Вирус [not-a-virus:RemoteAdmin.Win32.RMS.pr, Trojan.Win32.Diple.gocq ]

**Даниил Ахтиянин** · 29.10.2016, 15:44

Добрый день! Ужасно виснет компьютер, постоянно открываются страницы на вулкан, спарту и т.д, постоянно выскакивают рекламные окна. Прикрепляю логи !

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 29.10.2016, 15:45

Уважаемый(ая) Даниил Ахтиянин, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

SQ · 30.10.2016, 00:51

Здравствуйте,

HiJackThis профиксить

Код:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8888;https=127.0.0.1:8888
O4 - HKCU\..\Run: [dwrraodgop] explorer "http://granena.ru/?utm_source=uoua03n&utm_content=e739009bccd5f1e6d71a91bff5994529&utm_term=D4F6FE8A82757C2CEEC0B330C43C4024&utm_d=20160428"
O4 - HKLM\..\Policies\Explorer\Run: [KRB Updater Utility] "C:\ProgramData\KRB Updater Utility\krbupdater.exe" /S

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
 DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
 TerminateProcessByName('c:\program files (x86)\system\rfusclient.exe');
 TerminateProcessByName('c:\program files (x86)\system\rutserv.exe');
 TerminateProcessByName('C:\ProgramData\Skype\Temp\2514\SkyService.exe');
 TerminateProcessByName('C:\ProgramData\Skype\{IOC-30R3-CLDOEFK-D23KS8903JUDI923UJ-RO23PFEDVL}\sher\poanu.exe');
 StopService('RManService');
 DeleteService('RManService');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','');
 QuarantineFile('c:\program files (x86)\system\rfusclient.exe','');
 QuarantineFile('C:\Program Files (x86)\System\rutserv.exe','');
 QuarantineFile('C:\Program Files (x86)\WinZip\FAHConsole.exe','');
 QuarantineFile('C:\Program Files (x86)\WinZip\WzPreloader.exe','');
 QuarantineFile('C:\Program Files\Java\Adobe Acrobat Update Service.exe','');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','');
 QuarantineFile('C:\ProgramData\Skype\Temp\2514\SkyService.exe','');
 QuarantineFile('C:\ProgramData\Skype\{IOC-30R3-CLDOEFK-D23KS8903JUDI923UJ-RO23PFEDVL}\sher\poanu.exe','');
 QuarantineFile('C:\Users\User\AppData\LocalLow\SearchGo\searchgo.dll','');
 QuarantineFile('C:\Users\User\AppData\Local\fupdate\fupdate.exe','');
 QuarantineFile('C:\Users\User\AppData\Local\Microsoft\Macromed\Flash Player\Updater Startup Utility\632917E2-AA76-4F3E-A4E5-A113F963C234.exe','');
 QuarantineFile('C:\Users\User\AppData\Local\SearchGo\searchgo.exe','');
 QuarantineFile('C:\Users\User\AppData\Local\sysnet\sysnet.exe','');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
 DeleteFile('c:\program files (x86)\system\rfusclient.exe','32');
 DeleteFile('c:\program files (x86)\system\rutserv.exe','32');
 DeleteFile('C:\Program Files (x86)\System\rutserv.exe','32');
 DeleteFile('C:\Program Files\Java\Adobe Acrobat Update Service.exe','32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
 DeleteFile('C:\ProgramData\Skype\Temp\2514\SkyService.exe','32');
 DeleteFile('C:\ProgramData\Skype\{IOC-30R3-CLDOEFK-D23KS8903JUDI923UJ-RO23PFEDVL}\sher\poanu.exe','32');
 DeleteFile('C:\Users\User\AppData\LocalLow\SearchGo\searchgo.dll','32');
 DeleteFile('C:\Users\User\AppData\Local\fupdate\fupdate.exe','32');
 DeleteFile('C:\Users\User\AppData\Local\Microsoft\Macromed\Flash Player\Updater Startup Utility\632917E2-AA76-4F3E-A4E5-A113F963C234.exe','32');
 DeleteFile('C:\Users\User\AppData\Local\SearchGo\searchgo.exe','32');
 DeleteFile('C:\Users\User\AppData\Local\sysnet\sysnet.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "InternetSE" /F', 0, 15000, true);   
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\A3699855C-F58C-49E3-9264-12285173FFF4" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "sysnet" /F', 0, 15000, true);   
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','dwrraodgop');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');
 RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте лог Check Browsers' LNK by Dragokas & regist.

- Подготовьте лог AdwCleaner и приложите его в теме.

**Даниил Ахтиянин** · 30.10.2016, 16:51

Добрый вечер, карантин отправлен по ссылке, прикрепляю 2 лога!

SQ · 30.10.2016, 23:30

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

**Даниил Ахтиянин** · 31.10.2016, 00:30

Прикрепляю отчет!

