Помогите добить майнер :) [Trojan-Banker.Win32.Banbra.wojq, Trojan.BAT.Agent.bbf]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
Zip:c:\windows\web\c3.bat
Folder: c:\windows\web
c:\windows\web\c3.bat
c:\windows\web\n.VBS
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![/LIST]


На рабочем столе образуется карантин вида [B]<date>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Готово.

Карантин не загрузился:
"Результат загрузки
Ошибка загрузки. Данный файл уже был загружен"

Изменить имя архива на минуту позже?

карантин пустой, пробуйте загрузиться в нормальный режим. Также пройдитесь утилитой [URL="https://www.kaspersky.com/downloads/thank-you/free-virus-removal-tool"]KVRT[/URL], только после того как установите обновления.
[CODE]"c:\windows\web\c3.bat" => not found[/CODE]

Сообщите по окончанию, что с проблемой?

Спасибо большое заранее, за Ваше потраченное время. Сначала пробегусь ещё раз вручную по реестру и попробую без подключения к сети запустить обновления. Отпишусь по результатам.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прошёлся по автозагрузке в реестре - всё ок
Прогнал cureit - удалил downloader'ов
[ATTACH=CONFIG]674741[/ATTACH]
Прогнал KVRT - кроме вирусов в архиве нашёл какой-то в корзине
[ATTACH=CONFIG]674742[/ATTACH]
Прогнал ещё раз Вашими утилитами, ничего подозрительного не увидел.

После этого загрузился с отключенной витой парой от сетевой, запустил обновление kb4012212, всё ок, перезагрузился. kb4012215 не установилось, выдало ошибку, что не подходит для моего ПК, хотят качал аналогично как и kb4012212 для Win7 x64. Загрузился в БР (безопасном режиме), подключил инет, скачал демо-версию касперского, из БР он не ставится, загрузился с отключенным инетом в обычном режиме, без инета он не устанавливается, подключил, всё время мониторил диспетчер задач, все было ок, на середине загрузки касперский выдал ошибку, что установка не может быть продолжена и что на компьютере вирусы. Перезагрузился и всё по новой... Винду сносить не поможет? Уже готов на такие радикальные меры, хоть и считаю это неправильным.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

В общем, почистил опять всё, чтобы не мешало запускаться нормально, при запуске убил conhost, запустил KVRT. В итоге был найден и вылечен MEM:Rootkit.Win64.DarkGalaxy.a
Сейчас касперский ещё прогоняет дальше после перезагрузки ПК, но никакие левые процессы уже не грузились и проблемные папки тоже без зловредов. Поэтому огромное Вам ещё раз спасибо. Завтра точно уже сообщу результаты и можно закрывать тему.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Всё, тему можно закрывать. Проблем больше нет, касперский тоже установился. Огромное Вам спасибо за оперативное решение!

Отлично, скорее всего из-за MEM:Rootkit.Win64.DarkGalaxy.a прооблема возращалась, так как он находится в загрузочном секторе.

В завершение:
1.
[list][*]Пожалуйста, запустите adwcleaner.exe[*]В меню [B]Настройки[/B] -[B] Удалить AdwCleaner[/B] - выберите [B]Удалить[/B].[*]Подтвердите удаление, нажав кнопку: Да.[/list]

Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]3[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]20[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\windows\debug\item.dat - [B]HEUR:Trojan.Win32.DiskWriter.gen=
[/B] ( AVAST4: Win32:Trojan-gen )[*] c:\windows\syswow64\drivers\64.exe - [B]not-a-virus:RiskTool.W=
in32.BitCoinMiner.jubw[/B] ( AVAST4: Win32:Malware-gen )[*] c:\windows\temp\conhost.exe - [B]Trojan.Win64.Miner.ijc[/B] ( A=
VAST4: Win32:Trojan-gen )[*] c:\windows\update.exe - [B]HEUR:Trojan.Win32.DiskWriter.gen[/B] =
( AVAST4: Win32:Malware-gen )[*] \update.exe - [B]HEUR:Trojan.Win32.DiskWriter.gen[/B] ( AVAST4: W=
in32:Malware-gen )[*] \zoo\msief.exe._a2fe663fa3f62136abab63694caa4ff15adf704a - [B]Tr=
ojan-Banker.Win32.Banbra.wojq[/B][/LIST][/LIST]

[QUOTE=sTeeL42rus;1491262]В итоге был найден и вылечен MEM:Rootkit.Win64.DarkGalaxy.a[/QUOTE]

Уточните пожалуйста, проблема случайно не возвращалась?

[QUOTE=SQ;1491313]Уточните пожалуйста, проблема случайно не возвращалась?[/QUOTE]

Добрый вечер. Нет, сейчас всё нормально.

Если проблема вернется то подготовьте лог uVS с загрузочного диска [url]https://chklst.ru/discussion/61/winpe-uvs[/url]

[QUOTE=SQ;1491322]Если проблема вернется то подготовьте лог uVS с загрузочного диска [url]https://chklst.ru/discussion/61/winpe-uvs[/url][/QUOTE]

Хорошо. Есть какие-то подозрения, что может вернуться?

[QUOTE=sTeeL42rus;1491326]Хорошо. Есть какие-то подозрения, что может вернуться?[/QUOTE]

Дело в том, что mem означает, что угрозу нашел в памяти, а обычно эта угроза назодится в загрузочном секторе и его можно выловить, только загрузившись с помощью загрузочного диска winpe.

[CODE]MEM:Rootkit.Win64.DarkGalaxy.a[/CODE]

[QUOTE=SQ;1491333]Дело в том, что mem означает, что угрозу нашел в памяти, а обычно эта угроза назодится в загрузочном секторе и его можно выловить, только загрузившись с помощью загрузочного диска winpe.

[CODE]MEM:Rootkit.Win64.DarkGalaxy.a[/CODE][/QUOTE]

Когда KVRT пытался его вылечить, то отправил ПК в ребут и запросил разрешения на действия до входа в пользователя (с помощью контроля учётных записей). Есть шанс, что он мог справиться самостоятельно? Если маловероятно, то я могу загрузиться с winpe, но это ближе к концу недели. Пока я вообще запретил запуск .exe через папку Temp.
[ATTACH=CONFIG]674770[/ATTACH]

Было бы не плохо убедиться, что вредоносного ПО не осталось в загрузочном секторе. Так сказать наверняка не могу, что KVRT справился или нет.