Eset Endpoint Antivirus 6.3 после каждой перезагрузки находит вирус MSIL/Adware.Safesurf.AD в папке c:\windows\syswow64\radiance\Sandbox\Local\stubexe\0x03872486F79B89BF\safesurf.exe, и предлагает лечить с перезагрузкой. И так по кругу. В автозапуске чисто
Уважаемый(ая) [B]kent8[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Windows\SysWOW64\Resident\fsproflt2.exe');
TerminateProcessByName('c:\windows\syswow64\radiance\wizard.exe');
TerminateProcessByName('c:\windows\syswow64\radiance\waspwing.exe');
TerminateProcessByName('c:\windows\syswow64\radiance\wasp.exe');
TerminateProcessByName('C:\Windows\SysWOW64\Radiance\wahiver64.exe');
QuarantineFile('C:\Windows\SysWOW64\Radiance\ssleay32.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\MSVCR71.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\libglesv2.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\libegl.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\libeay32.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\libcef.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\icudt.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\ffmpegsumo.dll','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\D3DCompiler_46.dll','');
QuarantineFile('c:\windows\syswow64\radiance\wizard.exe','');
QuarantineFile('c:\windows\syswow64\radiance\waspwing.exe','');
QuarantineFile('c:\windows\syswow64\radiance\wasp.exe','');
QuarantineFile('C:\Windows\SysWOW64\Radiance\wahiver64.exe','');
QuarantineFile('C:\Windows\SysWOW64\Resident\fsproflt2.exe','');
QuarantineFileF('C:\Windows\SysWOW64\Resident', '*.exe,*.dll,*.sys, *.pif', false,'', 0, 0);
QuarantineFileF('C:\Windows\SysWOW64\Radiance', '*.exe,*.dll,*.sys, *.pif', false,'', 0, 0);
BC_ImportQuarantineList;
BC_Activate;
end.
[/CODE]
После выполнения скрипта перезагрузите сервер вручную.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Приложите новые логи по правилам.
После перезагрузки повторилось то-же самое.
Не могу прислать карантин по ссылке вверху.
[QUOTE]Ошибка загрузки. Данный файл уже был загружен.[/QUOTE]
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
Только запускайте UVs пожалуйста под учетной записью [B]LocalSystem[/B].
P.S. Убедитесь, чтобы у учетных записей на сервере не было пустых паролей.
Сделал...
[URL="http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
OFFSGNSAVE
BREG
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\WINDOWS\TEMPLATES\NOADM\ST.EXE
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\PICTURES\DONTSLEEP.EXE
zoo %SystemRoot%\SYSWOW64\RADIANCE\SQLITE3-64.DLL
zoo %SystemRoot%\SYSWOW64\RADIANCE\WAHIVER64.EXE
zoo %SystemRoot%\SYSWOW64\RADIANCE\WIZARD.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\FSPROFLT2.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\REMINDER.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\UPDATER.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WAHIVER.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WAHIVER64.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WASP.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WASPWING.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WIZARD.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\SURFING.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\SAFESURF.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\SURFGUARD.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\CG.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\JET.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\PLUGIN-CONTAINER.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\PLUGIN-HANG-UI.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WMIC.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\WMIC.EXE.EXE
zoo %SystemRoot%\SYSWOW64\RESIDENT\RESIDENT_X64.DLL
[/CODE]
По окончанию перегрузите сервер.
P.S. Перед запуском закройте и сохраните все открытые приложения.
Сделал...Загрузил архив ZOO по ссылке выше...Проблема осталась.
ESET
[SPOILER]Время;Модуль сканирования;Тип объекта;Oбъeкт;Bиpуc;Дeйcтвиe;Пoльзoвaтeль;Информация;Хэш;Первое появление здесь
13.01.2017 7:06:10;Модуль сканирования по требованию;файл;Оперативная память = C:\Windows\SysWOW64\Radiance\Sandbox\local\stubexe\0x03872486F79B89BF\safesurf.exe;модифицированный MSIL/Adware.SafeSurf.AD приложение;очищен (после следующего перезапуска);;;E98BB01FB12DD67BDC09E26A14629B88448FC750;[/SPOILER]
На данном этапе, анализировали файлы, без удаления.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Сделал
Выполните следующий фикс в безопасном режиме!
