Уже долгое время практически ежедневно происходит загрузка и запуск разных экзешников, после чисток трояны находятся, удаляются, и затем все повторяется. Месяц назад программы загружались скопом одновременно (различные Zaxar и Амиго в том числе), после удаления подозрительных задач из планировщика и установки др.веба стало порядка четырех запросов от брандмауэра в день из папки Temp; некоторые (как WinSnare) все равно устанавливаются, несмотря на защиту.
Уважаемый(ая) [B]mearcair[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Windows\Temp\DPTF\esif_assist_64.exe');
StopService('BangcarSU');
StopService('BirdjobSU');
StopService('FirefoxU');
StopService('PearhasSU');
StopService('ed2kidle');
DeleteService('BangcarSU');
DeleteService('BirdjobSU');
DeleteService('FirefoxU');
DeleteService('PearhasSU');
DeleteService('ed2kidle');
QuarantineFile('C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe','');
QuarantineFile('C:\Program Files (x86)\MIO\MIO.exe','');
QuarantineFile('C:\Program Files (x86)\amuleCexx\ed2k.exe','');
QuarantineFile('C:\ProgramData\Apple\Apps\config.dll','');
QuarantineFile('C:\ProgramData\RenewalService\Service.exe','');
QuarantineFile('C:\Users\RIOTTO~1\AppData\Local\Temp\1\BaofengUpdate_U.exe','');
QuarantineFile('C:\Users\RIOTTO~1\AppData\Local\Temp\3\BaofengUpdate_U.exe','');
QuarantineFile('C:\Users\riottoday\AppData\Roaming\WinSAPSvc\WinSAP.dll','');
QuarantineFile('C:\Users\riottoday\AppData\Roaming\WinSnare\WinSnare.dll','');
QuarantineFile('C:\Users\riottoday\AppData\Roaming\phoenix.engine.v01.212711\of.18.exe','');
QuarantineFile('C:\Users\riottoday\appdata\roaming\winsapsvc\winsap.dll','');
QuarantineFile('C:\Windows\Temp\DPTF\esif_assist_64.exe','');
QuarantineFile('uaclauncher.exe','');
DeleteFile('C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe','32');
DeleteFile('C:\Program Files (x86)\MIO\MIO.exe','32');
DeleteFile('C:\Program Files (x86)\amuleCexx\ed2k.exe','32');
DeleteFile('C:\ProgramData\Apple\Apps\config.dll','32');
DeleteFile('C:\ProgramData\RenewalService\Service.exe','32');
DeleteFile('C:\Users\RIOTTO~1\AppData\Local\Temp\1\BaofengUpdate_U.exe','32');
DeleteFile('C:\Users\RIOTTO~1\AppData\Local\Temp\3\BaofengUpdate_U.exe','32');
DeleteFile('C:\Users\riottoday\AppData\Roaming\WinSAPSvc\WinSAP.dll','32');
DeleteFile('C:\Users\riottoday\AppData\Roaming\WinSnare\WinSnare.dll','32');
DeleteFile('C:\Users\riottoday\appdata\roaming\winsapsvc\winsap.dll','32');
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Diagnosis\RenewalService" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
DeleteFile('C:\Windows\Temp\DPTF\esif_assist_64.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Apps_Cfg\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSAPSvc\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSnare\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
Cпасибо! Прикрепляю отчет:
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Повторные удаления ничего не дают:
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Спасибо, прикрепляю:
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [sun11] => [X]
ShellExecuteHooks: No Name - {02635D80-A738-11E6-8C1E-64006A5CFC23} - -> No File
Edge HomeButtonPage: HKU\S-1-5-21-3620156991-55537719-4232963076-1001 -> hxxp://www.startpageing123.com/?type=hp&ts=1487763059&z=228ef78921c07d2a1979be4g0zfb9mbm1q3c9g6o0g&from=ggg0221&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ
CHR HomePage: Profile 1 -> hxxp://www.funnysearching.com/
