;
end;
end;

procedure swprv;
begin
ExecuteFile('sc.exe', 'create "swprv" binpath= "%SystemRoot%\System32\svchost.exe -k swprv" type= own start= demand depend= RPCSS', 0, 15000, true);
RegKeyParamDel ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'wow64');
RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'Description', '@%SystemRoot%\System32\swprv.dll,-102');
RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'DisplayName', '@%SystemRoot%\System32\swprv.dll,-103');
RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'ServiceSidType', '1');
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%Systemroot%\System32\swprv.dll');
OSVer := RegKeyStrParamRead('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion','CurrentVersion');
if OSVer > '6.1' then RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDllUnloadOnStop', '1');;
ExecuteFile('sc.exe', 'privs "swprv" SeBackupPrivilege/SeChangeNotifyPrivilege/SeCreateGlobalPrivilege/SeCreatePermanentPrivilege/SeImpersonatePrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeIncreaseBasePriorityPrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeTcbPrivilege', 0, 15000, true);
ExecuteFile('net.exe', 'start "swprv"', 0, 15000, true);
end;

procedure AV_block_remove;
begin
clearlog;
FillList;
ProgramData := GetEnvironmentVariable('ProgramData');
ProgramFiles := NormalDir('%PF%');
ProgramFiles86 := NormalDir('%PF% (x86)');
Del_folders(ProgramData +'\', PD_folders);
Del_folders(ProgramFiles, PF_folders);
Del_folders(ProgramFiles86, PF_folders);
Del_folders('', O_folders);
if FileExists (ProgramData + 'RDPWinst.exe') then DeleteFile(ProgramData + 'RDPWinst.exe');
ExpRegKey('HKCU','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun','DisallowRun_backup.reg');
RegKeyDel('HKCU','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun');
RegKeyParamDel('HKCU','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer','DisallowRun');
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\services\TermService\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\termsrv.dll');
swprv;
ExecuteFile('net.exe', 'user john /delete', 0, 15000, true);
SaveLog(GetAVZDirectory +'AV_block_remove.log');
PD_folders.Free;
PF_folders.Free;
O_folders.Free;
ExecuteWizard('SCU', 2, 2, true);
ExecuteSysClean;
end;

begin
DeleteService('ZenMate5Service');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ZenMate','x32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ZenMate','x64');
AV_block_remove;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Файл [B]AV_block_remove.log[/B] из папки с AVZ прикрепите к сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
09.12.2020, 22:34
mass1ve

Вложений: 2

Почему-то не удалось запустить скрипт :(
09.12.2020, 23:15
Vvvyg

Скрипт проверен. Запускаете актуальную версию AVZ из папки Autologger\AV - как я писал?
25.12.2020, 12:16
mass1ve

Вложений: 1

Отчет!

Извиняюсь за столь долгий ответ, скрипт запустился, открывал просто не с того места, и так же файл после сканирования Farbar Recovery Scan Tool!
25.12.2020, 14:45
Vvvyg

Удалите Loaris Trojan Remover, он бесполезен.

