Отказ в доступе к любой папке [Trojan.Win32.BitMin.l, not-a-virus:RiskTool.Win32.BitCoinMiner.cen ]

Printable View

14.04.2013, 00:35
Дмитрий Литвинов

Вложений: 4

Отказ в доступе к любой папке [Trojan.Win32.BitMin.l, not-a-virus:RiskTool.Win32.BitCoinMiner.cen ]

Здравствуйте. Возникла проблема, которая меня ужасно бесит. С некоторох пор не могу зайти ни в 1 папку на компе. В панель управление и прочие пункты тоже войти не могу. Приложения и интернет работают нормально. :( Заранее спасибо. Учетная запись естествено админстратора. Такая же ошибка при открытии .jpg.
14.04.2013, 00:37
Info_bot

Уважаемый(ая) [B]Дмитрий Литвинов[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
14.04.2013, 11:39
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('D:\Temp\843415599.exe','');
DeleteFile('D:\Temp\843415599.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]O3 - Toolbar: (no name) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - (no file)
O3 - Toolbar: (no name) - {23DD83B5-BDDC-49CE-B77B-514819C6D551} - (no file)[/CODE]

Обновите базы AVZ

Сделайте новые логи
14.04.2013, 15:29
Дмитрий Литвинов

Вложений: 2

Проблема осталась.
14.04.2013, 18:33
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
14.04.2013, 22:17
Дмитрий Литвинов

Вложений: 1

Сделал
15.04.2013, 21:10
Дмитрий Литвинов

Ап...
15.04.2013, 21:20
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\netFight\AppData\Roaming\179317u3.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\17931g93.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\1793yW93.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\17mYW79y.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\1k9y17o3.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\1oCE1a9k.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\31yWS1e9.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\3sKUO179.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\5555555o.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\55555m55.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\555m5555.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\5uO55mY5.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\79317i3q.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\7931qG3i.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\7kU17i31.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\G9317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\I9317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\KUOC1.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\S179u.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\9317i3q7.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\9317m317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\9317q3w7.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\93wSKUOC.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\A7931.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\UOCEI.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\W9317.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Y9c17.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\YW555.exe', 'MBAM: Trojan.Agent.FSA44');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\csrss.exe', 'MBAM: PUP.BitCoinMiner');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\jsheded.exe', 'MBAM: Backdoor.Bot');
QuarantineFile('C:\Users\Танки\AppData\Local\Temp\DWHF141.tmp', 'MBAM: Backdoor.Agent');
QuarantineFile('D:\Download\BindKey_War3dota.zip', 'MBAM: Trojan.BTSoft.Gen');
QuarantineFile('D:\Download\63_Game_Prelaunche\Game Prelauncher 3.2.6\patch.exe', 'MBAM: PUP.Hacktool.Patcher');
QuarantineFile('D:\Temp\7171.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\786C.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\9850.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\1089.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\FA55.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('C:\Users\netFight\AppData\Roaming\igfxtray.dat', 'MBAM: Malware.Trace');
QuarantineFile('C:\Users\netFight\AppData\Roaming\video.exe', 'MBAM: Backdoor.Agent.Gen');
DeleteFile('C:\Users\netFight\AppData\Roaming\179317u3.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\17931g93.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\1793yW93.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\17mYW79y.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\1k9y17o3.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\1oCE1a9k.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\31yWS1e9.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\3sKUO179.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\5555555o.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\55555m55.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\555m5555.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\5uO55mY5.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\79317i3q.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\7931qG3i.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\7kU17i31.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\G9317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\I9317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\KUOC1.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\S179u.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\9317i3q7.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\9317m317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\9317q3w7.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\93wSKUOC.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\A7931.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\UOCEI.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\W9317.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\Y9c17.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\YW555.exe');
DeleteFile('C:\Users\Танки\AppData\Local\Temp\DWHF141.tmp');
DeleteFile('D:\Temp\7171.tmp.exe');
DeleteFile('D:\Temp\786C.tmp.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\igfxtray.dat');
DeleteFile('C:\Users\netFight\AppData\Roaming\video.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте новый лог MBAM
16.04.2013, 00:35
Дмитрий Литвинов

Вложений: 1

Файл сохранён как 130415_174011_quarantine_516c3b7b94a71.zip
Размер файла 23472978
MD5 39646df3edbb92081688b4a47169c97a

