Вирус Flock и разные проблемы. [HEUR:Trojan.Win64.Miner.gen, HEUR:Trojan.Win32.DNSChanger.gen]

Все по порядку и слитно: занес вирус на флешке, нашел папку с вирусом, запретил доступ к папке с вирусом дабы она не запускала майнер(пробовал удалять, но она появляется снова), каким-то чудом поставил пару бесплатных антивирусов, ничего не изменилось кроме того что антивирусы начали кидать в карантин все подряд, в том числе и документы логов, которые я получил в результате сканирования системы AutoLogger-ом(стоит антивирус AVG и Comod, удалить файл из карантина или песочницы не получается), антивирусы удалить не смог по какой-то причине, что делать дальше не понятно. В целом уже замаялся и надеюсь что хоть здесь какая-нибудь добрая душа поможет мне с этой садомией.

Уважаемый(ая) [B]Shum4[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте актуальную версию Autologger по [URL="http://virusinfo.info/soft/tool.php?tool=AutoLogger"]первой ссылке[/URL] из [URL="https://virusinfo.info/pravila.html"]правил[/URL] и сделайте логи.

[QUOTE=Vvvyg;1518334]Скачайте актуальную версию Autologger по [URL="http://virusinfo.info/soft/tool.php?tool=AutoLogger"]первой ссылке[/URL] из [URL="https://virusinfo.info/pravila.html"]правил[/URL] и сделайте логи.[/QUOTE]

От туда я и скачивал программу, но логи все равно пропадают.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].

Сделал все как написано, вылезло уведомление о том что образ сохранен, но в папке его опять не оказалось. При повторном сканировании произошло тоже самое.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=Vvvyg;1518344]Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [URL="https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810"]сделайте полный образ автозапуска uVS[/URL].[/QUOTE]
Могу предположить что файлы логов не дает использовать антивирус Comod. И все бы хорошо, но удалить у меня его не получается, более того, он просто не запускается в основном аккаунте. Его можно запустить в аккаунте администратора, но это толком ничего не дает. При попытке его удалить на каком либо акке, он просто не удаляется, висит окно установщика, а потом на секунду вылазит что-то типа "винда настраивает приложение Comod antivirus". Пока что это вся информация которая у меня есть.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Смог таки найти как удалить эту дрянь-антивирус, сделал сканирование, логи прикреплю.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Смог таки найти как удалить эту дрянь-антивирус, сделал сканирование, логи прикреплю.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.11.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
setdns Ethernet (отладчик ядра)\4\{08BB28D4-79FE-460E-B38A-265B082AFCCB}\8.8.8.8,8.8.4.4
setdns Ethernet\4\{522542B6-4919-4C2D-AE0E-A1389ED788E7}\8.8.8.8,8.8.4.4
zoo %SystemDrive%\USERS\SHUM\DESKTOP\11_5_REDDOT.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\ADSHIELD\UPDATER.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\ADSHIELD\UPDATER.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\ADSHIELD
dirzooex %SystemDrive%\PROGRAMDATA\FLOCK
deldir %SystemDrive%\PROGRAMDATA\FLOCK
deltmp
dnsreset
delref %SystemDrive%\PROGRAMDATA\FLOCK\FIND.EXE
delref %SystemDrive%\PROGRAMDATA\REALTEKHD\TASKHOSTW.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\77.0.3865.90\INSTALLER\CHRMSTP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.99\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.31\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.52\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.65\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delref %SystemDrive%\PROGRAM FILES\MICROSOFT OFFICE\ROOT\VFS\PROGRAMFILESCOMMONX64\MICROSOFT SHARED\EQUATION\EQNEDT32.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.99\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.31\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.52\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.59\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.65\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.139.71\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\DRIVERSTORE\FILEREPOSITORY\U0361677.INF_AMD64_38E4D1C55ADC8927\B361561\AMDH264ENC32.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.34.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\CREENCAPTURE\AGENT.EXE
delref %SystemDrive%\USERS\SHUM\APPDATA\LOCAL\PROGRAMS\GUILDED\GUILDED.EXE
delref %SystemDrive%\GAMES\DOOR KICKERS 2 V0.9\DOORKICKERS2.EXE
delref %SystemDrive%\GAMES\THEY ARE BILLIONS\STEAMCLIENT_LOADER.EXE
delref %SystemDrive%\PROGRAMDATA\VКDJ\VКDJ.EXE
delref %SystemDrive%\GAMES\THE BATTLE OF POLYTOPIA V2.0.38\POLYTOPIA.EXE
apply
czoo
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Скачайте, распакуйте и запустите [URL="https://clck.ru/TFQbV"]эту утилиту[/URL].

После перезагрузки удалите остатки Comodo с помощью [URL="https://help.comodo.com/topic-72-1-766-12685-.html"]Comodo Uninstaller Tool[/URL].

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

Не могу загрузить архив, потому что выдает это.

[url=http://virusinfo.info/showthread.php?t=130567]Удалите вложение[/url] - самое большое, полный образ автозапуска uVS, например.
Или в облако и ссылку сюда.