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
S1 ESEADriver2; \??\C:\Users\user\AppData\Local\Temp\ESEADriver2.sys [X] <==== ATTENTION
2020-12-07 18:15 - 2020-12-08 13:10 - 000000000 __SHD C:\rdp
AlternateDataStreams: C:\ProgramData\Reprise:jhqduwvxlctbqqijsf`usjbm`pgyjhioihinfh [0]
HKLM\...\StartupApproved\Run: => "WinZip FAH"
HKLM\...\StartupApproved\Run: => "WinZip UN"
HKLM\...\StartupApproved\Run32: => "WinZip PreLoader"
FirewallRules: [{6AA09BFD-E0DD-4CD6-B48D-F0B09D60501D}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => No File
FirewallRules: [{84015E67-038F-459A-8A4D-187771C86A79}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => No File
FirewallRules: [{2FCB40F6-31DC-4786-92B3-44D377E32C7A}] => (Block) F:\zona\zona.exe => No File
FirewallRules: [{1C14904F-6699-40CE-85E0-25D6FD63FF95}] => (Block) F:\zona\zona.exe => No File
FirewallRules: [UDP Query User{021B8313-8B54-4159-8BD7-BEB76317F145}F:\zona\zona.exe] => (Allow) F:\zona\zona.exe => No File
FirewallRules: [TCP Query User{3C0E8D12-3B8E-428D-B18F-85AE923FCD7D}F:\zona\zona.exe] => (Allow) F:\zona\zona.exe => No File
FirewallRules: [{1593E0E5-3FB2-424E-8EB6-7A7ED0D22B39}] => (Allow) C:\Users\user\Desktop\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [{505586C4-CB76-4EE2-A9F8-59BFE2DAAAB3}] => (Allow) C:\Users\user\Desktop\bin\cef\cef.win7x64\steamwebhelper.exe => No File
FirewallRules: [TCP Query User{627344FE-F00D-488B-8DBA-CFFED58DDBAB}G:\warface\warface\bin32release\game.exe] => (Block) G:\warface\warface\bin32release\game.exe => No File
FirewallRules: [{54056E4B-F247-4360-8BE0-DF4D5E009937}] => (Allow) C:\Users\user\Desktop\Steam.exe => No File
FirewallRules: [{621491E6-7C4C-4EE3-996F-D2CD2C51125C}] => (Allow) C:\Users\user\Desktop\Steam.exe => No File
FirewallRules: [TCP Query User{565A3C74-997A-4F4B-A7FB-045F79739E14}C:\program files\java\jre1.8.0_211\bin\javaw.exe] => (Allow) C:\program files\java\jre1.8.0_211\bin\javaw.exe => No File
FirewallRules: [UDP Query User{02E5C6B4-D27B-4ED1-B765-4A183EFD12B5}C:\program files (x86)\java\jre1.8.0_211\bin\javaw.exe] => (Allow) C:\program files (x86)\java\jre1.8.0_211\bin\javaw.exe => No File
FirewallRules: [TCP Query User{FE9A8519-21B6-447A-B596-D55D440C84DE}C:\program files (x86)\java\jre1.8.0_211\bin\javaw.exe] => (Allow) C:\program files (x86)\java\jre1.8.0_211\bin\javaw.exe => No File
FirewallRules: [TCP Query User{0437D40A-541D-4C71-B508-6F7FC1A33780}C:\steamlibrary\steamapps\common\grand theft auto v\gta5.exe] => (Allow) C:\steamlibrary\steamapps\common\grand theft auto v\gta5.exe => No File
FirewallRules: [UDP Query User{2E96F7B5-E327-4238-B843-676626958B18}C:\steamlibrary\steamapps\common\grand theft auto v\gta5.exe] => (Allow) C:\steamlibrary\steamapps\common\grand theft auto v\gta5.exe => No File
FirewallRules: [{1B2FF74B-EBFF-459E-A17A-744FABAE4681}] => (Allow) C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe => No File
FirewallRules: [{7B714B78-CE7D-49BF-A444-4DE9B0C630F4}] => (Allow) C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe => No File
FirewallRules: [{4C866F43-17C6-4E03-804B-A2D628ED14D7}] => (Allow) C:\Program Files (x86)\Dll-Files.com Fixer\DLLFixer.exe => No File
FirewallRules: [TCP Query User{BDA47CD4-8773-49C7-8B4F-67EAEA913856}C:\games\outlast 2\binaries\win64\outlast2.exe] => (Allow) C:\games\outlast 2\binaries\win64\outlast2.exe => No File
FirewallRules: [UDP Query User{C0154CAF-5C6A-402C-B277-466755D7DD51}C:\games\outlast 2\binaries\win64\outlast2.exe] => (Allow) C:\games\outlast 2\binaries\win64\outlast2.exe => No File
FirewallRules: [TCP Query User{9CE61D03-72BA-48FF-8279-941FCEA10008}C:\program files (x86)\zona\zona.exe] => (Allow) C:\program files (x86)\zona\zona.exe => No File
FirewallRules: [UDP Query User{5CA22FA8-51AD-4DCA-BBA9-D1B917BC9229}C:\program files (x86)\zona\zona.exe] => (Allow) C:\program files (x86)\zona\zona.exe => No File
FirewallRules: [{5FEA4B0B-E8FC-4030-8D7F-6D3F947ED3CE}] => (Allow) C:\Users\user\AppData\Roaming\Zoom\bin\airhost.exe => No File
FirewallRules: [{16A2717D-C4C2-4F20-82DC-1E9E93FCDB82}] => (Allow) C:\ProgramData\Windows\rutserv.exe => No File
FirewallRules: [{F1FDC526-9F81-4B56-A751-39E8C5C23B14}] => (Block) LPort=445
FirewallRules: [{87311BD6-EFBB-4592-B678-72A4D2D9F51B}] => (Block) LPort=139
FirewallRules: [{408C7BDB-7C9D-4A2C-AAE9-61E9482ECB29}] => (Block) LPort=445
FirewallRules: [{BF4E959F-C431-4DA4-9D44-5E149837DE54}] => (Block) LPort=139
FirewallRules: [{533A60B4-5FC5-48F2-B6B4-51A884608845}] => (Allow) LPort=3389
FirewallRules: [{CB795091-7700-4F2F-9737-E8CAB0AE79F6}] => (Allow) LPort=3389
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.
25.12.2020, 15:19
mass1ve

Помогло, огромное спасибо, антивирус установился!
26.12.2020, 23:08
Vvvyg

[QUOTE=Vvvyg;1516993]Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.[/QUOTE]

Это ещё жду.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.