msime.exe [Rootkit.Win64.Xkit.ab ]

Printable View

23.02.2018, 19:00
serevan

Вложений: 1

msime.exe [Rootkit.Win64.Xkit.ab ]

Добрый день, дня 2-3 назад обнаружил данный процесс, грузит проц на 30 процентов, пробовал cureit drweb - майнер удалялся, но после ребута - восстанавливалось всё.
Из того что нагуглил - GridinSoft Anti-Malware, так же не помогло. Блокирует просто процесс, но не убивает
Архив прикрепил с логами
23.02.2018, 19:03
Info_bot

Уважаемый(ая) [B]serevan[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
23.02.2018, 21:05
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\ShareX\ShareX.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winmon.sys','');
SetServiceStart('ipmshjrs', 4);
DeleteService('ipmshjrs');
QuarantineFile('C:\Windows\system32\drivers\ixhrolrt.sys','');
TerminateProcessByName('C:\Windows\msime.exe.quarantined');
QuarantineFile('C:\Windows\msime.exe.quarantined','');
DeleteFile('C:\Windows\msime.exe.quarantined','32');
DeleteFile('C:\Windows\system32\drivers\ixhrolrt.sys','32');
DeleteFile('C:\Windows\winstart.bat','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]
23.02.2018, 21:37
serevan

Вложений: 1

вот что вышло
24.02.2018, 07:56
thyrex

А теперь сравните, что Вы присылали в первом сообщении, с тем, что прислали сейчас.
24.02.2018, 11:55
serevan

Вложений: 2

[QUOTE=thyrex;1476277]А теперь сравните, что Вы присылали в первом сообщении, с тем, что прислали сейчас.[/QUOTE]

Прошу прощения, вот новый лог. Появилась новая проблема после скана - начало вылазить такое окно и ребутить ноут. Плюс ко всему, при старте - очень сильно шумит куллер
24.02.2018, 12:07
thyrex

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
24.02.2018, 12:25
serevan

Вложений: 1

[QUOTE=thyrex;1476294]Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.[/QUOTE]

прикрепил
24.02.2018, 13:34
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
R5 ipmshjrs; <==== ATTENTION: Locked Service
2018-02-20 21:27 - 2018-02-21 21:27 - 000000000 ____D C:\Users\pc\AppData\Local\psydzBkLcVMgYNLUm
2018-02-20 13:13 - 2018-02-20 13:13 - 000072280 _____ C:\Windows\system32\Drivers\ixhrolrt.sys
Task: {C21756E2-AA45-4D11-A028-002F7794130D} - \Microsoft\Windows\UNP\RunCampaignManager -> No File <==== ATTENTION
Task: {FAFC17D6-C228-4D69-8A50-B62E2260818A} - \Safer-Networking\Spybot Anti-Beacon\Refresh Anti-Beacon immunization -> No File <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\825C52BD.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\825C52BD.sys => ""="Driver"
FirewallRules: [{7C459EE0-7007-4398-9734-8DE5D767FD6C}] => (Allow) C:\WINDOWS\SysWOW64\vUayyyheBNNn.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]
24.02.2018, 14:09
serevan

Вложений: 1

[QUOTE=thyrex;1476309]1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
R5 ipmshjrs; <==== ATTENTION: Locked Service
2018-02-20 21:27 - 2018-02-21 21:27 - 000000000 ____D C:\Users\pc\AppData\Local\psydzBkLcVMgYNLUm
2018-02-20 13:13 - 2018-02-20 13:13 - 000072280 _____ C:\Windows\system32\Drivers\ixhrolrt.sys
Task: {C21756E2-AA45-4D11-A028-002F7794130D} - \Microsoft\Windows\UNP\RunCampaignManager -> No File <==== ATTENTION
Task: {FAFC17D6-C228-4D69-8A50-B62E2260818A} - \Safer-Networking\Spybot Anti-Beacon\Refresh Anti-Beacon immunization -> No File <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\825C52BD.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\825C52BD.sys => ""="Driver"
FirewallRules: [{7C459EE0-7007-4398-9734-8DE5D767FD6C}] => (Allow) C:\WINDOWS\SysWOW64\vUayyyheBNNn.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list][/QUOTE]

Есть
24.02.2018, 15:16
thyrex

Сделайте лог [url="http://support.kaspersky.ru/5350"]TDSSkiller[/url]
24.02.2018, 15:37
serevan

Вложений: 1

[QUOTE=thyrex;1476333]Сделайте лог [url="http://support.kaspersky.ru/5350"]TDSSkiller[/url][/QUOTE]

Есть
24.02.2018, 15:46
mike 1

[list][*]Найдите в корне системного диска (обычно это диск [i]C:[/i]) папку [b][i]TDSSkiller_Quarantine[/i][/b];[*]Запакуйте эту папку в [U]zip архив[/U] с паролем "[B]virus[/B]";[*]Полученный архив отправьте по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы[/LIST]
24.02.2018, 16:14
serevan

Вложений: 1

[QUOTE=mike 1;1476338][list][*]Найдите в корне системного диска (обычно это диск [i]C:[/i]) папку [b][i]TDSSkiller_Quarantine[/i][/b];[*]Запакуйте эту папку в [U]zip архив[/U] с паролем "[B]virus[/B]";[*]Полученный архив отправьте по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы[/LIST][/QUOTE]

Есть

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Если это как то поможет - мой антивирь видит эти вири [ATTACH=CONFIG]669613[/ATTACH]
но справиться с ними не может
24.02.2018, 19:01
thyrex

Теперь сделайте новые логи по правилам
24.02.2018, 19:17
serevan

[QUOTE=thyrex;1476368]Теперь сделайте новые логи по правилам[/QUOTE]

с помощью AVZ?
24.02.2018, 20:03
Vvvyg

Autologger'а.
24.02.2018, 23:24
serevan

Вложений: 1

[QUOTE=thyrex;1476368]Теперь сделайте новые логи по правилам[/QUOTE]
Готово
24.02.2018, 23:53
Vvvyg

Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\Users\pc\Favorites\Links\Интернет.url" -> hxxp://khovymush.ru/?utm_source=favorites03&utm_content=0364b03b136a2336e4308b0954d7096a&utm_term=E51318810FBE67F646BB504478AB6D64&utm_d=20170330[/CODE]
Отчёт о работе прикрепите.

Файл[CODE]C:\Windows\msime.exe[/CODE]существует? Если да - удалите его.
25.02.2018, 15:31
serevan

Вложений: 1

Вроде удалилось всё
25.02.2018, 23:02
Vvvyg

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.
26.02.2018, 11:14
serevan

Вложений: 1

сделано
26.02.2018, 21:30
Vvvyg

Обновите:[QUOTE]Oracle VM VirtualBox 4.1.4 v.4.1.4 [color=red][b]Внимание! [url=https://www.virtualbox.org/wiki/Downloads]Скачать обновления[/url][/b][/color]
OpenOffice 4.1.3 v.4.13.9783 [color=red][b]Внимание! [url=https://www.openoffice.org/download/index.html]Скачать обновления[/url][/b][/color][/QUOTE]В остальном порядок.
26.02.2018, 21:40
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\msime.exe.quarantined - [B]not-a-virus:HEUR:RiskTool.Win32.BitMiner.gen[/B][*] \tdsskiller_quarantine\24.02.2018_14.33.45\uds0000\svc0000\tsk0000.dta - [B]Rootkit.Win64.Xkit.ab[/B][/LIST][/LIST]