На ПК Avira обнаружила вирус TR/Crypt.XPACK.Gen. Проверка с помощью дисков Касперского и Dr.Web LiveDisk не помогла.
Avira находит вирус в папке C:\Windows\Temp\ с периодичностью каждый час.
Полная проверка так же ничего не обнаружила.
На ПК так же установлен Comodo Firewall - во время обнаружения вируса Avir'ой никакой активности не замечено.
Логи AVZ4 и HijackThis во вложении
Уважаемый(ая) [B]NNUser[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
У Вас там ещё и Emsisoft... Крайне не рекомендуется использовать одновременно несколько защитных продуктов, велика вероятность конфликтов. Опять же, лишние тормоза и ложные срабатывания.
Есть возможность файлы, на которые реагирует Avira, вытащить из карантина и проверить на virustotal.com?
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Emsisoft был установлен до Avir'ы и он только помещал в карантин данный вирус. Посмотрел на av-comparatives рейтинг и поставил бесплатную Avir'у (посчитал, что она должна справиться с тем, кто создает вирус в папке Temp). Emsisoft убрал из автозапуска (да и оба они работают и проблем с конфликтами не замечал).
Прошу совета, как правильно сделать, чтобы не еще больше не навредить ПК, чтобы вирус из карантина отправить на virustotal.com?
Указанную программу скачал. Запрашиваемые файлы во вложении.
[QUOTE=NNUser;1339764]Emsisoft убрал из автозапуска (да и оба они работают и проблем с конфликтами не замечал).[/QUOTE]
Если Вы их не видите, это не означает, что их нет. В любом случае, даже при отключённой из автозапуска оболочке антивируса его драйвера и службы активны. Кстати, и Comodo Firewall имеет компоненты проактивной антивирусной защиты.
[QUOTE=NNUser;1339764]Прошу совета, как правильно сделать, чтобы не еще больше не навредить ПК, чтобы вирус из карантина отправить на virustotal.com?[/QUOTE]
С Avira дела не имел, попробуйте по [URL="http://free-antivirus.com.ru/howto/howto_quarantine_restorefiles.htm"]инструкции[/URL], вариант восстановления в указанную папку (по Вашему усмотрению). Антивирус в это время должен быть отключен, не бойтесь, если сами файл не запустите, ничего не будет страшного. Затем на [url=https://www.virustotal.com/ru/]virustotal.com[/url]: кнопка [b]Выберите файл[/b], ищете нужный файл у вас в системе - [b]Открыть[/b] - [b]Проверить[/b]. Нажать на кнопку [b]Повторить анализ[/b] (если будет такой вариант). Дождитесь результата. Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.
Логи посмотрю позже.
Ранее я написал, что изначально был один антивирус - это Emsisoft. Вирус появился при нем. Поставил другой. Работают вместе - не замечал конфликтов. Друг друга понимают (при сканировании). Можно конечно снести один. Так и сделаю, если появятся конфликты.
Сделал все по инструкции.
Вот ссылка на результат: [URL="https://www.virustotal.com/ru/file/494786474fdc8d23ac96d6abcb375c182539f281c8f26fa575d5d37172087141/analysis/1449581425/"]https://www.virustotal.com/ru/file/494786474fdc8d23ac96d6abcb375c182539f281c8f26fa575d5d37172087141/analysis/1449581425/[/URL]
Смущает, что данный вирус срабатывает как по расписанию - раз в час (через некоторое время после загрузки ПК) и с определенной периодичностью. Искал в планировщике заданий - вроде нет ничего подозрительного.
Можете этот файл ещё в карантин по приложениям 1 и 2 [URL="http://virusinfo.info/content.php?r=136-pravila"]правил[/URL]?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE]KLM\Software\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR/DisableConfig] <===== ATTENTION[/QUOTE]
Специально отключили? Зря.
Карантин прислал согласно указанным приложениям.
Файл сохранён как 151209_105253_virus_5667cfc5e07b1.zip
Размер файла 1350336
MD5 2c5e228ade4788d6d589ae4c28ce8c83
Имеет смысл восстановление системы сейчас включать?
После решения проблемы - однозначно стоит.
Cделайте лог [url=http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657]сканирования МВАМ.[/url]
Добавил лог от указанной Вами программы. Хочу заметить, что данная программа собственный дистриб. посчитала опасным, а так же данное приложение, которое остальные антивирусы не считают опасным - думаю, что это ложное срабатывание
[URL="https://www.virustotal.com/ru/file/6c5ce04f622084c24cd9c55f23834b1b025dfd3a544c504dd4ea8f8a3d5c79e8/analysis/1449728722/"]https://www.virustotal.com/ru/file/6c5ce04f622084c24cd9c55f23834b1b025dfd3a544c504dd4ea8f8a3d5c79e8/analysis/1449728722/[/URL]
[QUOTE=NNUser;1340346]Хочу заметить, что данная программа собственный дистриб. посчитала опасным[/QUOTE]
Потому что это крякнутые дистрибутивы, на загруженный с оффсайта не ругалась бы.
