smb:cve-2017-0144 Avast

[Vlad1859]

Здравствуйте. регулярно антивирус Avast выдает сообщение о том, что подключение к сайту запрещено, т.к. он заражен smb:cve-2017-0144. Это происходит вне зависимости от моих действий. Сообщения могут появляться даже во время "простоя".
Установка обновлений kb4012215 и kb4012212 приводит к тому, что ОС перестает запускаться.
Просьба помочь в решении вопроса.

[Info_bot]

Уважаемый(ая) Vlad1859, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

Для начало в Windows Firewall закройте SMB порты (139,445).


HiJackThis (из каталога autologger)профиксить

O2-32 - HKLM\..\BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: DropboxExt1 - {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: DropboxExt2 - {FB314EDA-A251-47B7-93E1-CDD82E34AF8B} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: DropboxExt3 - {FB314EDB-A251-47B7-93E1-CDD82E34AF8B} - (no file)

- Подготовьте лог AdwCleaner и приложите его в теме.

[Vlad1859]

Прикладываю отчет

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Vlad1859]

Прикрепляю отчет после удаления, и отчет нового сканирования

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Vlad1859]

Прикрепляю отчет.

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
  CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
  File: C:\Program Files (x86)\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
  File: C:\Windows\SysWOW64\srvany.exe
  File: C:\Windows\System32\DRIVERS\oem-drv64.sys
  2015-02-20 20:53 - 2015-02-20 20:57 - 000000000 _____ () C:\Users\Zepfon\AppData\Local\{3551874B-CF49-4C18-B419-1CAF32D9C344}
  2009-01-01 00:02 - 2009-01-01 00:02 - 000000000 _____ () C:\Users\Zepfon\AppData\Local\{7F666DAB-4583-446B-8CD9-10ED335AA1E5}
  2015-01-13 20:58 - 2015-01-13 20:58 - 000000000 _____ () C:\Users\Zepfon\AppData\Local\{96D77459-2DCB-4F24-8A85-5F510B0B6E71}
  2018-04-16 20:03 - 2018-04-16 20:03 - 000000180 _____ () C:\Users\Zepfon\AppData\Local\Temp\00e481b5e22dbe1f649fcddd505d3eb7.dll
  2018-04-16 20:03 - 2018-04-16 21:25 - 000000017 _____ () C:\Users\Zepfon\AppData\Local\Temp\a5c5640a83af351e64560c2ffb96e5f6.dll
  ShellIconOverlayIdentifiers: [DropboxExt1] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
  ShellIconOverlayIdentifiers: [DropboxExt2] -> {FB314EDA-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
  ShellIconOverlayIdentifiers: [DropboxExt3] -> {FB314EDB-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
  ContextMenuHandlers1_S-1-5-21-1534101780-1925699047-761322443-1000: [DropboxExt] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
  ContextMenuHandlers4_S-1-5-21-1534101780-1925699047-761322443-1000: [DropboxExt] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
  ContextMenuHandlers5_S-1-5-21-1534101780-1925699047-761322443-1000: [DropboxExt] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} =>  -> No File
  Task: {62AB8AE4-77A6-4B97-B77A-675328775B57} - \Zepfon -> No File <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:58A5270D [147]
  AlternateDataStreams: C:\Users\Zepfon\AppData\Local\Temp:$DATA [16]
  AlternateDataStreams: C:\Users\Zepfon\AppData\Local\Temp:$DATA​ [34]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:58A5270D [147]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Vlad1859]

Прикрепляю Fixlog.txt

[SQ]

Сообщите, что с проблемой?

[Vlad1859]

Сообщите, что с проблемой?

На данный момент сообщения от аваста не появляются. Стоит ли открывать порты?

[SQ]

Стоит ли открывать порты?

Нет, также необходимо установить обновления закрывающие уязвимость SMB.

P.S. закрытия портов лишь не даст возможность воспроизвести уязвимость SMB, при этом саму уязвимость не закроет.

В завершение:
1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.