Printable View
Добрый день. Windows Defender постоянно жалуется на файл ssdp32.dll в папке C:/Windows/SysWOW64 говоря что это Trojan:Win32/Tiggre!rfn. Удаляя этот файл, после перезагрузки он снова создаётся. Проверялся Malwarebytes, он говорит что это trojan.malpack.gen. Откуда он берется и как его лечить?
ps: В диспетчере задач нашел, что его запускает/создаёт(?) процесс rundll32.exe. Откуда там эта строка могла взяться?
[ATTACH=CONFIG]675325[/ATTACH]
Уважаемый(ая) [B]ququshka[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RebootWindows(false);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
Сделано. И почему сайт стал неожиданно не защищенным.[ATTACH=CONFIG]675338[/ATTACH]
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Хочу заметить, что WinDefender периодически этот файл удаляет, поэтому программы выше могут его не находить.
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
File: C:\Users\a1m\AppData\Local\Vivaldi\Application\update_notifier.exe
File: C:\Windows\System32\Drivers\PROCMON24.sys
File: C:\WINDOWS\System32\drivers\sshid.sys
R2 WinDHCP; C:\WINDOWS\system32\WinDHCP.dll [2396672 2018-04-12] (Microsoft Corporation) [File not signed]
NETSVC: Win -> no filepath.
Zip: C:\Windows\System32\WMCODECS.DLL;C:\Windows\System32\DAVAPI.DLL;C:\Windows\System32\WINDHCP.DLL
2018-12-03 00:53 - 2018-12-03 00:53 - 000000000 ____D C:\Users\a1m\AppData\Roaming\Process Hacker 2
AlternateDataStreams: C:\Users\a1m\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [362]
AlternateDataStreams: C:\Users\a1m\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [362]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [476]
2018-12-02 17:56 - 2018-12-02 17:56 - 000000180 _____ () C:\Users\a1m\AppData\Local\Temp\00e481b5e22dbe1f649fcddd505d3eb7.dll
2018-12-02 17:56 - 2018-12-02 17:56 - 000000017 _____ () C:\Users\a1m\AppData\Local\Temp\233cc34979c789f818f686152b2e23e9.dll
File: C:\Windows\SysWOW64\ssdp32.dll
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
На рабочем столе образуется карантин вида [B]<date>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Не даёт загрузить через карантин, пишет 413 Request Entity Too Large. Размер зипа 51мб.
Могли бы разместить его пожалуйста на какое-то файловое хранилище, например yandex-диск? И отправить мне ссылку в ЛС (личным сообщением)
Отправил Вам в ЛС.
Спасибо, отправил в Вир.лаб. похоже, что это вредоносное ПО. Уточните пожалуйста если проблема проявляется?
приложите новый лог uVS.
Проявляется. Есть предположение, что я через UAC дал доступ этому вирусу. Где можно посмотреть приложения которым давал доступ?
uVS: [url]https://yadi.sk/d/_IVEgU_CsnMmzw[/url] (через вложения не осталось места)
[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.1.2 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
hide D:\STEAM\STEAMAPPS\COMMON\PUBG\TSLGAME\BINARIES\WIN64\TSLGAME.EXE
zoo %Sys32%\WMCODECS.DLL
addsgn BA652BBE5D22C5062FC4F9F9E724324CAE72772CC171EEFB7FC2B0B9B839764C235B4890B586D5C2E5C80FC36226017109FBD03AD61E9073C4005AD038CAEEBF 58 Trojan.MulDrop8.59406 [DrWeb] 7
zoo %Sys32%\DAVAPI.DLL
addsgn A4BC2472546A4C72C78CE638A780EDC56DA7FCB6AEFA5755119FBCB518D3FA105A1E436CF220848F28803F9F56164992E89EAF663D177CD16724F4C7CB062273 18 Trojan.Win64.TbMA.h [Kaspersky] 7
zoo %Sys32%\WINDHCP.DLL
addsgn A4BC2472546A4C72C78CE638A780EDC56DA7FC46AAFA5755119FAFBB18D3FA104910436CF220848F28803F9F56164992BA68154F3D3A78CC4D24F4C7CB062273 18 Trojan.Win64.TbMA.h [Kaspersky] 7
chklst
delvir
czoo
restart[/CODE]
Выполнил. Буду смотреть. файл ssdp32.dll остался - стоит его самостоятельно удалить?
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Пожалуйста не прикрепляйте карантин к сообщениям, приложите только лог выполнения файл с расширением log последний по дате.
Если недостаточно место, то удалите старые вложения Мой кабинет => Вложения
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Пришел ответ от Вир. лаб. по двум из трех файлов предыдущему карантину:
[CODE]Новое вредоносное ПО было найдено:
davapi.dll - [B]Trojan.Win32.Agentb.jhvh[/B]
Этот файл ранее уже был известен:
WinDHCP.dll - [B]Trojan.Win64.TbMA.h[/B][/CODE]
P.S. по третьему файлы из карантина ожидайте в ближайщие часы.
Лог uVS
Сообщите, что с проблемой?
Я сейчас на выезде, как буду дома обязательно отпишусь
Проблема всё еще проявляется, ssdp32.dll
Приложите пожалуйста новый лог uVS.
Лог uVS
Файл ssdp32.dll неактивен и не представляет опасности, возьмём в карантин и зачистим.
Пожалуйста, скачайте ещё раз UVS по той же ссылке [url]https://yadi.sk/d/6A65LkI1WEuqC[/url] и выполните в нём скрипт:[CODE];uVS v4.1.2 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
deltmp
zoo %Sys32%\ssdp32.dll
delall %Sys32%\ssdp32.dll
delref %Sys32%\WINDHCP.DLL
delref %SystemDrive%\USERS\A1M\APPDATA\LOCAL\VIVALDI\APPLICATION\UPDATE_NOTIFIER.EXE
deltsk %SystemDrive%\USERS\A1M\APPDATA\LOCAL\TEMP\WCT5F69.TMP
apply
czoo[/CODE]В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
И ознакомьтесь: [URL="https://steamcommunity.com/app/70/discussions/0/1698293255134657770/"]Malware HL Server maskit.ru CS1.6 Knife 37.143.12.3:4068[/URL]
Неожиданно uVS начал выдавать ошибку 225 и определять программу как вирус
[ATTACH=CONFIG]675417[/ATTACH]
UPD: разрешил доступ, выполнил скрипт, ZOO архива не появилось, только лог
Если файл ssdp32.dll остался - удалите его вручную, ми всё на этом.
Спасибо. Вирус перестал появляться.