[QUOTE=NNUser;1340346]а так же данное приложение, которое остальные антивирусы не считают опасным - думаю, что это ложное срабатывание
[URL="https://www.virustotal.com/ru/file/6c5ce04f622084c24cd9c55f23834b1b025dfd3a544c504dd4ea8f8a3d5c79e8/analysis/1449728722/"]https://www.virustotal.com/ru/file/6c5ce04f622084c24cd9c55f23834b1b025dfd3a544c504dd4ea8f8a3d5c79e8/analysis/1449728722/[/URL][/QUOTE]
Да, фолс, видимо.
Файлы, на которые реагирует антивирус, с разными именами в папке C:\Windows\Temp появляются?
Это portable дистриб с сайта [URL="http://portableappz.blogspot.ru/"]http://portableappz.blogspot.ru/[/URL]
Вот результат проверки данного дистриба [URL="https://www.virustotal.com/ru/file/38e5cd8bf0750d16fe84b92a801056293f7fe64390df07fd0f942f7a28ffe705/analysis/1449733611/"]https://www.virustotal.com/ru/file/38e5cd8bf0750d16fe84b92a801056293f7fe64390df07fd0f942f7a28ffe705/analysis/1449733611/[/URL] - думаю тоже ложное срабатывание
В указанной папке появляются папки типа tmp0000XXXX, где XXXX - это цифры или буквы
А уже в этих папках появляются файлы типа tmp00000XXX, где XXX - это также цифры и буквы
Возможно поможет при решении моей проблемы. При проверке были обнаружены следующие объекты (во вложении скриншот). Думал, что вылечил, но при повторной проверке объекты снова появились.
[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог Gmer[/URL].
Добавил лог от указанной Вами программы.
Если ПК загружать в Безопасном режиме с поддержкой сети, то в папке Temp ничего не появляется, хотя доступ к сети есть. Но стоит загрузить ПК в обычном режиме, то теперь вирус проявляет себя через некоторое время после загрузки и если раньше Avira ругалась на 4-5 файлов в час, то теперь отлавливает по 50 и более. И вирусы сыпяться друг за другом. Потом ПК зависает и приходится перезагружаться. После перезагрузки в данной папке есть не "отловленные" файлы (файлы не нулевого размера).
Возможно у кого-то появились мысли на тему, как избавить ПК от такой заразы? Все запрошенные файлы я приложил.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
Я могу запустить данную программу из безопасного режима? Т.к. в обычном режиме работать практически не возможно из-за постояных атак вируса.
Запускайте.
Добавил лог от указанной Вами программы.
В компонентах Comodo удалите PrivDog. И проверьте эффект.
Через "Добавить/Изменить компоненты" в Установке и удалении программ не смог найти, где удаляется даная компонента. Раньше был установлен Comodo Internet Security (firewall + антивирус). Потом решил просто установить только firewall, а антивирус отдельно. Видимо компонента осталась еще от старой версии.
Возможно сделал не правильное решение, но удалил руками в реестре записи, относящиеся к PrivDog и файлы на диске C. Перезагрузил ПК - результат не изменился.
Прошу сообщить, как правильно удалить данную компоненту? Возможно остались какие-то службы/dll и пр.
Теперь уже только подчистить в AdwCleaner.
Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B] (Scan), по окончании сканирования [B]если есть почта на Mail.Ru и/или используете программы от этого портала[/B] уберите галочки на вкладках [B]Папки[/B] (Folders), [B]Реестр[/B] (Registry) и вкладках браузеров со всех пунктов, где упоминаются Mail.Ru.
В пункте меню "Настройки" (Settings)[B][COLOR="#FF0000"]установите[/COLOR][/B] галочку "Сброс политик Chrome".
Затем нажмите [B]Очистка[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.
Удалил на всякий случай и mail агент. Во вложении результат сканирования.
Сейчас попробую загрузить ПК в обычном режиме и погонять. Потом отпишусь о результатах
Если запустить ПК в обычном режиме, то ситуация не меняется. Спустя некоторое время Avira начинает реагировать на появление вирусов в папке Temp в большом количестве.
Если я правильно понял, то решения моей проблемы нет. Не нашел ничего лучшего, как переустановить ОС. На данный момент пока вроде чисто. Спасибо и на этом.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\temp\tmp00005f76\tmp0000107f - [B]Trojan.Win32.Inject.tdhf[/B] ( BitDefender: Trojan.GenericKD.1936813, AVAST4: Win32:Malware-gen )[/LIST][/LIST]