Вирус Neshta и вечный gosearch [Virus.Win32.Neshta.a ]

Printable View

05.10.2016, 00:51
Eztekto

Вложений: 3

Вирус Neshta и вечный gosearch [Virus.Win32.Neshta.a ]

Здравствуйте! Прошу помочь мне с моей проблемой. Не давно обнаружил у себя вирус neshta тело которого, судя по всему, находится в неубиваемом файле "svchost.com". Точнее убиваемом, но мгновенно восстанавливаемом. Советы в интернете, про прописыванию пути в реестре, а затем лечение при помощи cure it, результатов не дали. Также в гуглхром прописался gosearch от знаменитой мэил. Правда хром я снёс в надежде решить проблему, но попытки переустановить почему-то не увенчиваются успехом. Надеюсь, всё не безнадежно, спасибо)
05.10.2016, 00:52
Info_bot

Уважаемый(ая) [B]Eztekto[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
07.10.2016, 00:19
Eztekto

UPD
Смог установить chrome, но мэиловская зараза никуда не делась. svchost.com, тоже периодически вредит. Cure it лечит поврежденные им файлы, но от самого вируса избавиться не может, только бессмысленно перемещает.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

app
07.10.2016, 01:25
mrak74

Здравствуйте !!!

Создайте контрольную точку восстановления Windows.

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\svchost.com','');
QuarantineFile('C:\Users\Медиа\AppData\Local\FilterStart\FilterStart.exe','');
QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
QuarantineFile('C:\Users\Медиа\AppData\LocalLow\SearchGo\searchgo.dll','');
DeleteFile('C:\Users\Медиа\AppData\LocalLow\SearchGo\searchgo.dll','32');
DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
DeleteFile('C:\windows\system32\Tasks\Manifest Private Mgr','64');
DeleteFile('C:\Users\Медиа\AppData\Local\FilterStart\FilterStart.exe','32');
DeleteFile('C:\windows\system32\Tasks\Private Root Helper','64');
DeleteFile('C:\Windows\svchost.com','32');
DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]

Далее, [URL="http://virusinfo.info/showthread.php?t=15927"][B]Как лечить файловый вирус[/B][/URL] вариант с Live CD предпочтительнее. После лечения таким образом подготовьте комплект новых логов AVZ и HijackThis.
07.10.2016, 12:38
Eztekto

Вложений: 1

[QUOTE=mrak74;1406719]Здравствуйте !!!

Создайте контрольную точку восстановления Windows.
[/QUOTE]

Попробовал создать, но почему-то отсутствует вкладка защита системы. Без создания точки не опасно делать дальнейшие действия? Также у меня отстутствует дисковод (ультрабук), есть ли иные способы лечения? :/
upd
Нашёл, Dr. Web Live USB.
07.10.2016, 17:59
mrak74

[quote="Eztekto;1406753"]Без создания точки не опасно делать дальнейшие действия?[/quote]
Подстраховываюсь. Не делайте тогда.

[quote="Eztekto;1406753"]Нашёл, Dr. Web Live USB[/quote]
Применяйте, потом сразу же выкладывайте новые логи AVZ и HijackThis.
07.10.2016, 20:16
Eztekto

Вложений: 2

Сделал скан с помощью Dr web Live usb. Эта гадость никуда не девается :/
07.10.2016, 21:00
mrak74

Dr. Web Live USB - создавали на "чистом", не зараженном компьютере ? Записанную флешку в компьютер во время работы ОС вставляли ?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url]http://www.avg.com/ru-ru/remove-win32-neshta.tpl-stdfull[/url] - попробуйте пролечить этой утилитой.
07.10.2016, 21:06
Eztekto

Устанавливал на другом компе. Флешка могла прочитаться, только после захода в систему, если вставлял её перед запуском она не читалась. Ноут её увидел, только на моменте входа в учётную запись (где пароль надо вводить). Надеюсь от этого она не могла заразиться, иначе тогда не знаю как её чистить :/
07.10.2016, 21:19
mrak74

