Вирус но не могу выявить

[niknolty]

Периодически не могу зайти в почту и некоторые другие программы - используя двух факторную аутентификацию на данном компьютере не подходят кода из смс. На нем была взломана рабочая почта на мэйлру. AVZ4 периодически запускаю. Но проблема остается. В то же время на другом компьютере под мак в почту с смененным паролем можно зайти смс код принимается.
Спасибо за внимание.
Помогите.
Николай

[Info_bot]

Уважаемый(ая) niknolty, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[niknolty]

Уважаемый(ая) niknolty, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

Я же приложил архив с логами в зип файле.

[niknolty]

Добрый вечер суток. Скажите помощи уже можно не ждать? Или она придет?

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O22 - Task: KMSAutoNet - C:\ProgramData\KMSAutoS\KMSAuto Net.exe /off=act (file missing)

Отключите временно встроенный антивирус ("Защитник") - у него ложное срабатывание на компоненты используемой далее программы, а также полностью отключите все компоненты Comodo.
Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[niknolty]

Все сделал. файл сохранил. программа uvs продолжает работать.
жду чем закончиться.
Спасибо.

- - - - -Добавлено - - - - -

Uvs написала образ успешно сохранен. Его я так думаю нужно приложить к сообщению. Архив был 7z я его в zip переделал и притложил.
Спасибо.

[Vvvyg]

Не надо в Zip, он уже в архиве 7z. Не вижу вложения, надо было как первый лог прикрепить.

[niknolty]

я прикреплял сверху темы в новом окне. Но написали что 7z нельзя только zip можно загрузить.

- - - - -Добавлено - - - - -

Слушайте архив не загружается - пишет на ненашем превысил размер! что делать?

- - - - -Добавлено - - - - -

вот сообщение
The following errors occurred:

DESKTOP-TQL4966_2020-12-24_18-06-23_v4.11.3.TXT: Ваш файл занимает 19.08 Мб байт, что превышает предел на форуме в 488.3 Кб для этого типа файла.

- - - - -Добавлено - - - - -

Результат загрузки
Ошибка загрузки.
Разрешена загрузка только zip файлов

- - - - -Добавлено - - - - -

Что мне сделать?

[Vvvyg]

Вроде на 7z не жаловался форум никогда, в других темах крепят. Выложите в облако и ссылку сюда.

[niknolty]

выложил на мейлру облако от почты.
ссылка https://cloud.mail.ru/public/9FSB/1DXgbMnth

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.11.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
deltmp
delref %SystemDrive%\USERS\D395~1\APPDATA\LOCAL\TEMP\EDGE_BITS_5920_674556028\33FC9109-021B-400A-BCDB-31793C84C280
delref %SystemDrive%\USERS\D395~1\APPDATA\LOCAL\TEMP\YANDEX_BROWSER_BITS_8256_729569471\RESPONSE
delref {9F2B0085-9218-42A1-88B0-9F0E65851666}\[CLSID]
delref {E984D939-0E00-4DD9-AC3A-7ACA04745521}\[CLSID]
delref {FE285C8C-5360-41C1-A700-045501C740DE}\[CLSID]
delref {9CDA66BE-3271-4723-8D35-DD834C58AD92}\[CLSID]
delref %SystemDrive%\PROGRAM FILES\7-ZIP\7-ZIP32.DLL
delref %SystemDrive%\USERS\ИГОРЬ\APPDATA\LOCAL\YANDEX\UPDATER2\BROWSERMANAGERSHOW.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.41\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.99\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\REMPL\DISKTOAST.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.93\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\REMPL\STRGSNSADDONS.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.29\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.49\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.41\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.99\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.137.93\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.133.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.29\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\TEAMVIEWER\TEAMVIEWER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGEUPDATE\1.3.135.49\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\OLE DB\MSDAORA.DLL
delref F:\HISUITEDOWNLOADER.EXE
apply
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

Сделайте лог Malwarebytes AdwCleaner.

[niknolty]

Доброе утро. Скрип из буфера обмена я выполнил. А в adwcleaner я наверное зря нажал карантин после сканирования. в инструкции речь шла не нажимать clean. 2 логи вставил.
Спасибо.

[Vvvyg]

В этот раз ничего страшного, но лучше так не делать.

Заражения нет.

Проблема во всех 4-х браузерах проявляется, Edge, Opera, Yandex, Firefox?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[niknolty]

Добрый вечер. скачал 64 бита и все просканировал.
2 лога запаковал в архив. В приложение ( это торговая площадка) на этом компьютере больше не заходим ( заходили через мозиллу). Сбросили двух-факторный вход и работаем на другом компе. Но с этого компьютера угнали все данные и заходили на площадку.
Спасибо.