SQ · 31.10.2016, 00:35

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**Даниил Ахтиянин** · 31.10.2016, 00:53

прикрепляю 2 отчета.

SQ · 31.10.2016, 10:13

Сами настраивали ограничения в локальной групповой политике?

Код:

GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION

Закройте и сохраните все открытые приложения.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2583849670-3091016906-729762334-1000\...\Run: [C:\Users\User\AppData\Local\Temp\wz240f\Remember.exe] => C:\Users\User\AppData\Local\Temp\wz240f\Remember.exe <===== ATTENTION
C:\Users\User\AppData\Local\Temp\wz240f\Remember.exe
HKU\S-1-5-21-2583849670-3091016906-729762334-1000\...\Winlogon: [Shell] C:\Windows\expstart.exe [925184 2016-05-08] () <==== ATTENTION
C:\Windows\expstart.exe
ShortcutTarget: FAH.lnk -> C:\Program Files\WinZip\FAHConsole.exe (No File)
ProxyServer: [S-1-5-21-2583849670-3091016906-729762334-1000] => http=127.0.0.1:8888;https=127.0.0.1:8888
Tcpip\..\Interfaces\{152DB4EE-1995-4056-B4D5-ECAE0F741C24}: [NameServer] 83.149.33.196 83.149.33.203
Tcpip\..\Interfaces\{2258EDFD-BCD8-4D67-98DB-326C5E85458A}: [NameServer] 83.149.33.202 83.149.33.197
Tcpip\..\Interfaces\{41231F03-E6CC-4A25-9CE1-E5B3C1F9FD15}: [NameServer] 83.149.33.202 83.149.33.197
Tcpip\..\Interfaces\{419E7F15-3DD5-410C-ABB9-E7801D5E507D}: [NameServer] 83.149.33.196 83.149.33.203
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Extension: (No Name) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\bimfip0o.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
FF Extension: (No Name) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\bimfip0o.default\extensions\[email protected] [not found]
FF Extension: (No Name) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\bimfip0o.default\extensions\[email protected] [not found]
FF Plugin: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect64.dll [No File]
FF Plugin-x32: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect32.dll [No File]
CHR DefaultSearchKeyword: Default -> GoSearch
CHR Extension: (No Name) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\faminaibgiklngmfpfbhmokfmnglamcm [2016-09-23]
CHR HKLM-x32\...\Chrome\Extension: [ablpcikjmhamjanpibkccdmpoekjigja] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfigaoamnncijbgomifamkmkidnnlikl] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (metabar) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\dmdhajlcfmlocjeihknhbbekjaageelh [2016-07-31]
OPR Extension: (SearchWay) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgldnknlljnfcfgchdijbjmmkdkmnabn [2016-10-18]
OPR Extension: (No Name) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\kneggodalbcmgdkkfhbhbicbbahnacjb [2016-04-28]
2016-09-21 20:30 - 2016-09-21 20:30 - 00004927 _____ C:\Users\Все пользователи\mtbjfghn.xbe
2016-09-21 20:30 - 2016-09-21 20:30 - 00004927 _____ C:\ProgramData\mtbjfghn.xbe
2016-09-21 20:30 - 2016-09-21 20:30 - 00000016 _____ C:\Users\Все пользователи\mntemp
2016-09-21 20:30 - 2016-09-21 20:30 - 00000016 _____ C:\ProgramData\mntemp
2016-06-06 14:42 - 2014-08-31 16:34 - 0294912 _____ () C:\Users\User\AppData\Roaming\nssm.exe
CustomCLSID: HKU\S-1-5-21-2583849670-3091016906-729762334-1000_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> no filepath
ShortcutWithArgument: C:\Users\User\Desktop\Yandex.lnk -> C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.exe (YANDEX LLC) -> hxxp://fs9mail.ru/?id=5&subid=202
ShortcutWithArgument: C:\Users\User\Desktop\Игрулькинс\Scrap Mechanic.lnk -> D:\games\Scrap Mechanic v0.1.32\Release\Launcher.exe () -> hxxp://fs9mail.ru/?id=5&subid=202
ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk -> C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.exe (YANDEX LLC) -> hxxp://fs9mail.ru/?id=5&subid=202
ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yandex.lnk -> C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.exe (YANDEX LLC) -> hxxp://fs9mail.ru/?id=5&subid=202
ShortcutWithArgument: C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk -> C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.exe (YANDEX LLC) -> hxxp://fs9mail.ru/?id=5&subid=202
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**Даниил Ахтиянин** · 31.10.2016, 18:02

По поводу ограничения в локальной групповой политике не знаю, так как в этом ничего не понимаю)) Прикрепляю лог файл.

