Был процесс MicrosoftHost.exe который тормозил систему и много разных NT Kernel [Trojan.Win32.ShadowBrokers.t, HackTool.Win32.ShadowBrokers.k]

[Chiz]

Здравствуйте. Был процесс MicrosoftHost.exe который тормозил систему и много разных NT Kernel.
Не давало запустить ни AVZ ни касперский - окно открывалось и тут же закрывалось. Кое как запустил Dr.Web CureIT. Он нашел какое то количество троянов. После этого получилось собрать статистику virusinfo. Помогите пожалуйста.

[Info_bot]

Уважаемый(ая) Chiz, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[Chiz]

Приложил

[thyrex]

Выполните скрипт в AVZ из папки Autologger

{ Перед использованием скрипта убедитесь, что в системе не установлены упомянутые в скрипте антивирусы. Автор скрипта: regist. Modification: thyrex}
var ProgramData, ProgramFiles, ProgramFiles86, fname, OSVer: string;
    PD_folders, PF_folders, O_folders : TStringList;

procedure FillList;
begin
 PD_folders:= TStringList.Create;
 PD_folders.Add('360TotalSecurity');
 PD_folders.Add('360safe');
 PD_folders.Add('AVAST Software');
 PD_folders.Add('Avg');
 PD_folders.Add('Avira');
 PD_folders.Add('ESET');
 PD_folders.Add('Indus');
 PD_folders.Add('Kaspersky Lab Setup Files');
 PD_folders.Add('Kaspersky Lab');
 PD_folders.Add('MB3Install');
 PD_folders.Add('Malwarebytes');
 PD_folders.Add('McAfee');
 PD_folders.Add('Norton');
 PD_folders.Add('grizzly');
 PD_folders.Add('RealtekHD');
 PD_folders.Add('RunDLL');
 PD_folders.Add('Setup');
 PD_folders.Add('System32');
 PD_folders.Add('Windows');
 PD_folders.Add('WindowsTask');
 PD_folders.Add('install');
 PD_folders.Add('Doctor Web');
 PF_folders:= TStringList.Create;
 PF_folders.Add('360');
 PF_folders.Add('AVAST Software');
 PF_folders.Add('AVG');
 PF_folders.Add('ByteFence');
 PF_folders.Add('Zaxar');
 PF_folders.Add('COMODO');
 PF_folders.Add('Cezurity');
 PF_folders.Add('Common Files\McAfee');
 PF_folders.Add('ESET');
 PF_folders.Add('Enigma Software Group');
 PF_folders.Add('GRIZZLY Antivirus');
 PF_folders.Add('Kaspersky Lab');
 PF_folders.Add('Malwarebytes');
 PF_folders.Add('Microsoft JDX');
 PF_folders.Add('Panda Security');
 PF_folders.Add('SpyHunter');
 PF_folders.Add('RDP Wrapper');
 O_folders:= TStringList.Create;
 O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\AdwCleaner'));
 O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\rdp'));
 O_folders.Add(NormalDir('%SYSTEMDRIVE%'+'\KVRT_Data'));
 O_folders.Add(NormalDir('%windir%'+'\NetworkDistribution'));
 O_folders.Add(NormalDir('%windir%'+'\speechstracing'));
 O_folders.Add(NormalDir('%windir%'+'\Fonts\Mysql'));
end;

procedure Del_folders(path:string; AFL : TStringList);
var i: integer;
    A: Integer;
begin
 for i:= 0 to AFL.Count - 1 do
  begin
   fname:= NormalDir(path + AFL[i]);
   if DirectoryExists(fname)
    then
     begin
      AddToLog('Directory ' + fname + ' exists');
      QuarantineFileF(fname, '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
      DeleteFileMask(fname, '*', true);
      A:= GetAttr(fname);
      if A and 2 + A and 4 <> 0 then FSResetSecurity(fname);
      DeleteDirectory(fname);
     end;
 end;
end;

procedure swprv;
begin
 ExecuteFile('sc.exe', 'create "swprv" binpath= "%SystemRoot%\System32\svchost.exe -k swprv" type= own start= demand depend= RPCSS', 0, 15000, true);
 RegKeyParamDel ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'wow64');
 RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'Description', '@%SystemRoot%\System32\swprv.dll,-102');
 RegKeyStrParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'DisplayName', '@%SystemRoot%\System32\swprv.dll,-103');
 RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv', 'ServiceSidType', '1');
 RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%Systemroot%\System32\swprv.dll');
 OSVer := RegKeyStrParamRead('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion','CurrentVersion');
 if OSVer > '6.1' then RegKeyIntParamWrite ('HKLM', 'SYSTEM\CurrentControlSet\Services\swprv\Parameters', 'ServiceDllUnloadOnStop', '1');;
 ExecuteFile('sc.exe', 'privs "swprv" SeBackupPrivilege/SeChangeNotifyPrivilege/SeCreateGlobalPrivilege/SeCreatePermanentPrivilege/SeImpersonatePrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeIncreaseBasePriorityPrivilege/SeManageVolumePrivilege/SeRestorePrivilege/SeTcbPrivilege', 0, 15000, true);
 ExecuteFile('net.exe', 'start "swprv"', 0, 15000, true);
end;