Вот

[I]В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.[/I]
Это ещё не сделали.

Проблемы когда начались с Flock и после установки какого приложения? Если помните что и откуда качали, скиньте мне в личку адрес.

Transmission version 3.00.0 сами устанавливали?

Загрузите систему в безопасном режиме.

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Tcpip\..\Interfaces\{3a5cbbd8-007d-11eb-97e9-806e6f6e6963}: [NameServer] 185.201.47.42,142.4.214.15
Folder: C:\ProgramData\Flock
2021-02-18 15:00 - 2021-02-18 15:09 - 000000000 ____D C:\ProgramData\Flock
2021-02-17 14:21 - 2021-02-17 14:21 - 000008155 _____ C:\WINDOWS\system32\Drivers\etc\hosts.tmp
2021-02-13 22:39 - 2021-01-18 04:46 - 000000000 ____D C:\ProgramData\VКDJ
AdShield 1.0.0.0 (HKLM-x32\...\{2438ec02-7a3a-4eb9-9ed6-68ee32be1b53}) (Version: 1.0.0.0 - Limbo Solutions) Hidden
HKLM\...\StartupApproved\Run32: => "Avira SystrayStartTrigger"
HKLM\...\StartupApproved\Run32: => "COMODO Autostart {D5EFF3B3-E126-4AF6-BCE9-852A72129E10}"
FirewallRules: [{0DD0F1E5-B273-4296-BDA5-FF76D1AF6235}] => (Allow) C:\Users\shum\AppData\Local\Temp\DriverPack-20201121204921\tools\aria2c.exe => No File
FirewallRules: [{C9A0692E-D7B4-432C-9CE6-3AA13A2A6372}] => (Allow) C:\Users\shum\AppData\Roaming\DRPSu\Alice\cloud.exe => No File
FirewallRules: [{4C42F149-36A0-491C-83C9-269815DE12D6}] => (Allow) C:\Program Files (x86)\AdShield\updater.exe => No File
FirewallRules: [{5DB7B404-2262-42B2-A7BF-2613D01A7592}] => (Allow) C:\Program Files (x86)\AdShield\updater.exe => No File
FirewallRules: [TCP Query User{30704C49-8F94-4DC0-815A-9CC26E8004DF}C:\users\shum\appdata\local\programs\guilded\guilded.exe] => (Allow) C:\users\shum\appdata\local\programs\guilded\guilded.exe => No File
FirewallRules: [UDP Query User{70E04D3A-0EA7-421C-9987-8E93930904AC}C:\users\shum\appdata\local\programs\guilded\guilded.exe] => (Allow) C:\users\shum\appdata\local\programs\guilded\guilded.exe => No File
FirewallRules: [{9524D26F-0297-4EEB-8508-3B33956F6282}] => (Block) C:\users\shum\appdata\local\programs\guilded\guilded.exe => No File
FirewallRules: [{F240A1BB-C1F3-4D4E-A909-5A9BFD8FCEA2}] => (Block) C:\users\shum\appdata\local\programs\guilded\guilded.exe => No File
FirewallRules: [{B72208CC-96DA-4B85-AC46-C636D207CD6D}] => (Allow) C:\Windows\SysWOW64\PnkBstrA.exe => No File
FirewallRules: [{09F729D2-9E26-481A-AB8E-1A4F64FD0C4D}] => (Allow) C:\Windows\SysWOW64\PnkBstrA.exe => No File
FirewallRules: [{D3241F51-3D18-45F5-B11A-967A4EB9BC50}] => (Allow) C:\Windows\SysWOW64\PnkBstrB.exe => No File
FirewallRules: [{15FA3465-8024-4841-B72A-7E2BC2BEE942}] => (Allow) C:\Windows\SysWOW64\PnkBstrB.exe => No File
FirewallRules: [TCP Query User{1488CE9F-F9CD-4274-833B-F3D831B4BF0F}C:\games\they are billions\theyarebillions.exe] => (Allow) C:\games\they are billions\theyarebillions.exe => No File
FirewallRules: [UDP Query User{BE5EAD76-CAD1-4013-B939-76D13F8501EF}C:\games\they are billions\theyarebillions.exe] => (Allow) C:\games\they are billions\theyarebillions.exe => No File
FirewallRules: [{BE7B14A0-560E-4554-856D-903DA9DCA9FD}] => (Block) C:\games\they are billions\theyarebillions.exe => No File
FirewallRules: [{B05052BA-2A30-4F99-B5C5-8AA4869EE6FD}] => (Block) C:\games\they are billions\theyarebillions.exe => No File
FirewallRules: [{3EFF2C67-C6BE-44A4-93AB-6A4975C7F097}] => (Allow) C:\Users\shum\AppData\Local\Programs\Opera GX\73.0.3856.396\opera.exe => No File
S2 CmdAgentProt; C:\Program Files\COMODO\COMODO Internet Security\cmdagent.exe [11334144 2020-12-24] (Comodo Security Solutions, Inc. -> COMODO)
C:\Program Files\COMODO
2021-02-17 01:23 - 2021-02-17 01:23 - 000000000 ____D C:\Users\Администратор\AppData\Local\Comodo
2021-02-16 23:57 - 2021-02-16 23:57 - 000000000 ____D C:\Users\Администратор\AppData\Roaming\Comodo
Comodo
2021-02-13 21:15 - 2021-02-13 21:17 - 000000000 ____D C:\ProgramData\Panda Security
2021-02-13 21:13 - 2021-02-18 00:31 - 000000000 ____D C:\ProgramData\Comodo
2021-02-13 21:13 - 2021-02-13 21:13 - 000000000 ____D C:\ProgramData\Bitdefender Agent
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{2438ec02-7a3a-4eb9-9ed6-68ee32be1b53}" /f /reg:32
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Transmission version 3.00.0 устанавливал не я. Flock появился когда пытался вылечить второй компьютер от какого-то вируса. В итоге тот вылечил, а этот заразил по неосмотрительности. Произошло это где-то месяц назад, я нашел как сделать так чтобы flock не запускал майнер, но вот вылечить не смог. Написал сюда, когда устал от того что не могу нормально поставить антивирус. Флешка с того момента прошла форматирование.

