Printable View
Уважаемые форумчане!
Помогите, пожалуйста, избавиться от вируса.
Проблема заключается в следующем: антивирус зафиксировал перенаправление на очень подозрительный сайт e1.emxdgt.com.
Сам антивирус этот сайт не особо блокирует, где-то на форумах прочитал что подобная активность связанна скорее всего с деятельностью кейлогера,
находящегося в системе. Сам я кейлоггер не устанавливал - не знаю откуда взялся. Не могу его обнаружить и удалить. Логи прилагаю.
Уважаемый(ая) [B]Alex245[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
[quote="Alex245;1519514"]антивирус зафиксировал перенаправление на очень подозрительный сайт[/quote]
Какой браузер в это время был активен?
[URL=http://virusinfo.info/showthread.php?t=4491]"Пофиксите" в HijackThis[/URL]:
[CODE]
O4 - MSConfig\startupreg: CTxfiHlp [command] = CTXFIHLP.EXE (HKLM) (2021/04/06) (file missing)
O21 - HKLM\..\ShellIconOverlayIdentifiers\00avg: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
[/CODE]
Затем:
[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Malwarebytes)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Запустить проверку"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Запускал барузер MS EDGE
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Результаты сканирования AdwCleaner
Дополнительно:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Логи программы FRST
Утилиты следует запускать правой кнопкой от имени администратора:
[QUOTE]Запущено с помощью Рабочая (ВНИМАНИЕ: Пользователь не является Администратором) на PC-277380ALEX[/QUOTE]
Удалите эти логи в корзину и соберите новые.
Логи FRST под администратором
[B]Примите к сведению[/B] - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
U3 avgbdisk; отсутствует ImagePath
S1 ZAM; \??\C:\Windows\System32\drivers\zam64.sys [X]
S1 ZAM_Guard; \??\C:\Windows\System32\drivers\zamguard64.sys [X]
2021-04-06 11:51 - 2021-04-06 13:28 - 000000000 ____D C:\Program Files (x86)\MalwareFox AntiMalware
2021-04-06 11:51 - 2021-04-06 12:25 - 000019543 _____ C:\Windows\ZAM_Guard.krnl.trace
2021-04-06 11:51 - 2021-04-06 12:13 - 000055458 _____ C:\Windows\ZAM.krnl.trace
2021-04-06 11:51 - 2021-04-06 11:51 - 000000000 ____D C:\Users\Рабочая\AppData\Local\Zemana
2021-04-06 11:51 - 2021-04-06 11:51 - 000000000 ____D C:\Users\Алексей\AppData\Local\Zemana
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"BVTConsumer\"",Filter="__EventFilter.Name=\"BVTFilter\"::
WMI:subscription\__FilterToConsumerBinding->NTEventLogEventConsumer.Name=\"_LogWMIConsumerEvent_\"",Filter="__EventFilter.Name=\"_PersistenceEvent_\"::
WMI:subscription\__FilterToConsumerBinding->NTEventLogEventConsumer.Name=\"_LogWMIProcessCreationEvent_\"",Filter="__EventFilter.Name=\"_ProcessCreationEvent_\"::
WMI:subscription\__EventFilter->_PersistenceEvent_::[Query => SELECT * FROM __InstanceCreationEvent WITHIN 5 Where TargetInstance ISA "__EventConsumer"]
WMI:subscription\__EventFilter->_ProcessCreationEvent_::[Query => SELECT * FROM MSFT_WmiProvider_ExecMethodAsyncEvent_Pre WHERE ObjectPath="Win32_Process" AND MethodName="Create"]
WMI:subscription\__EventFilter->BVTFilter::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99]
WMI:subscription\NTEventLogEventConsumer->_LogWMIProcessCreationEvent_::
WMI:subscription\NTEventLogEventConsumer->_LogWMIConsumerEvent_::
WMI:subscription\CommandLineEventConsumer->BVTConsumer::[CommandLineTemplate => cscript KernCap.vbs][WorkingDirectory => C:\\tools\\kernrate]
Toolbar: HKU\S-1-5-21-1630749863-2402276750-1178196111-1000 -> Нет имени - {C500C267-63BF-451F-8797-4D720C9A2ED9} - Нет файла
Toolbar: HKU\S-1-5-21-1630749863-2402276750-1178196111-1000 -> Нет имени - {EF293C5A-9F37-49FD-91C4-2B867063FC54} - Нет файла
Toolbar: HKU\S-1-5-21-1630749863-2402276750-1178196111-1001 -> Нет имени - {C500C267-63BF-451F-8797-4D720C9A2ED9} - Нет файла
Toolbar: HKU\S-1-5-21-1630749863-2402276750-1178196111-1001 -> Нет имени - {EF293C5A-9F37-49FD-91C4-2B867063FC54} - Нет файла
FirewallRules: [{20CE1F1C-8C91-4D28-91A8-674910EB755A}] => (Block) LPort=135
EmptyTemp:
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Исправить[/B] ([B]Fix[/B]) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.
Лог FRST fixlog.txt
Это перенаправление появляется постоянно или редко?
К сети подключаетесь через роутер? Если да, одно устройство?
Понаблюдайте и сообщите будет ли повторяться.
Перенаправление редко, к сети подключен через роутер. устройств несколько, но не windows