procedure  AV_block_remove;
begin
 Clearlog;
 FillList;
 ProgramData := GetEnvironmentVariable('ProgramData');
 ProgramFiles := NormalDir('%PF%');
 ProgramFiles86 := NormalDir('%PF% (x86)');
 Del_folders(ProgramData +'\', PD_folders);
 Del_folders(ProgramFiles, PF_folders);
 Del_folders(ProgramFiles86, PF_folders);
 Del_folders('', O_folders);
 ExpRegKey('HKCU','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun','DisallowRun_backup.reg');
 RegKeyDel('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun');
 RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\services\TermService\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\termsrv.dll');
 swprv;
 if MessageDLG('Удалить пользователя "John" ?'+ #13#10 + 'Если пользователь с таким именем вам не знаком, то нажмите "Да".', mtConfirmation, mbYes+mbNo, 0) = 6
  then ExecuteFile('net.exe', 'user john /delete', 0, 15000, true);
 SaveLog(GetAVZDirectory +'AV_block_remove.log');
 PD_folders.Free;
 PF_folders.Free;
 O_folders.Free;
 ExecuteSysClean;
end;

begin
 AV_block_remove;
 RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

Файл AV_block_remove.log из папки AVZ прикрепите к сообщению.

[Chiz]

приложил

[thyrex]

Удалите файлы FRST.txt и Addition.txt. Сделайте новые логи Farbar.

[Chiz]

Готово

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
2020-08-18 07:24 - 2017-12-27 20:20 - 001460224 _____ (Stas'M Corp.) C:\ProgramData\RDPWinst.exe
FirewallRules: [TCP Query User{EFCEF6D0-5757-4C19-8C06-A2525753A8E8}D:\epicgames\kingdomcomedeliverance\bin\win64mastermasterepicpgo\kingdomcome.exe] => (Allow) D:\epicgames\kingdomcomedeliverance\bin\win64mastermasterepicpgo\kingdomcome.exe => No File
FirewallRules: [UDP Query User{102A2A03-A6A9-4778-A9FB-36E054A49506}D:\epicgames\kingdomcomedeliverance\bin\win64mastermasterepicpgo\kingdomcome.exe] => (Allow) D:\epicgames\kingdomcomedeliverance\bin\win64mastermasterepicpgo\kingdomcome.exe => No File
MSCONFIG\startupreg: GameCenter => "C:\Users\1\AppData\Local\GameCenter\GameCenter.exe" -autostart
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Chiz]

Сделал

[thyrex]

На этом чистку мусора можно считать оконченной.

[Chiz]

Спасибо!

[Chiz]

У меня увели телеграмм аккаунт после этого вируса. Телеграмм десктоп стоял на компьютере. Двуфакторная аутентификация в аккаунте не была включена.

[CyberHelper]

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

• =CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 1
• =CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 87
• =C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
  =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
  