[Vvvyg]

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
Task: {077333D6-06BA-4EA4-BDF4-1CD1439558F2} - \Microsoft\Windows\BrokerInfrastructure\BgTaskRegistrationMaintenanceTask -> No File <==== ATTENTION
Task: {317107BF-13F6-48B4-AA5A-BA0B03A02F4B} - \Microsoft\Windows\ErrorDetails\EnableErrorDetailsUpdate -> No File <==== ATTENTION
Task: {5587F1DC-15D0-4331-A673-6EF75E5CD9C0} - \Microsoft\Windows\AppID\SmartScreenSpecific -> No File <==== ATTENTION
Task: {71E53243-3A2D-47EE-9DAB-6D71B2366657} - \Microsoft\Windows\ErrorDetails\ErrorDetailsUpdate -> No File <==== ATTENTION
Task: {C0808836-70A0-4707-8D8C-BB1BE27FA180} - \Microsoft\Windows\UNP\RunCampaignManager -> No File <==== ATTENTION
CHR HKU\S-1-5-21-965708952-2322956578-3987454868-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg]
CHR HKLM-x32\...\Chrome\Extension: [imhlianhlhdicjchlbmbfaefhhjencbe]
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh]
OPR Extension: (Rich Hints Agent) - C:\Users\Игорь\AppData\Roaming\Opera Software\Opera Stable\Extensions\enegjkbbakeegngfapepobipndnebkdk [2020-11-09]
2020-12-26 09:20 - 2020-12-26 09:23 - 000000000 ____D C:\AdwCleaner
2020-12-17 20:20 - 2020-08-07 14:23 - 000000000 ____D C:\ProgramData\Doctor Web
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
FirewallRules: [{2E31BA26-CFB7-4827-8B52-59A3B3C59E56}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.61.100.0_x86__kzf8qxf38zg5c\Skype\Skype.exe => No File
FirewallRules: [{BCC48799-BBA5-4139-8745-E165950C2B5F}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.61.100.0_x86__kzf8qxf38zg5c\Skype\Skype.exe => No File
FirewallRules: [{2748BC59-9D54-448F-91A0-524B9145F1C3}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.61.100.0_x86__kzf8qxf38zg5c\Skype\Skype.exe => No File
FirewallRules: [{2C965F3B-4463-4706-B21D-A61E95AEFC4A}] => (Allow) C:\Program Files\WindowsApps\Microsoft.SkypeApp_15.61.100.0_x86__kzf8qxf38zg5c\Skype\Skype.exe => No File
FirewallRules: [{CBCD6110-D12E-489F-9E06-94031BEBCDB5}] => (Allow) C:\Program Files\KMSpico\AutoPico.exe => No File
FirewallRules: [{FC1C1562-7E2D-4F9E-8AF7-1ACD4B27E9A8}] => (Allow) C:\Program Files\KMSpico\AutoPico.exe => No File
FirewallRules: [{6E074887-75D0-4DF3-AF47-5A15C921DF6C}] => (Allow) C:\Program Files\KMSpico\Service_KMS.exe => No File
FirewallRules: [{E0E0F780-6BC7-408F-A0F2-475C6CD231A9}] => (Allow) C:\Program Files\KMSpico\Service_KMS.exe => No File
FirewallRules: [{6D426018-23A3-4FF7-B123-72DFF8870D66}] => (Allow) C:\Program Files\KMSpico\Service_KMS.exe => No File
FirewallRules: [{5DAD6B1B-B315-4DC8-9FC7-F00BC98C15D3}] => (Allow) C:\Program Files\KMSpico\Service_KMS.exe => No File
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кеш и cookie:
Как очистить кэш Firefox.
Удаление недавней истории веб-сёрфинга, поиска и загрузок.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[niknolty]

Прикладываю лог. и продолжаю дальнейшие действия.
Спасибо.

- - - - -Добавлено - - - - -

Очистил весь кэш и всю историю.
Скачал и выполнил SecurityCheck. Лог прикладываю.
Спасибо.

[Vvvyg]

Серьёзных проблем не видно, можно пробовать зайти через этот компьютер.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

[niknolty]

Спасибо. сейчас сделаю. Завтра попробуем зайти.

[CyberHelper]

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

• =CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 2
• =CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 5
• =C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
  =E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
  =E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB