Подозрение на Keylogger или троянскую DLL [not-a-virus:RiskTool.Win32.BitCoinMiner.lrc ]

[COLOR=#333333]Временами виснет система, Не запускаются игры, пишет что отсутствует какой-нибудь dll из DirectX, пытался установить DirectX, но и он не устанавливается в конце установки пишет что произошла внутренняя ошибка,с попытками установки автоматически покончил, стал искать нужные "dll" по отдельности и загружать их но все оказалось тщетно,пытался копировать файлы DX и вставлять, но система давала отказ на копирование ссылаясь на ограничение прав......от безысходности обращаюсь к Вам уважаемая администрация сайта![/COLOR]

Уважаемый(ая) [B]logon943[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\microsoft sync framework\v1.0\documentation\1033\license agreements\data\system32.exe');
QuarantineFile('c:\program files (x86)\microsoft sync framework\v1.0\documentation\1033\license agreements\data\system32.exe','');
DeleteFile('c:\program files (x86)\microsoft sync framework\v1.0\documentation\1033\license agreements\data\system32.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте AVZ 4.43, ссылка в [URL="http://virusinfo.info/pravila.html"]правилах[/URL], B]обновите базы[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделал все как вы описали выше!

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Сделал как вы описали выше!

[CODE]C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\System32.exe
C:\Users\Spy\AppData\Roaming\OpenCandy\88A5727A69C54F69B1D013C8EB2812C9\hfza_3.0.0.74.exe[/CODE]
Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

Папку
[CODE]C:\Users\Spy\Desktop\avz4\avz4\Quarantine\[/CODE] удалите вручную.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Поместите в карантин МВАМ[/url] только

[CODE]Processes: 1
PUP.BitCoinMiner, C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\System32.exe, 4232, , [f527f4fbc0bb79bd52ff65b905fccf31]
Modules: 1
Trojan.Miner, C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\libcurl-4.dll, , [ad6f37b84635f343761872f63dc50ff1],

Registry Keys: 2
PUP.Optional.1ClickDownload.A, HKU\S-1-5-21-3363821545-1237918463-2811540110-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\1ClickDownload, , [74a8a24ddba038fe3e797ad4778da060],
PUP.Optional.Softonic.A, HKU\S-1-5-21-3363821545-1237918463-2811540110-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\SOFTONIC\Universal Downloader, , [3be129c691ead75f1a1bcf57bb489b65],
Folders: 3
PUP.Optional.OpenCandy, C:\Users\Spy\AppData\Roaming\OpenCandy, , [a478c827a2d966d08604ece8fe0448b8],
PUP.Optional.OpenCandy, C:\Users\Spy\AppData\Roaming\OpenCandy\71B59E27362045CFBC5F454D405CEFB8, , [a478c827a2d966d08604ece8fe0448b8],
PUP.Optional.OpenCandy, C:\Users\Spy\AppData\Roaming\OpenCandy\88A5727A69C54F69B1D013C8EB2812C9, , [a478c827a2d966d08604ece8fe0448b8],
PUP.BitCoinMiner, C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\System32.exe, , [f527f4fbc0bb79bd52ff65b905fccf31],
Trojan.Miner, C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\libcurl-4.dll, , [ad6f37b84635f343761872f63dc50ff1],

[/CODE]

Сделайте новый лог сканирования MBAM.

Мне что надо упаковать файл "system32.exe и hfza_3.0.0.74.exe" в архив zip и запаролить его с паролем "virus"!?
[CODE]C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\System32.exe
C:\Users\Spy\AppData\Roaming\OpenCandy\88A5727A69C54F69B1D013C8EB2812C9\hfza_3.0.0.74.exe[/CODE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я так же пытался извлечь карантин [COLOR="#FF0000"]"mbam_quarantine.zip" [/COLOR] c помощью утилиты [COLOR="#FF0000"]avz[/COLOR], но он оказывался пустым после извлечения!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[CODE]C:\Users\Spy\Desktop\avz4\avz4\Quarantine\[/CODE]
удалил в ручную, как вы и описали!
Указанные вами файлы после скана добавил в карантин!
оставшиеся 3 в игнор пустил а именно:
[CODE]RiskWare.Tool.CK, C:\Users\Spy\AppData\Roaming\IDM\DwnlData\Spy\afire_rus_184\afire_rus.rar, , [df3d49a6afcc1f1756ea05fe9969d927],RiskWare.Tool.CK, D:\??N??µ ???»N? web\?˜??N?N?N?N????µ??N? WebDisign\Web N??µ???°??N???N?\Artisteer4.2.0.60559Rus\crack\Artisteer Keygen.exe, , [1b01a9462d4edf5795554ccdb84dad53], PUP.RiskwareTool.CK, D:\??N??µ ???»N? web\?˜??N?N?N?N????µ??N? WebDisign\?*?°?±??N??° N? ???·???±N??°?¶?µ?????µ??\Photoshop instal\Adobe.Photoshop.CS6.u2.(RU-EN)\Crack\3_Activation_Keygen.exe, , [e13b18d7b6c5c3734a61f5cc5ca40bf5], [/CODE]
Они разве не несут никакого вреда?

[quote="logon943;1160900"]Мне что надо упаковать файл "system32.exe и hfza_3.0.0.74.exe" в архив zip и запаролить его с паролем "virus"!?[/quote]
да, а потом прислать по ссылке наверху темы.

