Printable View
Здравствуйте!
Помогите, пожалуйста, определить вредоносные действия на моём ноутбуке. Начинает тормозить интернет. Провайдер сообщил мне о множестве соединений с моего компьютера. Соединения по портам чуть ли не подряд от 0 до 65535. Проверял антивирусом KES со свежими обновлениями. Потом проверил CureIt! свежей загрузки. Действую по правилам и уже подошёл к моменту написания новой темы.
Уважаемый(ая) [B]cerberus[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
- Подготовьте новый лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
Здравствуйте!
См. вложение.
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
[QUOTE=SQ;1415075][url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.[/QUOTE]
Готово! См. вложение.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Выполнил сканирование Farbar Recovery Scan Tool. См. вложение.
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
FF HKU\S-1-5-21-4001332773-3622390879-3992281132-1000\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Internet Download Manager\idmmzcc2.xpi => not found
FF HKU\S-1-5-21-4001332773-3622390879-3992281132-1000\...\SeaMonkey\Extensions: [[email protected]] - C:\Program Files (x86)\Internet Download Manager\idmmzcc2.xpi => not found
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ngpampappnmepgilojfohadhhmbhlaek] - <no Path/update_url>
2016-03-28 14:12 - 2016-03-28 14:12 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
C:\Users\Тимур\AppData\Local\Temp\AnVir.exe
C:\Users\Тимур\AppData\Local\Temp\DefaultPackOffer.dll
C:\Users\Тимур\AppData\Local\Temp\downloader.exe
C:\Users\Тимур\AppData\Local\Temp\i4jdel0.exe
CustomCLSID: HKU\S-1-5-21-4001332773-3622390879-3992281132-1000_Classes\CLSID\{004B49B7-11B9-5058-FF22-08DD093ADC4B}\InprocServer32 -> {18722AD8-9468-D082-8EBA-03E985889A47} => No File
CustomCLSID: HKU\S-1-5-21-4001332773-3622390879-3992281132-1000_Classes\CLSID\{DD0822FF-3A09-4BDC-B749-4B00B9115850}\InprocServer32 -> {5986CCB5-9468-D082-E35C-F7A885889A47} => No File
AlternateDataStreams: C:\ProgramData\Temp:41ADDB8A [131]
AlternateDataStreams: C:\ProgramData\Temp:A064CECC [144]
AlternateDataStreams: C:\Users\Все пользователи\Temp:41ADDB8A [131]
AlternateDataStreams: C:\Users\Все пользователи\Temp:A064CECC [144]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Выполнил Fix. См. вложение.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]
MBAM выполнил. См. приложение.
[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]PUP.Optional.StartPage, HKU\S-1-5-21-4001332773-3622390879-3992281132-1000\SOFTWARE\START PAGE, , [24909b28f8a241f5b7abe9eb59a959a7],
PUP.Optional.StartPage, HKU\S-1-5-21-4001332773-3622390879-3992281132-1000\SOFTWARE\START PAGE|Start Page, http://rhereso.ru/?utm_source=startpage03&utm_content=713e2996e4962db00a4a509ec296c027, , [24909b28f8a241f5b7abe9eb59a959a7][/CODE]
Что из следующего Вам знакома?
[CODE]RiskWare.FilePatcher, C:\Program Files (x86)\FDRLab\save2pc\save2pc.5.xx.full.v2.0.multi.method-Cerberus.exe, , [e2d2f2d1900ad165a4fbd110837dae52],
Trojan.Downloader, C:\App\TC\Soft\-soft\AntiDust.exe, , [189c5d660f8b082e5ea602731de4c040],
RiskWare.DontStealOurSoftware, C:\App\TC\Soft\MBAM\AntiMalwarePortable.exe, , [1f95368d6c2e1b1bf22796ee14ed45bb], [/CODE]
Выполнил удаление.
[CODE]PUP.Optional.StartPage, HKU\S-1-5-21-4001332773-3622390879-3992281132-1000\SOFTWARE\START PAGE, , [24909b28f8a241f5b7abe9eb59a959a7],
PUP.Optional.StartPage, HKU\S-1-5-21-4001332773-3622390879-3992281132-1000\SOFTWARE\START PAGE|Start Page, http://rhereso.ru/?utm_source=startpage03&utm_content=713e2996e4962db00a4a509ec296c027, , [24909b28f8a241f5b7abe9eb59a959a7][/CODE]
Из следующих файлов мне известны все, но я их тоже удалил
[CODE]RiskWare.FilePatcher, C:\Program Files (x86)\FDRLab\save2pc\save2pc.5.xx.full.v2.0.multi.method-Cerberus.exe, , [e2d2f2d1900ad165a4fbd110837dae52],
Trojan.Downloader, C:\App\TC\Soft\-soft\AntiDust.exe, , [189c5d660f8b082e5ea602731de4c040],
RiskWare.DontStealOurSoftware, C:\App\TC\Soft\MBAM\AntiMalwarePortable.exe, , [1f95368d6c2e1b1bf22796ee14ed45bb],[/CODE]
В приложении лог.
Сообщите, что с проблемой?
[QUOTE=SQ;1415506]Сообщите, что с проблемой?[/QUOTE]
Проблема осталась. Соединения создаются. Порты из всего диапазона.
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
Полный образ автозапуска см. во вложении.
- Уточните пожалуйста следующее ПО No-IP сами ставили ?
- Проблема именно с указанным ПК или в сети есть еще какие-то устройства или ПК?
[QUOTE=SQ;1415698]- Уточните пожалуйста следующее ПО No-IP сами ставили ?
- Проблема именно с указанным ПК или в сети есть еще какие-то устройства или ПК?[/QUOTE]
- No-IP устанавливал сам, когда тестировал сервис динамического DNS ([URL="http://www.noip.com/"]http://www.noip.com/[/URL]). Эта программа уже не акутальна и я её удалю сейчас.
- Точно сказать не могу, но вероятность наличия проблемы на других ПК высокая.
В логах не вижу, что может создавать множественные подключения. Когда данный компьютер отключен проблемы с множественных подключений воспроизводиться?
В настоящее время есть исходящие соединения по всем портам.
Я не могу понять что это. Подскажите, пожалуйста, что делать дальше.
[QUOTE=cerberus;1417129]В настоящее время есть исходящие соединения по всем портам.[/QUOTE]
Покажите скрин, как Вы это видите?
Покажите например вывод по портам которые вы видите например для порта [B]123[/B]:
[CODE]netstat -anop tcp | findstr ":123"[/CODE]