Printable View
Добрый день! Имеется компьютерная сеть, доступ у компьютеров имеется только к 2-3 сайтам. В последнее время начал беспокоить вирус win32.wanna.a. Обновление безопасности, которое microsoft выпускало для защиты от wanna cry установлено на всех компьютерах. После очисти утилитой KVRT, вирус восстанавливается через неделю-две. Лог файл во вложении.
Уважаемый(ая) [B]maksim.r[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
SetServiceStart('mssecsvc2.0', 4);
DeleteService('mssecsvc2.0');
TerminateProcessByName('c:\windows\mssecsvc.exe');
QuarantineFile('c:\windows\mssecsvc.exe','');
DeleteFile('c:\windows\mssecsvc.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.
[B][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи [/color][/B]
Добрый день. Новые логи во вложении
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
При попытке открытия приложения появляется сообщение "не является приложением win32"
Обе версии вываливаются с ошибкой?
да, обе
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
При попытке открытия установочного файла появляется сообщение "Прекращена работа программы Malwarebytes"
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
Если не запустится, пробуйте файл startF.exe.
Образ автозапуска во вложении
[QUOTE](!) START.EXE заражен неизвестным вирусом! Внесите сигнатуру вируса в базу.[/QUOTE]
Файловое заражение.
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.0.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
zoo %Sys32%\TASKMGR.EXE
zoo %Sys32%\SC.EXE
zoo %Sys32%\CMD.EXE
czoo
delref %SystemDrive%\USERS\TERLPU\APPDATA\LOCAL\GOOGLE\CHROME\APPLICATION\48.0.2564.103\RESOURCES\BOOKMARK_MANAGER\BOOKMARK MANAGER
apply[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Лечитесь как указано в этой теме: [url=http://virusinfo.info/showthread.php?t=15927]Как лечить файловый вирус?[/url], потом сделайте новые логи.
Предпочтительнее с LiveCD/LiveUSB, созданном на другом, чистом компьютере
При попытке сформировать архив zoo, в uVS отобразилось в логе сообщение о том, что не удалось запустить 7za, т.к. не является приложением win32. Создалась новая папка "ZOO" я ее заархивировал и отправил как карантин.
Похоже на свежую модификацию Virut, пошлю в вирлабы. Пока пролечиться не получится.
Новые логи во вложении
Выполните в AVZ скрипт:[CODE]begin
ClearQuarantine;
QuarantineFile('c:\program files\zend\apache2\bin\apachemonitor.exe','');
QuarantineFile('c:\autologger (1)\autologger\avz\avz.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Проведите [URL="https://virusinfo.info/showthread.php?t=128125"]эту процедуру[/URL], ссылку на результат укажите в теме.
Ссылка на результат: [url]https://virusinfo.info/virusdetector/report.php?md5=34F61C2CD48B1AFA5AE6A4DCEEBD6B1A[/url]
Попробуйте пролечиться с [URL="https://support.kaspersky.ru/4162"]Kaspersky Rescue Disk[/URL], созданным на чистом компьютере.
Результат напишите.
Пока работает нормально все. Есть советы как недопустить повторного заражения? Возможно какие порты закрыть или еще чего
Беда в том, что пока до конца не ясна суть происходящего. По симптомам очень похоже на файловое заражение: множество изменённых системных файлов, утилиты UVS и AVZ предупреждают после запуска, что изменены. Но на все отосланные карантины ответ вирлабов один - вирусы не обнаружены.
Возможно, что-то хулиганит по сети.
Скачайте заново во ссылке Universal Virus Sniffer и выполните такой скрипт:[CODE];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
Exec wevtutil.exe epl System system.evtx
Exec wevtutil.exe epl Application Application.evtx
Exec wevtutil.exe epl Security Security.evtx
Exec pack\7za.exe a -t7z -sdel -mx9 -m0=ppmd:o=32:mem=512m Events.7z *.evtx[/CODE]
В папке с UVS появится архив [B]Events.7z[/B], загрузите его на облачное хранилище или rghost.ru и дайте ссылку в теме.
Скрипт не выполнялся, до тех пор пока не удалил первую строчку. Events.7z не создался
Тогда файлы system.evtx, Application.evtx, Security.evtx, если есть в папке с UVS, упакуйте сами в архив и выложите. И свежий лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите к своему сообщению.
Ссылка на архив с файлами system.evtx, Application.evtx, Security.evtx [url]https://yadi.sk/d/LuaZPB1X3MNcjh[/url]
Лог во вложении
Журналы системы ясности не прибавили, к сожалению. Последовательность событий 14.08 такова:
14.08.2017 лечили систему сначала KVRT, затем выполняли скрипт в AVZ. А после этого, в 11:10, произошла подмена части системных файлов на патченные, то что я принял за файловое заражение - уж очень похоже. Но это что-то другое, часть файлов изменена и не запускается, сигнатуры разные.
Скачайте обновлённый архив с Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL], сделайте новый полный образ автозапуска uVS, загрузите в облачное хранилище и дайте ссылку.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]