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Windows\SysWOW64\fsproflt2.exe
Folder: C:\Windows\SysWOW64\RESIDENT
Folder: C:\Windows\SysWOW64\RADIANCE
Folder: C:\Windows\SysWOW64\Radiance\Sandbox\local\stubexe\0x03872486F79B89BF
Folder: C:\Windows\SysWOW64\Radiance\Sandbox\local\stubexe
2017-01-12 06:55 - 2016-12-05 10:38 - 00000000 ____D C:\Users\Администратор\AppData\Local\Temp\~nsuA.tmp
2017-01-11 07:31 - 2016-06-25 11:26 - 00031832 _____ C:\Users\Администратор\AppData\Local\Temp\Администратор.bmp
Task: {27E3B6E4-3953-445D-8440-01E0E53979D2} - \Microsoft\Windows\Location\GoogleUpdateCore -> No File <==== ATTENTION
Task: {496CDD48-644A-4C94-9F82-6E0C5BDC0FD0} - \Microsoft\Windows\Location\GoogleUpdateTask -> No File <==== ATTENTION
Task: {CE706291-A2F2-43A7-8A85-7CFDAE1286B4} - \Microsoft\Windows\Location\Scheduled -> No File <==== ATTENTION
AlternateDataStreams: C:\Windows:Active.txt [13]
AlternateDataStreams: C:\Windows\Temp:Account.txt [0]
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что сервер возможно будет [b]перезагружен[/b].[/LIST]
Сделал. Пока все нормально...Спасибо!
Пробуйте зачистить каталоги в нормальном режиме и сообщите результат.
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CloseProcesses:
C:\Windows\SysWOW64\RESIDENT
C:\Windows\SysWOW64\RADIANCE
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что сервер возможно будет [b]перезагружен[/b].[/LIST]
Сделал
Что-то держит еще каталог:
[QUOTE]Result of scheduled files to move (Boot Mode: Normal) (Date&Time: 13-01-2017 21:05:03)
"C:\Windows\SysWOW64\RESIDENT" => Could not move[/QUOTE]
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте [B]новый[/B] полный образ автозапуска uVS[/url].
Сделал
Проверьте если существует каталог:
[CODE]C:\Windows\SysWOW64\RESIDENT[/CODE]
Получается папка есть, но скрыта полностью, не отображается не в тотал командере, не в проводнике(везде установлено - отобр скрыт файлы и папки). Видна только если в адресной строке командера ввести C:\Windows\SysWOW64\RESIDENT и, как я вижу, она пустая....
Пробуйте в безопасном режиме профиксить ее:
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CloseProcesses:
Folder: C:\Windows\SysWOW64\RESIDENT
C:\Windows\SysWOW64\RESIDENT
Folder: C:\Windows\SysWOW64\RADIANCE
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что сервер возможно будет [b]перезагружен[/b].[/LIST]
Сделал
- Покажите лог [URL="http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.exe"]TDSSKiller[/URL]
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
Сделал
[B]Только в случае, если Вам неизвестны следующие каталоги[/B] (т.к. восстановление их будет не возможна):
[CODE]C:\Windows\SYSWOW64\RADIANCE
C:\Windows\SYSWOW64\RESIDENT[/CODE]
выполняйте инструкции по очистки под [B]системной[/B] учетной записью в UVs.
[URL="http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
breg
DIRZOOEX %SystemRoot%\SYSWOW64\RADIANCE
DIRZOOEX %SystemRoot%\SYSWOW64\RESIDENT
DELDIREX %SystemRoot%\SYSWOW64\RADIANCE
DELDIREX %SystemRoot%\SYSWOW64\RESIDENT
DELDIR %SystemRoot%\SYSWOW64\RADIANCE
DELDIR %SystemRoot%\SYSWOW64\RESIDENT[/CODE]
По завершению перегрузите сервер вручную.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[B]
Важно если Вы используете песочницу на сервере, [/B]не в коем случае не выполняйте скрипт uVS.
Покажите пожалуйста скрин песочнице, если Вы используете на сервере.
Сделал. Каталоги мне не известны. Тем более, что скрытые. Песочницу не использую. После выполнения и перезагрузки, каталог Resident продолжает откр-ся при вводе в адр строку командера...В принципе антивирус молчит...
Уточните пожалуйста у Вас используется антивирус Eset для серверной платформы?
Нет, просто корпоративный, для раб станций.
Желательно не использовать антивирус для рабочих станции на серверной платформе.
Утром поправил на ESET File Security.
Лог верхнего скрипта без антивируса(после удаления)
Сообщите, что с проблемой?
Проблем нет. Надеюсь. Спасибо.
Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].
Удалите папку C:\FRST со всем содержимым.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
Удачи!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \zoo\st.exe._d37609d49635dc8994466fb3dec107668abda219 - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][/LIST][/LIST]