Вирус создает в каждой папке ярлык MyMusic и ярлык папки в которой находиться. Оба ярлыка ссылаются на system32. Создаются во всех корневых папках и флешках.
Вирус создает в каждой папке ярлык MyMusic и ярлык папки в которой находиться. Оба ярлыка ссылаются на system32. Создаются во всех корневых папках и флешках.
Уважаемый(ая) [B]asanali1[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
Что из следующего Вам известно?
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 85.114.141.155:8000
O4 - HKCU\..\Run: [Google Chrome] C:\GoogleChrome\WindowsUpdate.lnk
O4 - User Startup: Run.lnk -> C:\Users\Асанали\AppData\Roaming\NsMiner\IMG001.exe[/CODE]
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\Асанали\AppData\Roaming\NsMiner\IMG001.exe','');
QuarantineFileF('C:\Users\Асанали\AppData\Roaming\NsMiner', '*.exe,*.dll,*.sys, *.pif', false,'', 0, 0);
QuarantineFile('C:\GoogleChrome\GoogleUpdate.lnk','');
QuarantineFile('C:\GoogleChrome\WindowsUpdate.lnk','');
QuarantineFile('C:\GoogleChrome\GoogleChrome.a3x','');
QuarantineFile('c:\program files (x86)\ncalayer\ncalayer.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
Привет вот лог. И еще этот вирус не только диск С заразил, а еще мой съемный жесткий диск. И другие разделы на втором жестком диске.
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Предоставляю отчет.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Предоставляю
Прокси-сервер сами прописывали?
[CODE]ProxyServer: [S-1-5-21-4008912447-1458340657-1267728842-1001] => 85.114.141.155:8000[/CODE]
Удалите через установку программ в панели управления:
[CODE]Driver Booster 3.3 (HKLM-x32\...\Driver Booster_is1) (Version: 3.3 - IObit)[/CODE]
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-4008912447-1458340657-1267728842-1001\...\Run: [Google Chrome] => C:\GoogleChrome\WindowsUpdate.lnk [796 2014-11-16] ()
HKU\S-1-5-21-4008912447-1458340657-1267728842-1001\...\Run: [AdopeUpdate] => C:\GoogleChrome\GoogleUpdate.lnk [692 2014-11-16] ()
HKU\S-1-5-21-4008912447-1458340657-1267728842-1001\...\Run: [AdopeFlash] => C:\GoogleChrome\GoogleChrome.exe [750320 2012-01-30] (AutoIt Team)
IFEO\CNC3.exe: [Debugger]
IFEO\CNC3EP1.exe: [Debugger]
IFEO\generals.exe: [Debugger]
IFEO\RA3.exe: [Debugger]
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => -> No File
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} => -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} => -> No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Folder: C:\Users\Асанали\AppData\Roaming\NsMiner
2017-02-27 22:56 - 2017-03-08 19:01 - 00000000 ____D C:\Users\Асанали\AppData\Roaming\NsMiner
Folder: C:\GoogleChrome
2016-08-22 21:56 - 2016-08-22 21:56 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
Task: {1BB43394-15D7-423A-A2AA-33B4F2CEECE8} - \Auslogics\BoostSpeed\Start BoostSpeed оn Асанали logon -> No File <==== ATTENTION
Task: {85DDE25A-C1C1-4095-B344-156F87977F90} - System32\Tasks\Driver Booster Scheduler => C:\Program Files (x86)\IObit\Driver Booster\Scheduler.exe [2016-04-15] (IObit)
Task: {A243A7F7-E68C-4D03-982F-748828C46D1A} - \Обновление Браузера Яндекс -> No File <==== ATTENTION
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Вот лог. Прокси мои кажется.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]
Здравствуйте! Вот предоставляю лог. Еще хотел сказать, с хочу переустановить виндовс. Поможет ли это? Из идей было зайти в безопасный режим все эти ярлыки удалить. И переустановить виндовс. Как быть?
[URL="https://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]Worm.Rowmanti, C:\GOOGLECHROME, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\MOZILLAFIREFOX, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\GOOGLECHROME\GOOGLECHROME.A3X, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\GoogleChrome.exe, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\GoogleChrome.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\GoogleUpdate.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\MozillaFirefox.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\My Music.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\GoogleChrome\WindowsUpdate.lnk, Проигнорировано пользователем, [2401], [352649],1.0.1622
Worm.Rowmanti, C:\MOZILLAFIREFOX\GOOGLECHROME.A3X, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\GoogleChrome.exe, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\GoogleChrome.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\GoogleUpdate.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\MozillaFirefox.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\My Music.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622
Worm.Rowmanti, C:\MozillaFirefox\WindowsUpdate.lnk, Проигнорировано пользователем, [2401], [352648],1.0.1622[/CODE]
Выполнил! Проблема не исчезла.
Закройте расшаренные папки, это червь распространятеся по сети и приложите новыу логи утилиты FRST.
Вот
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
Zip: C:\ProgramData\ProgramData.lnk;C:\ProgramData\My Music.lnk;C:\MozillaFirefox;C:\GoogleChrome
2017-03-31 22:50 - 2017-03-31 22:50 - 00000000 _RSHD C:\MozillaFirefox
2017-03-31 22:49 - 2017-03-31 22:49 - 00000000 _RSHD C:\GoogleChrome
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\Users\Все пользователи\ProgramData.lnk
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\Users\Все пользователи\My Music.lnk
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\ProgramData\ProgramData.lnk
2017-03-31 22:50 - 2017-01-30 23:00 - 00001046 _____ C:\ProgramData\My Music.lnk
Task: {9E319307-CBF4-4686-8F8F-AFBE48AA3492} - System32\Tasks\Driver Booster SkipUAC (Асанали) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
После перегрузки на рабочем столе появиться архив вида [B]<дата>-<время>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Логи и карантин загрузил
- Покажите лог [URL="http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.exe"]TDSSKiller[/URL]
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
Вот.
Удалите MBAM через установку программ в панели управления.
Скачайте утилиты [URL="http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe"]KVRT[/URL] и проверьте ПК на остатки червя.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\асанали\appdata\roaming\nsminer\nscpucnminer32.exe - [B]Trojan.Win32.Miner.ays[/B] ( DrWEB: Tool.BtcMine.431, BitDefender: Trojan.AgentWDCR.ERF )[*] \googlechrome\googlechrome.a3x - [B]Worm.Win32.AutoIt.ake[/B] ( DrWEB: Trojan.AutoIt.152, AVAST4: Other:Malware-gen [Trj] )[*] \googlechrome\googlechrome.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \googlechrome\googleupdate.lnk - [B]Trojan.WinLNK.Agent.gj[/B][*] \googlechrome\mozillafirefox.lnk - [B]Trojan.WinLNK.Agent.ja[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \googlechrome\my music.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \googlechrome\windowsupdate.lnk - [B]Worm.WinLNK.Agent.g[/B][*] \mozillafirefox\googlechrome.a3x - [B]Worm.Win32.AutoIt.ake[/B] ( DrWEB: Trojan.AutoIt.152, AVAST4: Other:Malware-gen [Trj] )[*] \mozillafirefox\googlechrome.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \mozillafirefox\googleupdate.lnk - [B]Trojan.WinLNK.Agent.gj[/B][*] \mozillafirefox\mozillafirefox.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \mozillafirefox\my music.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \mozillafirefox\windowsupdate.lnk - [B]Worm.WinLNK.Agent.g[/B][*] \my music.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[*] \programdata.lnk - [B]Trojan.WinLNK.Agent.jp[/B] ( DrWEB: Trojan.AutoIt.152 )[/LIST][/LIST]