И Fixlog.txt жду.

Загрузил выше.

Скачайте и запустите TDSSKiller: [url]http://support.kaspersky.ru/viruses/disinfection/5350[/url].
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

[QUOTE=Vvvyg;1518373]Скачайте и запустите TDSSKiller: [URL]http://support.kaspersky.ru/viruses/disinfection/5350[/URL].
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)[/QUOTE]

Вот.

Есть под рукой загрузочный WinPE диск?

Если да, загрузитесь с него, запустите файл start.exe из папки с uVS.
Выберите каталог Windows для анализа автозапуска вашей системы на HDD/SSD. Внимание, по умолчанию выбрана загружаемая с WinPE, что бесполезно для анализа.
Используйте диалог выбора каталога Windows (выбрать из дерева каталогов системную папку), затем - "Запустить под текущим пользователем".
В главном меню программы выберите пункт: Файл - сохранить полный образ автозапуска. По запросу программы сохраните файл образа автозапуска на съемный диск для последующей загрузки во вложения к теме. Файл образа автозапуска автоматически будет упакован в архив с расширением .7z, прикрепите его к своему следующему сообщению, либо выложите на облачном сервисе и дайте ссылку.

А если нет под ругой, есть другие варианты?

Загрузите и распакуйте образ диска [URL="https://yadi.sk/d/qW_7cFRD_Z8_lw"]winpe10uVS4.0.ISO[/URL], запишите на CD диск или флэшку с помощью программы [URL="https://www.ultraiso.com/uiso9_pe.exe"]UltraISO[/URL]:
1. Вставьте флэшку в USB разъём.
2. Откройте в UltraISO образ, который нужно записать на флэш-диск.
3. Меню - Самозагрузка - записать образ Жесткого диска. ! при записи информация на usb-диске будет полностью стерта !
4. Форматируете вначале usb-disk, затем записываете образ iso.
5. Включите компьютер, с которого нужно загрузиться, при старте системы войдите в BIOS, настройте очередность загрузки с USB, либо выберите загрузочное устройство при старте по клавише F8/F12 - в зависимости от материнской платы и биоса.
6. UVS стартует автоматически при загрузке с WinPE.
Выберите каталог Windows для анализа автозапуска вашей системы на HDD/SSD. Внимание, по умолчанию выбрана загруженная с WinPE, что бесполезно для анализа.
Используйте диалог выбора каталога Windows (выбрать из дерева каталогов системную папку)? затем - "Запустить под текущим пользователем".
7. В главном меню программы выберите пункт: Файл - сохранить полный образ автозапуска. По запросу программы сохраните файл образа автозапуска на съемный диск для последующей загрузки во вложения к теме. Файл образа автозапуска автоматически будет упакован в архив с расширением .7z, прикрепите его к своему следующему сообщению, либо выложите на облачном сервисе и дайте ссылку.

Максимум до чего я смог дойти, дальше при нажатии Enter экран мигает и ничего не происходит. Раньше кстати на эту флешку винда была 7 загружена, при этом она работала. Здесь почему-то не работает.

Сделайте тогда полный образ автозапуска из безопасного режима.

[QUOTE=Vvvyg;1518433]Сделайте тогда полный образ автозапуска из безопасного режима.[/QUOTE]

Надеюсь это оно.

Проверьте, папка C:\ProgramData\Flock есть?
И постарайтесь вспомнить, когда проблема возникла и что перед этим устанавливали. По результатам продолжим.

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]18[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] \flock.exe._8a2ccd10a5dee57e8b08dca98019a37e04f09a63 - [B]HEUR:Tr=
ojan.Win64.Miner.gen[/B] ( AVAST4: Win64:Malware-gen )[*] \updater.exe._80ebe7c2b232e02ac9546f09c28157b4b95814f5 - [B]HEUR:=
Trojan.Win32.DNSChanger.gen[/B][/LIST][/LIST]