Процессы SecureSurf.Browser.Client и SecureSurf.Browser.Shell [not-a-virus:RiskTool.MSIL.Sidaweb.q ]

[Роман Тарасов]

Добрый день, заметил на почтовом сервере подозрительные процессы SecureSurf.Browser.Client и SecureSurf.Browser.Shell. Также были созданы два скрытых пользователя с админскими правами. Их я убил.
Есть следы попытки запуска вируса-шифровальщика. Прошу помощи в удалении вируса.

[Info_bot]

Уважаемый(ая) Роман Тарасов, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe');
 TerminateProcessByName('C:\Program Files\Common Files\microsoft shared\System\webisida.browser.exe');
 QuarantineFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe', '');
 QuarantineFile('C:\Program Files\Common Files\microsoft shared\System\webisida.browser.exe', '');
 QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '');
 QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\Systema\svchost.exe', '');
 QuarantineFile('C:\CCleaner64.exe', '');
 QuarantineFile('C:\Windows\system32\NLS.bat', '');
 QuarantineFile('C:\Windows\system32\drivers\106F4E209E51.sys', '');
 QuarantineFile('C:\Windows\SYSWOW64\seth.exe', '');
 QuarantineFileF('C:\Program Files\MinerGate-service', '*.exe, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '32');
 DeleteFile('C:\Program Files\Common Files\microsoft shared\System\webisida.browser.exe', '32');
 DeleteFile('C:\CCleaner64.exe', '32');
 DeleteFile('C:\Windows\system32\NLS.bat', '32');
 DeleteFile('C:\Windows\SYSWOW64\seth.exe', '32');
 DeleteFile('C:\MinerGate-service-5.10-win64.exe', '32');
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '32');
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Systema\svchost.exe', '32');
 DeleteFileMask('C:\Program Files\Common Files\Microsoft Shared\Systema', '*', true);
 DeleteFileMask('C:\Program Files\MinerGate-service', '*', true);
 DeleteFileMask('c:\program files\common files\microsoft shared\system', '*', true);
 DeleteDirectory('C:\Program Files\Common Files\Microsoft Shared\Systema');
 DeleteDirectory('C:\Program Files\MinerGate-service');
 DeleteDirectory('c:\program files\common files\microsoft shared\system');
 ExecuteFile('schtasks.exe', '/delete /TN "Adobe Reader" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "GoogleUpdateTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "GoogleUpdateTaskMashine" /F', 0, 15000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
end.

Перезагрузите сервер.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

Меняйте админские пароли и пароkи тех, кто имеет доступ по RDP.

[Роман Тарасов]

Образ автозапуска

[Vvvyg]

Скопируйте скрипт из окна "код" ниже в буфер обмена:

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v388c
OFFSGNSAVE
; C:\WINDOWS\INF\NETLIBRARIESTIP\000D\1049\5.0\SQL\SSMS.EXE
zoo %SystemRoot%\INF\NETLIBRARIESTIP\000D\1049\5.0\SQL\SSMS.EXE
addsgn 1ADE289A5583C58CF42B254E3143FE54A6EF00F6DA7142680018B0BB631698D62317C301BDAE993B5E0DF763C3E03D94F692E4F910D23A3CAEB7A0AC0602A6A1 8 Trojan.Reconyc [VBA32]

; C:\WINDOWS\INF\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\SPOOLSV.EXE
addsgn 1A0E299A5583C58CF42B254E3143FE54A6EF00F6DA7142680018B0BB631698D62317C301BDAE993B5E0DF763C3E03D94F692E4F910D23A3CAEB7A0AC0602A6A1 8 Trojan ( 004e28701 ) [K7GW]

zoo %SystemRoot%\INF\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\SPOOLSV.EXE
chklst
delvir
zoo %SystemDrive%\USERS\TARASOV_RP\DOWNLOADS\WINCLIENT (3).EXE
zoo %SystemDrive%\USERS\TARASOV_RP\DESKTOP\WINCLIENT.EXE
delref %Sys32%\DRIVERS\106F4E209E51.SYS
delref %SystemDrive%\PROGRAM FILES\MINERGATE-SERVICE\SRVANY.EXE
delref %SystemDrive%\PROGRAM FILES\MICROSOFT\EXCHANGE SERVER\V15\FIP-FS\BIN\UPDATESERVICE.EXE
czoo
deltmp

Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Перезагрузите сервер.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Проверьте, в папке c:\windows\inf\netlibrariestip и её подпапах ничего вашего нет? если нет - удалите.

Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите Java 8 Update 121.

[Роман Тарасов]

Готово. В указанной папке вроде ни чего нужного нет, для перестраховки засунул ее в архив и грохнул. Яву удалил.

[Vvvyg]

uVS запущен под пользователем: RBH\tarasov_rp

А я просил через script.cmd запускать. Прав не на всё хватило, через script.cmd запускался бы от имени системы. Но не критично.

Пароли поменяли?
Система обновляется?

[Роман Тарасов]

Пароли поменял, доступ по рдп закрыл. Система обновления ищет, но вроде пока их просто нет. Буду смотреть. Спасибо.
Есть еще один сервер со сходной проблемой, открыть новую тему или продолжить в этой?

[Vvvyg]

Один компьютер - одна тема. Эту закрывать?

[Роман Тарасов]

да, огромное спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\common files\microsoft shared\system\webisida.browser.exe - not-a-virus:RiskTool.MSIL.Sidaweb.q ( BitDefender: Gen:Variant.MSILPerseus.2843 )