  1. c:\programdata\install\utorrent.exe - Trojan-PSW.Win32.Delf.=
     aidq
  2. c:\programdata\rundll\adfw.dll - Trojan.Win32.ShadowBrokers.=
     p ( AVAST4: Win32:Malware-gen )
  3. c:\programdata\rundll\adfw-2.dll - Trojan.Win32.ShadowBroker=
     s.t ( AVAST4: Other:Malware-gen [Trj] )
  4. c:\programdata\rundll\cnli-0.dll - Trojan.Win32.ShadowBroker=
     s.am ( AVAST4: Other:Malware-gen [Trj] )
  5. c:\programdata\rundll\cnli-1.dll - Trojan.Win32.ShadowBroker=
     s.ao ( AVAST4: Other:Malware-gen [Trj] )
  6. c:\programdata\rundll\coli-0.dll - Trojan.Win32.ShadowBroker=
     s.u ( AVAST4: Other:Malware-gen [Trj] )
  7. c:\programdata\rundll\crli-0.dll - Trojan.Win32.ShadowBroker=
     s.at ( AVAST4: Other:Malware-gen [Trj] )
  8. c:\programdata\rundll\dmgd-1.dll - Trojan.Win32.ShadowBroker=
     s.aw
  9. c:\programdata\rundll\dmgd-4.dll - Trojan.Win32.ShadowBroker=
     s.ay ( AVAST4: Other:Malware-gen [Trj] )
  10. c:\programdata\rundll\doublepulsar-1.3.1.exe - Backdoor.Win3=
      2.ShadowBrokers.f ( AVAST4: Sf:WNCryLdr-A [Trj] )
  11. c:\programdata\rundll\esco-0.dll - Trojan.Win32.ShadowBroker=
      s.v
  12. c:\programdata\rundll\etchcore-0.x64.dll - Exploit.Win64.Sha=
      dowBrokers.c ( AVAST4: Other:Malware-gen [Trj] )
  13. c:\programdata\rundll\etchcore-0.x86.dll - Exploit.Win32.Sha=
      dowBrokers.aa ( AVAST4: Other:Malware-gen [Trj] )
  14. c:\programdata\rundll\etch-0.dll - Exploit.Win32.ShadowBroke=
      rs.z ( AVAST4: Other:Malware-gen [Trj] )
  15. c:\programdata\rundll\etebcore-2.x64.dll - Exploit.Win64.Sha=
      dowBrokers.d ( AVAST4: Other:Malware-gen [Trj] )
  16. c:\programdata\rundll\etebcore-2.x86.dll - Exploit.Win32.Sha=
      dowBrokers.ad ( AVAST4: Other:Malware-gen [Trj] )
  17. c:\programdata\rundll\eteb-2.dll - Exploit.Win32.ShadowBroke=
      rs.ab ( AVAST4: Sf:WNCryLdr-A [Trj] )
  18. c:\programdata\rundll\eternalblue-2.2.0.exe - Exploit.Win32.=
      ShadowBrokers.ae ( AVAST4: Sf:WNCryLdr-A [Trj] )
  19. c:\programdata\rundll\exma.dll - Trojan.Win32.ShadowBrokers.=
      w ( AVAST4: Win32:Malware-gen )
  20. c:\programdata\rundll\exma-1.dll - Trojan.Win32.ShadowBroker=
      s.x
  21. c:\programdata\rundll\iconv.dll - Trojan.Win32.ShadowBrokers=
      =2Ect ( AVAST4: Other:Malware-gen [Trj] )
  22. c:\programdata\rundll\libcurl.dll - Trojan.Win32.EquationDru=
      g.jf ( AVAST4: Other:Malware-gen [Trj] )
  23. c:\programdata\rundll\libeay32.dll - HackTool.Win32.ShadowBr=
      okers.n ( AVAST4: Win32:Rootkit-gen [Rtk] )
  24. c:\programdata\rundll\libiconv-2.dll - HackTool.Win32.Shadow=
      Brokers.l ( AVAST4: Win32:Malware-gen )
  25. c:\programdata\rundll\libxml2.dll - HackTool.Win32.ShadowBro=
      kers.k
  26. c:\programdata\rundll\pcla-0.dll - Trojan.Win32.ShadowBroker=
      s.y ( AVAST4: Other:Malware-gen [Trj] )
  27. c:\programdata\rundll\pcrecpp-0.dll - Trojan.Win32.ShadowBro=
      kers.av ( AVAST4: Other:Malware-gen [Trj] )
  28. c:\programdata\rundll\pcreposix-0.dll - Trojan.Win32.ShadowB=
      rokers.au
  29. c:\programdata\rundll\pcre-0.dll - Trojan.Win32.ShadowBroker=
      s.ax ( AVAST4: Other:Malware-gen [Trj] )
  30. c:\programdata\rundll\posh.dll - Trojan.Win32.ShadowBrokers.=
      aa ( AVAST4: Win32:Malware-gen )
  31. c:\programdata\rundll\posh-0.dll - Trojan.Win32.ShadowBroker=
      s.ab ( AVAST4: Other:Malware-gen [Trj] )
