Самооткрывающаяся реклама (Trojan:Win32/Radonskra.H!bit) [UDS:DangerousObject.Multi.Generic]

**Alex_Konner** · 16.08.2017, 12:07

Здравствуйте!

Троян сам открывает страницы, встраивает баннеры в некоторые сайты (Google, ВКонтакте), кидает на рабочий стол ярлыки "Поиск в интернете"
В баннеры вшита ссылка на сайт okumjo2e (точка) ru

Рассчитываю на Вашу помощь. С уважением, Александр.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 16.08.2017, 12:08

Уважаемый(ая) Alex_Konner, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 18.08.2017, 08:25

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\dizainer\AppData\Local\wupdate\wupdate.exe','');
 QuarantineFile('C:\Program Files (x86)\GXZiGyYLSHyU2\3cQOz6E.dll','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\Microsoft\msi.exe','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\curl\curl.exe','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\curl\curl_7_54.exe','');
 QuarantineFile('C:\Program Files (x86)\thzXuJvjU\E8dYN1d.dll','');
 DelBHO('{C0D38E5A-7CF8-4105-8FE8-31B81443A114}');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\toolbar\toolbar.exe','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\setupsk\ml.py','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\SETUPS~1\ml.py','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\SETUPS~1\python\pythonw.exe','');
 QuarantineFile('C:\Users\dizainer\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb\ml.py','');
 SetServiceStart('AppFrameHost', 4);
 SetServiceStart('SvcHost Service Host', 4);
 DeleteService('SvcHost Service Host');
 DeleteService('AppFrameHost');
 QuarantineFile('C:\Program Files (x86)\QYERbvxRHIE\kEV8xPB.dll','');
 QuarantineFile('C:\Program Files (x86)\QYERbvxRHIE\7dF7ArG.dll','');
 TerminateProcessByName('c:\users\dizainer\appdata\local\yc\application\yc.exe');
 TerminateProcessByName('c:\program files (x86)\qyerbvxrhie\xmjryfdryf.exe');
 QuarantineFile('c:\program files (x86)\qyerbvxrhie\xmjryfdryf.exe','');
 TerminateProcessByName('c:\windows\microsoft\svchost.exe');
 TerminateProcessByName('C:\Windows\Microsoft\svchost.exe.exe');
 TerminateProcessByName('c:\users\dizainer\appdata\local\svshost\svshost.exe');
 QuarantineFile('c:\users\dizainer\appdata\local\svshost\svshost.exe','');
 QuarantineFile('C:\Windows\Microsoft\svchost.exe.exe','');
 QuarantineFile('c:\windows\microsoft\svchost.exe','');
 TerminateProcessByName('C:\Windows\System32\AppFrameHost.exe');
 QuarantineFile('C:\Windows\System32\AppFrameHost.exe','');
 DeleteFile('C:\Windows\System32\AppFrameHost.exe','32');
 DeleteFile('c:\windows\microsoft\svchost.exe','32');
 DeleteFile('C:\Windows\Microsoft\svchost.exe.exe','32');
 DeleteFile('c:\users\dizainer\appdata\local\svshost\svshost.exe','32');
 DeleteFile('c:\program files (x86)\qyerbvxrhie\xmjryfdryf.exe','32');
 DeleteFile('c:\users\dizainer\appdata\local\yc\application\yc.exe','32');
 DeleteFile('C:\Program Files (x86)\QYERbvxRHIE\7dF7ArG.dll','32');
 DeleteFile('C:\Program Files (x86)\QYERbvxRHIE\kEV8xPB.dll','32');
 DeleteFile('C:\Users\dizainer\AppData\Local\yc\Application\56.0.2924.76\libegl.dll','32');
 DeleteFile('C:\Users\dizainer\AppData\Local\yc\Application\56.0.2924.76\chrome_elf.dll','32');
 DeleteFile('C:\Users\dizainer\AppData\Local\yc\Application\56.0.2924.76\libglesv2.dll','32');
 DeleteFile('C:\Users\dizainer\AppData\Local\yc\Application\56.0.2924.76\chrome_child.dll','32');
 DeleteFile('C:\Users\dizainer\AppData\Local\yc\Application\56.0.2924.76\chrome.dll','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mvtsazhdzy');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb\ml.py','32');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\SETUPS~1\python\pythonw.exe','32');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\SETUPS~1\ml.py','32');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\setupsk\ml.py','32');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\toolbar\toolbar.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','toolbar');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','setupsk');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','setupsk_upd');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','lidnkghmpmbmkjalooojbaefceoolghb');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ycAutoLaunch_52D24DAC21452305B0604E5F6CE66778');
 DeleteFile('C:\Program Files (x86)\thzXuJvjU\E8dYN1d.dll','32');
 DeleteFile('C:\Windows\Tasks\uuxHwpnMkRCRpJh.job','32');
 DeleteFile('C:\Windows\system32\Tasks\curl','64');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\curl\curl_7_54.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\curls','64');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\curl\curl.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\lidnkghmpmbmkjalooojbaefceoolghb','64');
 DeleteFile('C:\Windows\system32\Tasks\MSI','64');
 DeleteFile('C:\Users\dizainer\AppData\Roaming\Microsoft\msi.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\setupsk','64');
 DeleteFile('C:\Windows\system32\Tasks\setupsk_upd','64');
 DeleteFile('C:\Windows\system32\Tasks\svshost','64');
 DeleteFile('C:\Windows\system32\Tasks\TnqpiRJoXWMCwN','64');
 DeleteFile('C:\Windows\system32\Tasks\uuxHwpnMkRCRpJh','64');
 DeleteFile('C:\Windows\system32\Tasks\uuxHwpnMkRCRpJh2','64');
 DeleteFile('C:\Program Files (x86)\GXZiGyYLSHyU2\3cQOz6E.dll','32');
 DeleteFile('C:\Windows\system32\Tasks\wupdate','64');
 DeleteFile('C:\Users\dizainer\AppData\Local\wupdate\wupdate.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

