Помогите удалить MEM:Trojan/Win32.SEPEH.gen

Kaspersky Endpoint Security 10 нашел MEM:Trojan/Win32.SEPEH.gen. Предлагает лечить с перезагрузкой. После перезагрузки снова находит.Расположение System Memory.Сканировал Kaspersky Virus Removal Tool (находит предлагает тоже как KES 10 лечить с перезагрузкой. Но не получается), Dr.Web CureIt!.Установленный антивирус Kaspersky Endpoint Security 10.2.6.6733 (mr3.mr4).

Уважаемый(ая) [B]CRASH_vs[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.

Выкладываю отчеты

1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
SearchScopes: HKU\S-1-5-21-682003330-1177238915-1606980848-1005 -> {35CABC1C-ABF5-4CBE-8736-46DDBF522E13} URL = hxxp://iskalko.ru/browser.php?t=3&m=nalog_1&s={searchTerms}
Toolbar: HKU\S-1-5-21-682003330-1177238915-1606980848-1005 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
CHR HKLM\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
Task: C:\WINDOWS\Tasks\MailRuUpdateTask.job => C:\Documents and Settings\user\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe/scheduler C:\Documents and Settings\user\Local Settings\Application Data\Mail.Ruu <==== ATTENTION
Task: C:\WINDOWS\Tasks\Уведомление о завершении поддержки Microsoft Windows XP ежемесячно.job => C:\WINDOWS\system32\xp_eos.exe
Task: C:\WINDOWS\Tasks\Уведомлением о завершении поддержки Microsoft Windows XP при входе.job => C:\WINDOWS\system32\xp_eos.exe
WMI:subscription\__FilterToConsumerBinding->\\.\root\subscription:MSFT_UCScenarioControl.Name=\"Microsoft WMI Updating Consumer Scenario Control\"",Filter="\\.\root\subscription:__EventFilter.Name=\"Microsoft WMI Updating Consumer Scenario Control\":
WMI:subscription\__EventFilter->Microsoft WMI Updating Consumer Scenario Control:
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Вот

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Ничего не изменилось.

Очистите отчеты антивируса с найденными угрозами, запустите проверку антивируса и сообщите результат.

Результат тот же находит и KVRT и KES10

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

В KES Полная проверка проходит ничего не находит. Проверка важных областей находит.

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].

Сделал файл тут [url]https://yadi.sk/d/UpTQmVgApTVhtQ[/url]

Уточните пожалуйста, как часто устанавливаете обновления Windows Update? Также уточните пожалуйста, устанавливали ли[URL="https://docs.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010"] исправление устраняющее уязвимость SMB[/URL]?

Если временно закрыть все входящие подключения протокола SMB (139, 445) в Windows Firewall проблема проявляется?

Компьютер достался недавно с отключенными обновлениями. Накатил обновления которые есть. По вашей ссылке не нашел для ХР. установил MS16-114 для SMBv1. Находит вирус при проверке важных областей (при отключенном сетевом кабеле) или когда пк просто работает может выскочить окно с найденным вирусом. Лечение с перезагрузкой не помогает. [url]https://yadi.sk/i/593DHlFK0xYlww[/url]

Уточните пожалуйста, если в firewall вашего антивируса временно закрыть входящие порты SMB (139, 445) проблема проявляется?

Если проблема будет проявляться, могли бы включить трейсы антивируса и выполнить проверку на вирусы заново, далле отключить трейсы и приложить в следующем сообщение в архиве zip.

Также могли бы приложить новые логи утилиты FRST.

[url]https://yadi.sk/i/58-M613xTxUgmQ[/url] [url]https://yadi.sk/i/58-M613xTxUgmQ[/url] Правильно закрыл входящие порты ?

К сожалению плохо видно.

[url]https://yadi.sk/i/X_MBMcRQbLdekg[/url] [url]https://yadi.sk/i/usgWk7IqrojIJw[/url] переделал

Похоже, что так, уточните пожалуйста проявляется проблема?

Покажите пожалуйста результат следующей команды в командной строке (cmd)
[CODE]net share[/CODE]

Командная строка [url]https://yadi.sk/i/w_C8OLj_fXxuiQ[/url] . При просто включенном компе не выскакивало окно(пока). При включении проверки важных областей находит [url]https://yadi.sk/i/ZpDeZINbOP3X7w[/url]

Уточните пожалуйста если выключить временно сеть и проверить важные области, также находит?

