В папке C:\WINDOWS\Temp образуется папка типа ns****.tmp (например nsf131.tmp) в с файлами System.dll и Userinfo.dll, а также в папке C:\WINDOWS\Temp образуется файл с таким же именем ns****.tmp которые нельзя удалить. Эти файлы можно удалить сразу после перезагрузки системы, но через некоторое время они появляются вновь с новым именем.
Уважаемый(ая) [B]Andrey Golubev[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Компьютер и проблема те же, что и [URL="https://virusinfo.info/showthread.php?t=226077"]здесь[/URL]?
Сделайте лог [URL="https://yadi.sk/d/27DUVuKxM0I2TA"]этой версией Autologger[/URL].
Да, это одно и то же.
Прикладываю новый log
Проверьте файлы System.dll и Userinfo.dll на virustotal.com и дайте ссылки на результат.
psexesvc.exe из Sysinternals Utilites lkz удалённого управления сами устанавливали? Если нет - через HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите:[/url]:[code]O23 - Service S3: PSEXESVC - C:\WINDOWS\PSEXESVC.exe[/code]
Установите [URL="http://download.windowsupdate.com/d/csa/csa/secu/2017/02/windowsxp-kb4012598-x86-custom-rus_84397f9eeea668b975c0c2cf9aaf0e2312f50077.exe"]KB4012598[/URL] - похоже, дырка, используемая с 2017 года шифровальщиками WannaCry и Petya/NotPetya, а также многими майнерами и троянами не закрыта.
Через Virustotal они опознаются, как безопасные:
[url]https://www.virustotal.com/gui/file/cc820c9811624b13198efc18b03678f793393dac47d0f0147533c1262e4661a1/detection[/url]
[url]https://www.virustotal.com/gui/file/479ca1e0ebf706b250b8358566142cad0e7a163afd444557f0297ef045a2c2d7/detection[/url]
Sysinternals Utilites lkz - специально не устанавливал. Пофиксил.
Патч KB4012598 по ссылке не устанавливается - т.к. язык ОС у меня English, а он под русскую версию. Скачал English из catalog.update.microsoft.com - установился успешно.
Пока не могу сказать есть эффект или нет. Эти файлы после перезагрузки ОС и удаления могут появится как через пару минут, так и через пару часов после загрузки ОС. Буду наблюдать.
Спасибо, за помощь.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Снова в C:\WINDOWS\Temp появился файл nst3A5.tmp и папка с таким же именем, в которой снова лежат System.dll и Userinfo.dll
Похоже на работу инсталлятора какого-то.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL], как снова появится, [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Снова появились nsb335.tmp...
Сделал образ автозапуска:
Файл не могу загрузить на форум - ругается "превысил предел на форуме". Размер файла 332 кВ.
[url=http://virusinfo.info/showthread.php?t=130567]Удалите вложения[/url], относящиеся к самым старым темам. Или загрузите в облако и сюда ссылку.
Готово
Ничего подозрительного. Кажется, такие папки создаёт NSIS инсталлер.
Спасибо.
Можно попробовать отловить, кто создаёт эти файлы, с помощью Procmon из [URL="https://docs.microsoft.com/ru-ru/sysinternals/downloads/sysinternals-suite"]Sysinternals Suite[/URL].
Загрузите [URL="https://docs.microsoft.com/ru-ru/sysinternals/downloads/sysinternals-suite"][B]Sysinternals Suite[/B][/URL], распакуйте и запустите Procmon.exe. Меню [B]Filter[/B] -> [B]Filter...[/B], в строке [B]Display entries matching these conditions:[/B] [B]Path contains[/B] впечатываете [B]\Userinfo.dll[/B] then Include, далее Add, Apply и OK.
Когда в окне появятся записи, упоминающие этот файл, меню File -> Save..., выбираете Comma-Separated Values (CSV) и сохраняете.