**Alex_Konner** · 21.08.2017, 06:44

Сделал всё по инструкции.

В ожидании ответа чистил систему утилитами:
- ADWCleaner 7.0.1.0.
- HitmanPRO 3.7
- AVZ

Антивирусом 360
Провёл чистку реестра и планировщика с помощью CCleaner

Данные действия избавили от всех баннеров, самосоздающихся ярлыков и переписывания "домашних" страниц.

Остались следы Tracking Cookie, которые находит только HitmanPRO 3.7:

Скрытый текст

log_hitmanpro_21-08.jpg

Скрыть

**thyrex** · 21.08.2017, 07:40

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

**Alex_Konner** · 21.08.2017, 10:53

Готово

**thyrex** · 21.08.2017, 13:55

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
Toolbar: HKU\S-1-5-21-1984099765-1134307071-1750772574-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
CHR StartupUrls: Default -> "hxxp://www.google.com","hxxp://mail.ru/cnt/7993/","hxxp://do-search.com/?type=hp&ts=1425763776&from=cor&uid=HitachiXHTS543232L9A300_090724FBD400CEGUPMDAX","hxxp://mail.ru/cnt/10445?gp=821268","hxxp://mail.ru/cnt/10445?gp=831102","hxxp://startmain.ru/"
2017-08-16 15:04 - 2017-08-16 15:04 - 000000000 ____D C:\Users\dizainer\AppData\LocalLow\HGQlVNXRXkVsT
2017-08-16 10:56 - 2017-08-21 10:18 - 000000000 ____D C:\Program Files (x86)\QYERbvxRHIE
2017-08-15 19:02 - 2017-08-16 19:39 - 000000000 ____D C:\Users\dizainer\AppData\Roaming\lidnkghmpmbmkjalooojbaefceoolghb
2017-08-15 18:25 - 2017-08-21 10:18 - 000000000 ____D C:\Users\dizainer\AppData\Roaming\curl
Task: {F3DFA8E2-D640-4908-8BE5-431DE3777236} - \svshost -> No File <==== ATTENTION
Task: {5701C597-C44B-4935-B441-63582434BA5F} - \uuxHwpnMkRCRpJh2 -> No File <==== ATTENTION
Task: {586654B2-78F2-4BF3-AEAA-4F95DD2E0BD0} - \KMSAuto -> No File <==== ATTENTION
Task: {5927D69E-2875-40B5-9126-F5CB25F7F68D} - \curl -> No File <==== ATTENTION
Task: {5D997DE2-F7BC-46FD-83A2-8A01051632AB} - \KMSAutoNet -> No File <==== ATTENTION
Task: {2BA1F786-66C2-46ED-962B-F129EAF3AA11} - \TnqpiRJoXWMCwN -> No File <==== ATTENTION
Task: {073A3999-940E-4D1D-B4F7-A61927EBDACF} - \MSI -> No File <==== ATTENTION
C:\Users\dizainer\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание, что будет выполнена перезагрузка компьютера.

**Alex_Konner** · 21.08.2017, 14:37

[Три символа]

**thyrex** · 21.08.2017, 15:11

Проблема решена?

**Alex_Konner** · 11.09.2017, 07:35

Сразу забыл ответить. Да, проблема решена, спасибо!

**CyberHelper** · 11.09.2017, 07:45

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\users\dizainer\appdata\roaming\curl\curl_7_54.e xe - UDS:DangerousObject.Multi.Generic

Самооткрывающаяся реклама (Trojan:Win32/Radonskra.H!bit) [UDS:DangerousObject.Multi.Generic] (заявка № 214686)

Опции темы