Но есть одно но..этого файла нет....-->
[CODE]C:\Users\Spy\AppData\Roaming\OpenCandy\88A5727A69C54F69B1D013C8EB2812C9\hfza_3.0.0.74.exe[/CODE]
не смотря на то что его обнаружил [COLOR="#A52A2A"]Malware[/COLOR], не могу его найти по этой ссылке и с помощью проводника!


А чтобы запаролить оставшийся файл "system32.exe" нужен пароль не меньше 8 символов, так что я запаролю его под паролем "virusvirus"

[quote="logon943;1161101"]нужен пароль не меньше 8 символов[/quote]
это кто такое требует? Уж лучше тогда без пароля архивируйте и по ссылке наверху темы.

Я отправил Вами запрошенный файл "system32.exe"!

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data','*.exe, *.sys, *.dll', true,'',0 ,0);
QuarantineFile('C:\Users\Spy\AppData\Roaming\OpenCandy\88A5727A69C54F69B1D013C8EB2812C9\hfza_3.0.0.74.exe','');
QuarantineFile('C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\System32.exe','');
DeleteFile('C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\System32.exe');
ExecuteWizard('SCU', 2, 2, true);
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте свежий лог MBAM

Запрошенный Вами "Quarantine" был выслан!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Запрошенный Вами свежий лог mbam!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

но при следующем запуске системы запускается и процесс "system32.exe"

Выполните скрипт в AVZ

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
DeleteFileMask('Trojan.Miner, C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\', '*', true);
DeleteDirectory('Trojan.Miner, C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data\'); ExecuteWizard('SCU', 2, 2, true);
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

Скрипт выполнен! Но для чего он, в процессах все так же отображается все тот же "system32.exe*32" от имени пользователя!?

[quote="regist;1161132"]Сделайте полный образ автозапуска uVS только программу скачайте отсюда[/quote]
где?

Я вызываю окно диспетчера задач а там все так же отображается "system32.exe*32" и расположение его в той же папке:
[CODE]C:\Program Files (x86)\Microsoft Sync Framework\v1.0\Documentation\1033\License Agreements\Data[/CODE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Запрашиваемый Вами полный образ uVS сделан, но не возможно загрузить а именно по причине:
[ATTACH=CONFIG]495663[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Образ весит 815kb!

загрузите сюда [url]http://rghost.ru/[/url] и оставьте ссылку.

[url]http://rghost.ru/58099723[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.83.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
BREG
bl EA5C563DB06D96B90141698AFD27F2FC 187904
zoo %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\LICENSE AGREEMENTS\DATA\SYSTEM32.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\LICENSE AGREEMENTS\DATA\SYSTEM32.EXE
dirzooex %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\LICENSE AGREEMENTS\DATA
deldir %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\LICENSE AGREEMENTS\DATA
czoo
restart[/CODE]

сделайте свежий образ автозапуска.

Свежий mbamlog!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Свежий образ авто запуска: http://rghost.ru/58103230

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Свежий образ авто запуска: [URL="http://rghost.ru/58103230"]http://rghost.ru/58103230[/URL]

карантин не прислали ;)

Снова выполните скрипт в uVS и пришлите карантин

[CODE];uVS v3.83.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
BREG
dirzooex %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\DATA
dirzooex %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\LICENSE AGREEMENTS\DATA
exec32 C:\Program Files (x86)\Mircosoft Corporation Company\system32\Uninstall.exe
delref %SystemDrive%\USERS\SPY\DOWNLOADS\DXWEBSETUP.EXE
bl EA5C563DB06D96B90141698AFD27F2FC 187904
bl 7EEE184754DC37123734AA5FC74ED04F 433105
deldir %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\LICENSE AGREEMENTS\DATA
deldir %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT SYNC FRAMEWORK\V1.0\DOCUMENTATION\1033\DATA
czoo
restart[/CODE]

если будет вопрос об удаление программы соглашайтесь.

прикрепите свежий образ автозапуска.

сори! пока делаю новый скрипт хотел бы задать вопрос на иную тематику...:У меня установлен ipblocker, в настройках Сетевой адаптер адаптеру "Realtek PCIe GBE Family Controller" присвоен неизвестный ip адрес, так должно быть или должен высвечиваться ip выделенный провайдером?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сделал как вы описали выше!

ipblocker-ом не пользовался не в курсе, но по идее там должен быть внутренний (локальный) IP.

насчёт файлов которые вы прикрерили. Карантин надо грузить по ссылке вверху темы (загрузил за вас), а свежий лог uVS вы не прикрепили. Вместо него отчёт о выполнение скрипта.

[NOTICE]не надо прикреплять карантин к посту. Ждём лога[/NOTICE]

А точно)) сори запамятовал совсем....все сделаю как надо, если они еще нужны

конечно не появляется, потому что его надо свежий сделать ;), перечитайте как делать [url]http://virusinfo.info/showthread.php?t=121767[/url]

[url]http://rghost.ru/58104814[/url]

...
[QUOTE]SPY-VAIO_2014-09-20_01-41-34.7z (811.2 КБ)
Файл удален.[/QUOTE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\microsoft sync framework\v1.0\documentation\1033\license agreements\data\system32.exe - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.lrc[/B] ( BitDefender: Application.BitCoinMiner.BK )[*] \system32.exe._4da1738b7283ff36f91bb7b762eb7f867a384bb8 - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.lrc[/B] ( BitDefender: Application.BitCoinMiner.BK )[*] \system32.exe._40a903c091336a8108685bf891d5558863346d5f - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.lrc[/B] ( BitDefender: Application.BitCoinMiner.BK )[/LIST][/LIST]