explorer.exe грузит процессор на 100% [Trojan.Win32.Waldek.xtk, Backdoor.Win32.Androm.nhas ]

**Kozana** · 11.05.2017, 12:50

Добрый день! explorer.exe грузит процессор на 100% и в автозагрузке висит какой-то левый процесс, удаление и чистка реестра не помогает.
Вложение 659821

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 11.05.2017, 12:51

Уважаемый(ая) Kozana, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 11.05.2017, 13:09

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe', '');
 QuarantineFileF('c:\documents and settings\all users\application data\{CF591757-9DD3-3F05-6299-59F8B9E6EDAF}', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

**Kozana** · 15.05.2017, 11:10

Сообщение от regist

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe', '');
 QuarantineFileF('c:\documents and settings\all users\application data\{CF591757-9DD3-3F05-6299-59F8B9E6EDAF}', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Результаты проверки карантина онлайн-сервисом VirusDetector: https://virusinfo.info/virusdetector...D8D7A141326B97

**regist** · 15.05.2017, 11:15

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe', '');
 QuarantineFileF('c:\documents and settings\all users\application data\{cf591757-9dd3-3f05-6299-59f8b9e6edaf}', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe');
 DeleteFileMask('c:\documents and settings\all users\application data\{cf591757-9dd3-3f05-6299-59f8b9e6edaf}', '*', true);
 DeleteDirectory('c:\documents and settings\all users\application data\{cf591757-9dd3-3f05-6299-59f8b9e6edaf}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

**Kozana** · 15.05.2017, 11:30

По ссылке https://yadi.sk/d/sMLgZKzK3GRwUZ - Ничего не найдено. Поэтому программку скачала с https://virusinfo.info/showthread.php?t=121767.

**regist** · 15.05.2017, 23:10

Выполните скрипт в uVS и пришлите карантин:

Код:

;uVS v4.0.4 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
BREG
zoo %Sys32%\PATCHER.EXE
dirzooex %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}
delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\{CF591757-9DD3-3F05-6299-59F8B9E6EDAF}\62E6C7C8.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\WINDOWSUPDATE\MOBSYNC.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\WINDOWSUPDATE\MOBSYNC.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}\048357.EXE
bl 1248912043FFD7675CD0EBA1F9669DF9 504320
addsgn 1AB3669A5583A7790BD4627DA804DEC9E9DF771AD8715A680C8639311D2A20C7761B91DA7B5DCDA18E81849FC5D2457130D36BB35453FD20AE0A582FB104C9A8 8 Backdoor.Win32.Androm.ndfl [Kaspersky] 7

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}\493489.EXE
bl C04E1FA55E028FE6CAE329442E418B15 504320
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}\562554.EXE
bl 1F5E0CFD861A6C1F7FACE55F9C5AF102 291840
addsgn 1AB2669A5583577E0BD4627DA804DEC9E9DF771AD8715A680C8639311D2A20C7761B91DA7B5DCDA18E81849FC5D2457130D36BB35453FD20AE0A582FB104C9A8 8 Backdoor.Win32.Androm. [Kaspersky]  7

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}\846632.EXE
bl 37ED98C69BA965A9DB52EBC4CE4A4E62 512512
addsgn 1A6E669A5583777E0BD4627DA804DEC9E9DF771AD8715A680C8639311D2A20C7761B91DA7B5DCDA19E81849FC5D2457130D36BB35453FD20AE0A582FB104C9A8 8 Backdoor.Win32.Androm. [Kaspersky]  7

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}\919930.EXE
bl 6B432B131DD344D28D952465DF54507D 291840
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}\344205.EXE
bl 1DCD55F9EC0F26F22897DC3CA8377F92 1081344
addsgn 1AB2669A5583577E0BD4627DA804DEC9E9DF771AD8715A680C8639311D2A20C7761B91DA7B5DCDA19E81849FC5D2457130D36BB35453FD20AE0A582FB104C9A8 8 Backdoor.Win32.Androm. [Kaspersky]  7

chklst
delvir

deldir %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\{CCC400E8-9E96-4265-B750-384FC40B7458}
; Java(TM) 6 Update 31
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216031FF} /quiet
czoo
restart

На вопросы об удалении программ соглашайтесь.

Сделайте свежий образ автозапуска.

**Kozana** · 16.05.2017, 09:11

Все сделала - вроде все нормально и процессор не грузит.

**regist** · 16.05.2017, 23:16

Загрузите карантин как вас просили в верху темы. К сообщению его прикреплять запрещено.

- - - - -Добавлено - - - - -

+
Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

**Kozana** · 17.05.2017, 12:48

Карантин из uVS по верхней ссылке не грузился, поэтому и добавила в сообщение.
Спасибо за помощь!

**CyberHelper** · 17.05.2017, 12:58

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 10
В ходе лечения обнаружены вредоносные программы:
1. c:\documents and settings\all users\application data\{cf591757-9dd3-3f05-6299-59f8b9e6edaf}\62e6c7c8.exe - Backdoor.Win32.Androm.nhas
2. c:\documents and settings\user\application data\windowsupdate\mobsync.exe - Trojan.Win32.Waldek.xtk

explorer.exe грузит процессор на 100% [Trojan.Win32.Waldek.xtk, Backdoor.Win32.Androm.nhas ] (заявка № 211898)

Опции темы