SQ · 31.10.2016, 23:36

Сделайте лог полного сканирования МВАМ

Если пропадет интернет пропишите на сетевом интерфейсе в качестве днс-серверов:

Код:

8.8.8.8
8.8.4.4

**Даниил Ахтиянин** · 01.11.2016, 23:02

Извините за задержку, были проблемы с интернетом. Прикрепляю результаты сканирования MBAM

SQ · 02.11.2016, 00:27

Удалите в MBAM:

Код:

PUP.Optional.SetToolbar, HKU\S-1-5-21-2583849670-3091016906-729762334-1000\SOFTWARE\Windows Rubar Defender, , [477fdac5adedd660f41b67ecb44f9b65], 
PUP.Optional.Zaxar, HKU\S-1-5-21-2583849670-3091016906-729762334-1000\SOFTWARE\MICROSOFT\INTERNET EXPLORER\LOWREGISTRY\AUDIO\POLICYCONFIG\PROPERTYSTORE\DF4E2057_0, , [fec8edb24d4d59dd90faae35be459e62], 
PUP.Optional.StartPage, HKU\S-1-5-21-2583849670-3091016906-729762334-1000\SOFTWARE\START PAGE, , [6f578e11c8d20630638326cd7192d22e], 
PUP.Optional.Zaxar, HKU\S-1-5-21-2583849670-3091016906-729762334-1000\SOFTWARE\MICROSOFT\INTERNET EXPLORER\LOWREGISTRY\AUDIO\POLICYCONFIG\PROPERTYSTORE\df4e2057_0, {0.0.0.00000000}.{de6586c9-acb8-4845-b179-0d173eacdc7e}|\Device\HarddiskVolume3\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe%b{00000000-0000-0000-0000-000000000000}, , [fec8edb24d4d59dd90faae35be459e62]
PUM.Optional.LowRiskFileTypes, HKU\S-1-5-21-2583849670-3091016906-729762334-1000\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\ASSOCIATIONS|LowRiskFileTypes, .zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;.mp3;.m3u;.wav;, , [685e8f10d6c466d0cf162da846bd5ea2]
PUP.Optional.StartPage, HKU\S-1-5-21-2583849670-3091016906-729762334-1000\SOFTWARE\START PAGE|Start Page, http://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=D4F6FE8A82757C2CEEC0B330C43C4024&utm_d=20160428, , [6f578e11c8d20630638326cd7192d22e]
PUP.Optional.Elex, C:\Users\User\AppData\Roaming\PushControl, , [bc0a0c93910955e1bc508a30a460c43c], 
Adware.Agent, C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\bimfip0o.default\extensions\{7c1b061e-4dca-4e98-b293-db8c32cd2af5}\components\dllhelper.dll, , [15b1039c2377191db9f6a9cf8d7303fd], 
PUP.Optional.ExtensionInstaller, C:\Users\User\AppData\Roaming\PushControl\PushControl.exe, , [bd09930c455566d0350ffcbba26231cf], 
Adware.FileTour, C:\$Recycle.Bin\S-1-5-21-2583849670-3091016906-729762334-1000\$R1323EG\JustCause3-CRACK.exe, , [3393efb05248a29445193fca31d45ba5], 
JokeTool.SoulEngine, C:\$Recycle.Bin\S-1-5-21-2583849670-3091016906-729762334-1000\$R2KZBX6\Rand_Key.exe, , [7c4aa7f83d5d20161d3a26af5aa7a15f], 
PUP.Optional.InstallCore, E:\$RECYCLE.BIN\S-1-5-21-2583849670-3091016906-729762334-1000\$RFE5W72\setup.exe, , [a224e5ba5248e94df79fd46da65bc63a],

**Даниил Ахтиянин** · 02.11.2016, 21:59

Добрый вечер, лог прикреплен, но не знаю правильно получилось или нет.

SQ · 02.11.2016, 23:23

Сообщите, что с проблемой?

**Даниил Ахтиянин** · 03.11.2016, 15:26

Спасибо огромное, проблема решена, компьютер работает отлично!!!

SQ · 03.11.2016, 16:45

Удалите MBAM через установку программ в панели управления.

1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе.

2. Запустите DelFix.
Важно, для работы утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista/7/8/8.1/10 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

3.В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup

4. Нажмите на кнопку Run.

5. После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt (C:\delfix.txt)

6. Прикрепите этот отчет в вашей теме.

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

**CyberHelper** · 03.11.2016, 16:55

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 6
В ходе лечения обнаружены вредоносные программы:
1. c:\program files (x86)\system\rfusclient.exe - not-a-virus:RemoteAdmin.Win32.RMS.pr ( BitDefender: Trojan.Generic.15942633 )
2. c:\program files (x86)\system\rutserv.exe - not-a-virus:RemoteAdmin.Win32.RMS.pm ( BitDefender: Trojan.GenericKD.3007448 )
3. c:\users\user\appdata\local\sysnet\sysnet.exe - Trojan.Win32.Diple.gocq ( BitDefender: Gen:Variant.Graftor.277803 )

Вирус [not-a-virus:RemoteAdmin.Win32.RMS.pr, Trojan.Win32.Diple.gocq ] (заявка № 205318)

Опции темы