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

MBAM часа 4 будет сканировать, запустил...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Новый лог MBAM
16.04.2013, 11:07
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantineEx(true);
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\csrss.exe', 'MBAM: PUP.BitCoinMiner');
QuarantineFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\jsheded.exe', 'MBAM: Backdoor.Bot');
QuarantineFile('D:\Temp\9850.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\1089.tmp.exe', 'MBAM: Trojan.BitCoin');
QuarantineFile('D:\Temp\FA55.tmp.exe', 'MBAM: Trojan.BitCoin');
DeleteFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\csrss.exe');
DeleteFile('C:\Users\netFight\AppData\Roaming\Java\Update\Download\Cache\jsheded.exe');
DeleteFile('D:\Temp\9850.tmp.exe');
DeleteFile('D:\Temp\1089.tmp.exe');
DeleteFile('D:\Temp\FA55.tmp.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только

[CODE]Обнаруженные ключи в реестре: 8
HKCR\AppID\{6A44A601-E455-47D9-9712-0B79EEE39A9C} (PUP.Rubar) -> Действие не было предпринято.
HKCR\AppID\{9285AB27-8BD7-421A-9AA5-2523C00D4E4A} (PUP.Rubar) -> Действие не было предпринято.
HKCR\AppID\{D17B4854-A796-4173-9775-5FB684E40ADA} (PUP.Rubar) -> Действие не было предпринято.
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{C1ED9DA0-AFD0-4B90-AC6A-D3874F591014} (PUP.Datamngr) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F34C9277-6577-4DFF-B2D7-7D58092F272F} (PUP.Datamngr) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры: -> Действие не было предпринято.
[/CODE]

новый лог MBAM снова приложите, заодно отпишитесь, что с проблемой ?
16.04.2013, 23:33
Дмитрий Литвинов

Вложений: 1

Файл сохранён как 130416_162417_quarantine_516d7b318dce9.zip
Размер файла 4154804
MD5 dc6f12d09485f4aef7b655a5a566084a

Проблема осталась.:O
17.04.2013, 11:07
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(false);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

проверьте, что с проблемой ?
17.04.2013, 21:27
Дмитрий Литвинов

Вложений: 2

Увы, ничего не изменилось :(:sos:

Новые логи
17.04.2013, 21:31
regist

проверьте проблему в безопасном режиме.
17.04.2013, 21:35
Дмитрий Литвинов

В безопасном режиме проблемы нет, под вторым пользователей с правами юзера так же проблемы нет.
17.04.2013, 22:18
regist

[quote="Дмитрий Литвинов;994135"]В безопасном режиме проблемы нет, под вторым пользователей с правами юзера так же проблемы нет.[/quote]
попробуйте отключить/удалить антивирус. Вирусы уже удалили и это что-то из установленных программ блокирует.
17.04.2013, 23:04
Дмитрий Литвинов

Вложений: 2

Остановил все службы антивируса, остановил службу Брандмауэра. Пытался зайти в установку и удаление программ через конфигурацию системы [ATTACH=CONFIG]415038[/ATTACH], выдало вот такую ошибку [ATTACH=CONFIG]415039[/ATTACH]. Так же при открытии любой программы выскакивает уведомление службы контроля учетных записей пользователя, хотя никогда не пользовался этой службой. Убрал все программы из автозагрузки, перезагрузился... Результатов никаких. Может есть возможность скриптом сбросить службу контроля учетных записей? Может хоть это поможет...:sos::( Система не реагирует на кнопку изменения параметров этой службы (контроля учетных записей) и не запускает изменения из конфигурации системы (C:\Windows\System32\UserAccountControlSettings.exe)
18.04.2013, 16:18
Дмитрий Литвинов

Вобщем проблема решилась... Запустил Reg Organizer, выполнил дефрагментацию и чистку реестра, перегрузился и все норм... Всем большое спасибо за помощь :yess:
18.04.2013, 18:51
regist

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
18.04.2013, 19:30
Дмитрий Литвинов

Спасибо
18.04.2013, 19:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]107[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\netfight\\appdata\\roaming\\java\\update\\download\\cache\\csrss.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.cen[/B][*] d:\\download\\bindkey_war3dota.zip - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Adware.SMSHoax.2 )[*] d:\\temp\\fa55.tmp.exe - [B]Trojan.Win32.BitMin.l[/B] ( BitDefender: Trojan.Generic.8989189 )[*] d:\\temp\\1089.tmp.exe - [B]Trojan.Win32.BitMin.l[/B] ( BitDefender: Trojan.Generic.8989189 )[*] d:\\temp\\7171.tmp.exe - [B]Trojan.Win32.BitMin.l[/B] ( BitDefender: Trojan.Generic.8989189 )[*] d:\\temp\\786c.tmp.exe - [B]Trojan.Win32.BitMin.l[/B] ( BitDefender: Trojan.Generic.8989189 )[*] d:\\temp\\9850.tmp.exe - [B]Trojan.Win32.BitMin.l[/B] ( BitDefender: Trojan.Generic.8989189 )[/LIST][/LIST]