Web Attack: JSCoinminer Website

[Ya4U]

Добрый день! NIS стал обнаруживать и блокировать при работе в Mozilla атаку JSCoinminer Website. Уведомления об этом возникают постоянно, но только в гостевом профиле. При работе с правами администратора все в порядке. Сайт Google так же переадресовывается при поиске на сайт Bing.
Очень надеюсь на Вашу помощь. Спасибо!

[Info_bot]

Уважаемый(ая) Ya4U, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Sandor]

Здравствуйте!

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

[Ya4U]

Доборый день! Спасибо за ответ! Отчет прикрепила.

[Sandor]

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и ремонт и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.


2.
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[Ya4U]

Отчеты:

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  BHO-x32: No Name -> {6D53EC84-6AAE-4787-AEEE-F4628F01010C} -> No File
  Toolbar: HKU\S-1-5-21-609288869-2162590597-2805838329-1003 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  No File
  S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
  S3 EsgScanner; system32\DRIVERS\EsgScanner.sys [X]
  Task: {16A25C8E-17BC-4823-952C-A9BA6FE34414} - \{903A54C0-9912-4D16-A892-DA8FB3EBE14D} -> No File <==== ATTENTION
  AlternateDataStreams: C:\Users\Ilosha\Local Settings:wa [146]
  AlternateDataStreams: C:\Users\Ilosha\AppData\Local:wa [146]
  AlternateDataStreams: C:\Users\Ilosha\AppData\Local\Application Data:wa [146]
  FirewallRules: [{5FB5C1B3-DED8-4A75-8908-273DB6E0BD76}] => (Allow) C:\Users\Ilosha\AppData\Local\MediaGet2\mediaget.exe
  FirewallRules: [{7FB01B48-84DF-40ED-AB95-C3AAEC3F49B4}] => (Allow) C:\Users\Ilosha\AppData\Local\MediaGet2\mediaget.exe
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[Ya4U]

А что надо сделать со скопированным кодом?

[Sandor]

Нужно в точности выполнить то, что написано:
- скопировать
- запустить программу
- нажать Fix

[Ya4U]

Лог-файл:

[Sandor]

Что сейчас с проблемой?

[Ya4U]

Зашла в профиль гостя, проблема осталась. Постоянно появляются уведомления от NIS.

[Sandor]

Скачайте Malwarebytes' Anti-Malware. Установите.
На вкладке "Параметры" - "Личный кабинет" ("Settings" - "My Account") нажмите кнопку "Деактивировать ознакомительную Premium-версию".
На вкладке "Проверка" - "Полная проверка" нажмите кнопку "Начать проверку". Дождитесь окончания проверки.
Самостоятельно ничего не удаляйте!!!
Нажмите кнопку "Сохранить результат - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.

[Ya4U]

Результат:

[Sandor]

Обнаруженный файл удалите (поместите в карантин).

[Ya4U]

Поместила. Пока все осталось по-прежнему(

[Sandor]

Соберите свежий CollectionLog Автологером.

[Ya4U]

CollectionLog:

[Sandor]

Под гостевой учеткой подразумеваете эту?

C:\Users\Ilosha

[Ya4U]

да, ее