CHR StartupUrls: Profile 1 -> "hxxp://www.yoursearching.com/?type=hp&ts=1456171879&z=56b479506b8eb5caaadc1fbg0z9weq5g7m7g8b0b5g&from=free&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ","hxxp://www.yoursearching.com/?type=hp&ts=1457867608&z=9035c1ce347a1a4c4ecb4bbg6z8wdm7b5q9m2q1gdz&from=free&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ","hxxp://www.hohosearch.com/?mode=nnnb&ptid=fss&uid=B684CABE873688042107EF3EC4ED09D5&v=20160323&ts=AHEpCHQsCHQnBE..","hxxp://www.trotux.com/?z=82ad4bb2c278ca09cf64383gezfb7edcec7g6z8z8c&from=ftp&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ&type=hp","hxxp://mail.ru/cnt/7993/"
2016-05-24 14:29 - 2016-05-24 14:29 - 0000016 _____ () C:\ProgramData\mntemp
2016-05-24 14:29 - 2016-05-24 14:29 - 0004131 _____ () C:\ProgramData\rxsmznjf.z
2017-03-20 02:23 - 2017-03-20 02:23 - 0000000 ____D () C:\Users\riottoday\AppData\Local\Temp\NotificationController.dll
2017-03-20 02:23 - 2017-03-20 02:23 - 0000000 ____D () C:\Users\riottoday\AppData\Local\Temp\ntdll.dll
2017-03-20 02:23 - 2017-03-20 02:23 - 0000000 ____D () C:\Users\riottoday\AppData\Local\Temp\TwinUI.dll
HKLM\...\StartupApproved\Run: => "WINCOMQG1"
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Прикрепляю:
upd: на всякий добавил лог AdwCleaner
Сообщите, что с проблемой?
Adw показывает, что Хром заражен :с
лог:
Уточните пожалуйста, у Вас chrome синзронизирован?
Да, три устройства под одним профилем: проблемный ноут (вин10), стационарный пк (вин7) и андроид-смартфон.
Если отключить синхронизацию и удалить угрозу, проблема воспроивзодиться?
Спасибо! Удалено все, кроме одной угрозы:
Пробуйте удалить и приложить новые логи FRST.
Прикладываю
Сообщите, что с проблемой?
Синхронизация отключена, результаты все равно: [url]http://take.ms/z5KAA[/url]
Можно ли следующим сообщением прикрепить логи со второго зараженного устройства, или лучше создать отдельную тему?
[QUOTE=mearcair;1441940]Синхронизация отключена, результаты все равно: [url]http://take.ms/z5KAA[/url][/QUOTE]
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
[QUOTE=mearcair;1441940]
Можно ли следующим сообщением прикрепить логи со второго зараженного устройства, или лучше создать отдельную тему?[/QUOTE]
Создавайте новую тему.
Спасибо! Прикрепить не вышло, слишком большой файл, ссылка на гугл диск:
[url]https://drive.google.com/file/d/0BxK5R-5xkzeBeFp5Q3BrNm5VRlk/view?usp=sharing[/url]
[URL="http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
OFFSGNSAVE
BREG
delref HTTP://WWW.HOHOSEARCH.COM/?MODE=NNNB&PTID=FSS&UID=B684CABE873688042107EF3EC4ED09D5&V=20160323&TS=AHEPCHQSCHQNBE..
deltmp
restart[/CODE]
Пробуйте отключить все расширения и сообщите, если проблема воспроизводиться?
1) Выполнил скрипт в uVS; проверил adw - появился footper и favicon (startpaging) снова; очистил, перезагрузил - появился favicon.
2) Отключил расширения: очистил adw, перезагрузился - favicon снова. С отключенными расширениями выполнил скрипт в uVS, перезагрузился, favicon; очистил, перезагрузился - favicon.
То есть отключение расширений не помогло, проблема воспроизводится.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]
В точности по инструкции не получилось:
[URL="https://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL] все что Вам неизвестно.
Спасибо.
Удалил все (все найденное было чем-то левым), просканировал adwcleaner - есть угроза, лог прилагаю. Malwarebytes тут же повторным сканированием ничего не нашел.
Удалил в adwcleaner, перезагрузил, просканировал - снова появилось, лог прилагаю.
Приложите новый лог утилиты FRST.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\riottoday\appdata\roaming\winsapsvc\winsap.dll - [B]not-a-virus:AdWare.Win32.Agent.kdcm[/B][/LIST][/LIST]