Флешка сама является загрузочной, на ней подгружается ОС Live и уже из под нее стартует лечащая утилита. В BIOS возможно параметр загрузки с USB выставить надо было.
07.10.2016, 22:51
Eztekto

Вложений: 2

После АДВ svchost вроде всё-таки помер. Либо перепрятался, но выскакивать перестал. А вот GoSearch от мэил оказался немного живучей. Парвильно говорят, что рекламные вирусы, как тараканы :/ Прикладываю повторный скан системы.
08.10.2016, 02:34
mrak74

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files (x86)\CDisplayEx\CDisplayEx.exe','');
QuarantineFile('C:\Users\Медиа\AppData\Local\rightchose\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\DateOption\regCheck.vbs','');
QuarantineFile('C:\Program Files\SRS Labs\SRS Control Panel\SRS_Premium_Sound_PS3D.zip','');
QuarantineFile('C:\ProgramData\Microsoft Help\Rgstrtn.lck','');
QuarantineFile('C:\Users\Медиа\AppData\Local\ValidateLife\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\LastNews\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\FilterOptions\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\FileSystemOptions\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\ImmediateHelp\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\TestMenu\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\Request Private Mgr.exe','');
DeleteFile('C:\Users\Медиа\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\regCheck.lnk');
DeleteFile('C:\Users\Медиа\AppData\Local\Request Private Mgr.exe');
DeleteFile('C:\windows\system32\Tasks\Request Private Mgr','64');
DeleteFile('C:\Users\Медиа\AppData\Local\TestMenu\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\FilterOptions\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\LastNews\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\ValidateLife\regCheck.vbs','32');
DeleteFile('C:\ProgramData\Microsoft Help\Rgstrtn.lck','32');
DeleteFile('C:\Users\Медиа\AppData\Local\DateOption\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\rightchose\regCheck.vbs','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-001A-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-006E-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-0012-0000-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-001A-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-006E-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+ [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

ProxyServer = 107.23.180.148:8080 - сами прописывали в настройках браузера?
08.10.2016, 11:23
Eztekto

Вложений: 3

Нет, прокси я не прописывал никакие сам. Вроде удалил адв удалил кучу мэиловского, но остался госерч. Может поможет деталь. Когда ввожу поиск сначала появляется как положено по настройкам гугл, а затем ссылка меняется на сайт типа searche-engine, а потом уже становится go.mail
09.10.2016, 12:39
Vvvyg