  32. c:\programdata\rundll\riar.dll - Trojan.Win32.ShadowBrokers.=
      ar ( AVAST4: Win32:Stuxnet-C [Wrm] )
  33. c:\programdata\rundll\riar-2.dll - Trojan.Win32.ShadowBroker=
      s.as ( AVAST4: Win32:Stuxnet-C [Wrm] )
  34. c:\programdata\rundll\rundll.exe - UDS:DangerousObject.Multi=
      =2EGeneric
  35. c:\programdata\rundll\ssleay32.dll - Trojan.Win32.ShadowBrok=
      ers.cz ( AVAST4: Other:Malware-gen [Trj] )
  36. c:\programdata\rundll\tibe.dll - Trojan.Win32.ShadowBrokers.=
      ac ( AVAST4: Other:Malware-gen [Trj] )
  37. c:\programdata\rundll\tibe-1.dll - Trojan.Win32.ShadowBroker=
      s.bb ( AVAST4: Other:Malware-gen [Trj] )
  38. c:\programdata\rundll\tibe-2.dll - Trojan.Win32.ShadowBroker=
      s.ad ( AVAST4: Other:Malware-gen [Trj] )
  39. c:\programdata\rundll\trch.dll - Trojan.Win32.ShadowBrokers.=
      ae ( AVAST4: Win32:Malware-gen )
  40. c:\programdata\rundll\trch-0.dll - Trojan.Win32.ShadowBroker=
      s.af
  41. c:\programdata\rundll\trch-1.dll - Trojan.Win32.ShadowBroker=
      s.ag ( AVAST4: Other:Malware-gen [Trj] )
  42. c:\programdata\rundll\trfo.dll - Trojan.Win32.ShadowBrokers.=
      an ( AVAST4: Other:Malware-gen [Trj] )
  43. c:\programdata\rundll\trfo-0.dll - Trojan.Win32.ShadowBroker=
      s.aq
  44. c:\programdata\rundll\trfo-2.dll - Trojan.Win32.ShadowBroker=
      s.ap ( AVAST4: Other:Malware-gen [Trj] )
  45. c:\programdata\rundll\tucl.dll - Trojan.Win32.ShadowBrokers.=
      ah ( AVAST4: Other:Malware-gen [Trj] )
  46. c:\programdata\rundll\tucl-1.dll - Trojan.Win32.ShadowBroker=
      s.ai ( AVAST4: Other:Malware-gen [Trj] )
  47. c:\programdata\rundll\ucl.dll - Trojan.Win32.Shadowbrokers.c=
      o
  48. c:\programdata\rundll\xdvl-0.dll - Trojan.Win32.ShadowBroker=
      s.ak ( AVAST4: Other:Malware-gen [Trj] )
  49. c:\programdata\rundll\x64.dll - HEUR:Trojan.Win32.Blouiroet.=
      gen ( AVAST4: Win64:Malware-gen )
  50. c:\programdata\rundll\x86.dll - HEUR:Trojan.Win32.Blouiroet.=
      gen ( BitDefender: Gen:Trojan.Heur.LP.fu4@aKVfA7ei, AVAST4: Win32:=
      Trojan-gen )
  51. c:\programdata\rundll\zibe.dll - Trojan.Win32.ShadowBrokers.=
      al ( AVAST4: Other:Malware-gen [Trj] )
  52. c:\programdata\rundll\zlib1.dll - Trojan.Win32.EquationDrug.=
      dp ( AVAST4: Win32:Malware-gen )
  53. c:\programdata\rundll\2x64.dll - HEUR:Trojan.Win32.Blouiroet=
      =2Egen ( AVAST4: Win64:Malware-gen )
  54. c:\programdata\rundll\2x86.dll - HEUR:Trojan.Win32.Blouiroet=
      =2Egen ( BitDefender: Gen:Trojan.Heur.LP.fu4@aKVfA7ei, AVAST4: Win=
      32:Trojan-gen )
  55. c:\programdata\setup\update.exe - UDS:DangerousObject.Multi.=
      Generic
  56. c:\programdata\windows\install.bat - [B]Trojan.BAT.Agent.bhf[/B=
      ] ( AVAST4: Other:Malware-gen [Trj] )
  57. c:\programdata\windowstask\amd.exe - HEUR:Trojan.Win32.Miner=
      =2Egen ( AVAST4: Win64:CoinminerX-gen [Trj] )
  58. c:\programdata\windowstask\microsofthost.exe - HEUR:Trojan.W=
      in32.Miner.gen ( AVAST4: Win64:CoinminerX-gen [Trj] )
  59. c:\rdp\rdpwinst.exe - not-a-virus:RemoteAdmin.Win32.RDPWrap.h=
      

=D0=E5=EA=EE=EC=E5=ED=E4=E0=F6=E8=E8:

1. =CE=E1=ED=E0=F0=F3=E6=E5=ED=FB =F2=F0=EE=FF=ED=F1=EA=E8=E5 =EF=F0=EE=
   =E3=F0=E0=EC=EC=FB =EA=EB=E0=F1=F1=E0 Trojan-PSW/Trojan-Spy - =ED=E0=F1=
   =F2=EE=FF=F2=E5=EB=FC=ED=EE =F0=E5=EA=EE=EC=E5=ED=E4=F3=E5=F2=F1=FF =EF=
   =EE=EC=E5=ED=FF=F2=FC =E2=F1=E5 =EF=E0=F0=EE=EB=E8 !