- Покажите лог [URL="http://media.kaspersky.com/utilities/VirusUtilities/RU/tdsskiller.exe"]TDSSKiller[/URL]
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

P.S. В случае нахождения вредоносного ПО не удаляйте ничего самостоятельно.

После обновлений для системы сетевой кабель был отключен. Первое сканирование с параметрами по умолчанию(прикрепил ниже) Сканирование со всеми параметрами тут [url]https://yadi.sk/i/zAWchy_ETeU2NQ[/url] (нашел 13 файлов без цифровой подписи)

[QUOTE=CRASH_vs;1494308]Параметры сканирования TDSSKiller надо менять от поумолчания ?[/QUOTE]

Да.

В логах TDDSKiller все ок.

Могли бы [URL="https://support.kaspersky.ru/9343#block2"]включить трассировку[/URL] в Антивирусе, проверить важные области (убедитесь, что вредоносное ПО было найдено в памяти) и выключить трассировку и приложить в архив zip.

Какой уровень трассировки? С параметрами отличными от по умолчания я прикрепил. С найденным что делать? При перезапуске Касперского выдал ошибку [url]https://yadi.sk/i/iJmzqaDEPQjNLg[/url]

Уровень по умолчанию. Странная ошибка, попробуйте выполнить еще раз, трассировку нахождения вирусов.

[url]https://yadi.sk/d/xpRxxCI0pHj7aw[/url] трассировка. при повторном перезапуске антивируса ошибка не повторилась.

Не смог прочитать трейсы у них какой-то формат .enc1 запросил детали у Лаборатории Касперского.

Приложите пожалуйста новый лог uVS.

[url]https://yadi.sk/d/53nAq0KnnQbHWQ[/url] UVS

[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
zoo %SystemRoot%\EXPLORER.EXE
zoo %SystemRoot%\REGEDIT.EXE
zoo %Sys32%\DRIVERS\ASACPI.SYS
delref HTTP://WWW.INET123.RU/
delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\DROPBOX\UPDATE\1.3.27.29\PSUSER.DLL
delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\DROPBOX\UPDATE\1.3.27.33\PSUSER.DLL
delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\DROPBOX\UPDATE\1.3.59.1\PSUSER.DLL
delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\DROPBOX\UPDATE\1.3.75.1\PSUSER.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.107\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.135\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.145\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.149\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.165\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.99\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
restart[/CODE]

Заархивируйте папку zoo в zip с паролем virus и загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Отправил

Отравил в Вир.лаб. Также ожидаю ответа от тех. поддержки ЛК касаемо ваших трейсов.

P.S. Ожидайте ответа, как только будут какие-то изменения я Вам отпишу.

Понял.Жду.Спасибо.

Пришел ответ от Вир. лаба в карантине вредоносного ПО не найдено.

Уточните пожалуйста, если проверить ПК утилитой [URL="https://support.kaspersky.ru/viruses/kvrt2015"]KVRT[/URL] также находит в памяти угрозу?

Да находит. [url]https://yadi.sk/i/Du-ZEUf69aQiow[/url]

Могли бы уточнить пожалуйста в режиме [URL="https://support.microsoft.com/ru-ru/help/929135/how-to-perform-a-clean-boot-in-windows"]чистой загрузке[/URL], проблема также проявляется?

После отключения служб (при нажатой галке не отображать службы Майкрософт) при нажатии применить выдает сообщение.[url]https://yadi.sk/i/orALTiGW-IlbYg[/url] Учетка администратора. Создал еще одну учетку администратора тоже самое. Перезагружаюсь. Если снова зайти в msconfig показывает 2 службы касперского работают. в автозагрузке включен только касперский. Проверка важных областей находит вирус.

Есть предположение о ложном срабатывание антивируса, давайте подождем ответа от тех. поддержки ЛК.

P.S. В связи с новогодними праздниками ответ их может поступить в течение 7-8 дней.

Понял. ждем.

Тех. поддержка ЛК запросила логи новой утилитой KVRT и результат который будет находится в папке C:\KVRT, могли бы пожалуйста ее заархивировать в zip, загрузить на какое-то файловое хранилище и отправить мне ссылку на него в лс(личным сообщение.)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я процитировал подробности в личном сообщение.

Отправил

Спасибо, я с вами свяжусь как только появятся какие-то изменения.

Хорошо . жду.