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
09.10.2016, 19:33
Eztekto

Вложений: 1

Высылаю.
09.10.2016, 21:26
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM\...\Run: [] => [X]
BootExecute: autocheck autochk * 娍䘍耀ὤ皉
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
ProxyServer: [S-1-5-21-1433716604-1986671685-601660990-1000] => 107.23.180.148:8080
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> hxxp://mail.ru/cnt/10445?gp=811013
FF Keyword.URL: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> hxxp://go.mail.ru/distib/ep/?product_id=%7BD1B6F9A3-5472-4D36-AE35-8FB06B17213F%7D&gp=811014
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\[email protected] [2016-10-04]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\[email protected] [2016-10-04]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-10-04]
FF Extension: (No Name) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [not found]
FF SearchPlugin: C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\searchplugins\mailru.xml [2016-10-04]
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
S3 a2acc; \??\C:\PROGRAM FILES (X86)\EMSISOFT ANTI-MALWARE\a2accx64.sys [X]
S1 adgnetworktdi; system32\drivers\adgnetworktdi.sys [X]
S3 GPU-Z; \??\C:\Users\DFC6~1\AppData\Local\Temp\GPU-Z.sys [X]
S3 MBAMSwissArmy; \??\C:\windows\system32\drivers\MBAMSwissArmy.sys [X]
S1 ServiceMgr; system32\drivers\ServiceMgr.sys [X]
S3 zte_ecm_enum_filter; system32\DRIVERS\zte_ecm_enum_filter.sys [X]
2016-10-04 12:55 - 2016-10-04 13:23 - 00000000 ____D C:\Program Files (x86)\Emsisoft Anti-Malware
2016-10-04 12:26 - 2016-10-04 12:26 - 00000000 ____D C:\Users\Медиа\AppData\Local\Поиcк в Интeрнете
2016-10-04 12:26 - 2016-10-04 12:26 - 00000000 ____D C:\Users\Медиа\AppData\Local\Вoйти в Интeрнет
2016-10-04 12:25 - 2016-10-04 23:45 - 00000000 ____D C:\Program Files (x86)\ScreenUp
2016-10-04 12:25 - 2016-10-04 17:39 - 00000000 ____D C:\Users\Медиа\AppData\Local\FilterStart
2016-10-04 12:25 - 2016-10-04 12:25 - 00000312 _____ C:\Users\Медиа\AppData\Local\expand.ini
2016-10-06 12:40 - 2016-10-06 12:40 - 0000000 __RSH () C:\Program Files\360
2014-04-29 23:39 - 2014-04-29 23:39 - 0000006 _____ () C:\Users\Медиа\AppData\Roaming\smw_inst
C:\Users\Медиа\AppData\Local\Temp\coi1634.exe
C:\Users\Медиа\AppData\Local\Temp\msQ9fpVV7E1K.exe
C:\Users\Медиа\AppData\Local\Temp\tb6EXF3JR9j8.exe
C:\Users\Медиа\AppData\Local\Temp\X8Aep02tSR7O.exe
C:\Users\Медиа\AppData\Local\Temp\xihaXDODpOIl.exe
C:\Users\Медиа\AppData\Local\Temp\ZHVjjzJv9hLS.exe
Task: {0A1106A8-D27D-4D95-B442-04599C819252} - \Private Root Helper -> No File <==== ATTENTION
Task: {0F4F7171-63CB-4E8D-8A97-982F4FBE34C0} - System32\Tasks\{03B8F657-0641-4F02-B5FE-5CEA18296CDF} => D:\setup.exe
Task: {1693F621-DBA0-4F88-B878-3472CDBA5CB2} - \Request Private Mgr -> No File <==== ATTENTION
Task: {3BCC7146-489C-4FD1-98D3-1E5B42F01F62} - System32\Tasks\{C79E7BCF-4117-4A60-B7EA-25F3ABDBBE2C} => pcalua.exe -a C:\Users\Медиа\AppData\Local\Temp\ТОШИБА.temp\TVAP\Setup.exe -d C:\Users\DFC6~1\AppData\Local\Temp\BADF~1.TEM\TVAP <==== ATTENTION
Task: {52128736-5C93-4A76-B82B-851AAA556FB0} - \Manifest Private Mgr -> No File <==== ATTENTION
Task: {D0AACB1F-171E-4C77-A87E-1110F3E9BCE2} - \{7CD87FEE-30E7-4D5D-B3DB-A9A0FB225922} -> No File <==== ATTENTION
Task: {F15C36DA-ADDB-44CD-8EDF-67B0369D5F45} - System32\Tasks\{211E6D40-F34E-442D-AB64-E0AAB9E2496C} => C:\Users\Медиа\Downloads\LeagueofLegends.exe
C:\Users\Медиа\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [151]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [274]
FirewallRules: [{8C8A71E1-A476-44C5-B637-62B63C4D82FD}] => (Allow) C:\Program Files\UBar\ubar.exe
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемой.
09.10.2016, 22:42
Eztekto

Вложений: 1

Сделал по инструкции, но проблема осталась. Так же не уточнял, что помимо поисковика периодически вылезает реклама. Думаю это всё от одного идёт.
09.10.2016, 23:10
Vvvyg

Отключите все расширения в Chrome, если пропадёт реклама - подключайте по одному, проверяйте эффект. Возможно, одно из расширений шалит, какое именно - понять по логам сложно.
Сообщите результат.
09.10.2016, 23:31
Eztekto

Как ни странно оказался заражён AdBlock) Переустановил и проблема исчезла. Спасибо большое за труд, очень помогли!)
09.10.2016, 23:34
Vvvyg

Значит, подменили, официальный не спамит.

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
09.10.2016, 23:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\svchost.com - [B]Virus.Win32.Neshta.a[/B] ( BitDefender: Win32.Neshta.A )[/LIST][/LIST]