[COLOR=#333333]Здравствуйте! Помогите вылечить сервер!
Троян отключил антивирусы, блокирует запуск adwcleaner и других утилит.
Сделал лог автозагрузки с помощью [/COLOR][B][URL="http://dsrt.dyndns.org/uvsfiles.htm"]Universal Virus Sniffer[/URL] (UVS)[/B]
Уважаемый(ая) [B]neo2021[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
[quote="neo2021;1518038"]Сделал лог автозагрузки с помощью Universal Virus Sniffer (UVS)[/quote]
Почему не Автологером по [url=https://virusinfo.info/pravila.html]правилам[/url]?
запуск автологера блокируется трояном - ошибка при распаковке (отказано в доступе)
Качаете его по [url=http://virusinfo.info/soft/tool.php?tool=AutoLogger]первой ссылке[/url], не с зеркала?
качаю по первой ссылке и скачиваю без проблем. при попытке запуска блокирует создание файла
rootkit.avz[ATTACH=CONFIG]684294[/ATTACH]
По ссылке, которую я дал, должен скачаться архив с именем Autologger-test.zip
По-моему, у вас Autologger.zip, верно?
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.11.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
icsuspend
zoo %SystemRoot%\BITLOCKER.EXE
delall %SystemRoot%\BITLOCKER.EXE
zoo %SystemRoot%\SYSWOW64\RADIANCE\ALPHA\SERVICE.EXE
delall %SystemRoot%\SYSWOW64\RADIANCE\ALPHA\SERVICE.EXE
zoo %SystemRoot%\SYSWOW64\RADIANCE\ALPHA\MSVCR100.DLL
delall %SystemRoot%\SYSWOW64\RADIANCE\ALPHA\MSVCR100.DLL
zoo %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
delall %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
deldir %SystemRoot%\SYSWOW64\RADIANCE
czoo
apply
deltmp[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Перезагрузите сервер вручную.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
извиняюсь. был невнимателен. сделал логи
[B]neo2021[/B]
Давайте уж сразу через UVS лечить, больше надежды на успех, там серьёзная самозащита у зловреда.
Скрипт дополнен, выполняйте.
скрипт выполнил. файл в карантин отправил. логи заархивировал и прикрепил.
Сделайте новый полный образ автозапуска, только пробуйте запустить UVS под LocalSystem, а не под текущим пользователем. Загрузите в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку.
сделал под LocalSystem
ссылка
[url]https://fex.net/uk/s/tcrxrtl[/url]
Выполняйте скрипт от имени системы:[CODE];uVS v4.11.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
icsuspend
zoo %SystemRoot%\SYSWOW64\RADIANCE\OMEGA\SERVICE.EXE
delall %SystemRoot%\SYSWOW64\RADIANCE\OMEGA\SERVICE.EXE
zoo %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
delall %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
delref OMEGA\SERVICE.EXE
deldir %SystemRoot%\SYSWOW64\RADIANCE
apply
czoo[/CODE]И сразу перезагрузка.
ZOO_ если не пустой, загрузите по ссылке "Прислать запрошенный карантин".
Лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите.
Сделайте проверку и лечение с помощью [URL="https://www.kaspersky.ru/downloads/thank-you/free-virus-removal-tool"]KVRT[/URL]. Прикрепите упакованные в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT_Data.
каратин загрузил. лог выполнения скрипта в папке отсутствует ...
загрузку kvrt блокирует. если записать файл с другим названием, то при запуске все равно ошибка
Если и из безопасного режима не запустится - пробуйте тогда с лечащего диска - [URL="https://support.kaspersky.ru/viruses/krd2018"]Kaspersky Rescue Disk 18[/URL], только сделайте его на заведомо чистом компьютере.
Трудновыводимая гадость :O
Потом такой лог сделайте.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]2[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]7[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] \bitlocker.exe._2894c738e1d81bfb1ed5dd7a7029cc63c193a51f - [B]UDS=
:DangerousObject.Multi.Generic[/B] ( AVAST4: Win64:Malware-gen )[/LIST][/LIST]