Поймал трояна [not-a-virus:AdWare.Win32.Agent.jtgp ]

SQ · 16.02.2016, 00:35

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantine;
 TerminateProcessByName('c:\program files (x86)\360\total security\safemon\qhactivedefense.exe');
 TerminateProcessByName('c:\program files (x86)\360\total security\safemon\qhsafetray.exe');
 StopService('360AntiHacker');
 StopService('BAPIDRV');
 DeleteService('360AntiHacker');
 DeleteService('BAPIDRV');
 QuarantineFile('C:\Program Files (x86)\360\Total Security\ipc\appd.dll','');
 QuarantineFile('C:\Program Files (x86)\360\Total Security\safemon\CleanPlusCache.tpi','');
 QuarantineFile('c:\program files (x86)\360\total security\safemon\qhactivedefense.exe','');
 QuarantineFile('c:\program files (x86)\360\total security\safemon\qhsafetray.exe','');
 QuarantineFile('C:\Windows\system32\Drivers\360AntiHacker64.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','');
 DeleteFile('C:\Program Files (x86)\360\Total Security\ipc\appd.dll','32');
 DeleteFile('C:\Program Files (x86)\360\Total Security\safemon\CleanPlusCache.tpi','32');
 DeleteFile('c:\program files (x86)\360\total security\safemon\qhactivedefense.exe','32');
 DeleteFile('c:\program files (x86)\360\total security\safemon\qhsafetray.exe','32');
 DeleteFile('C:\Windows\system32\Drivers\360AntiHacker64.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
 DeleteFileMask('c:\program files (x86)\360', '*', true, ' ');
 DeleteDirectory('c:\program files (x86)\360');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Приложите новый лог AVZ.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Михаил_Б** · 17.02.2016, 00:17

прикладываю.

Не сразу понял, что вторая страница в теме появилась.

SQ · 17.02.2016, 00:56

По сей видимости срабатывает само-защита у антивируса 360, выполните следующий скрипт в безопасном режиме.

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantine; 
 TerminateProcessByName('c:\program files (x86)\360\total security\safemon\qhactivedefense.exe');
 TerminateProcessByName('c:\program files (x86)\360\total security\safemon\qhsafetray.exe');
 StopService('360AntiHacker');
 StopService('BAPIDRV');
 DeleteService('360AntiHacker');
 DeleteService('BAPIDRV');
 QuarantineFile('C:\Program Files (x86)\360\Total Security\ipc\appd.dll','');
 QuarantineFile('C:\Program Files (x86)\360\Total Security\safemon\CleanPlusCache.tpi','');
 QuarantineFile('c:\program files (x86)\360\total security\safemon\qhactivedefense.exe','');
 QuarantineFile('c:\program files (x86)\360\total security\safemon\qhsafetray.exe','');
 QuarantineFile('C:\Windows\System32\Drivers\360AntiHacker64.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','');
 DeleteFile('C:\Program Files (x86)\360\Total Security\ipc\appd.dll','32');
 DeleteFile('C:\Program Files (x86)\360\Total Security\safemon\CleanPlusCache.tpi','32');
 DeleteFile('c:\program files (x86)\360\total security\safemon\qhactivedefense.exe','32');
 DeleteFile('c:\program files (x86)\360\total security\safemon\qhsafetray.exe','32');
 DeleteFile('C:\Windows\System32\Drivers\360AntiHacker64.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
 DeleteFileMask('c:\program files (x86)\360', '*', true, ' ');
 DeleteDirectory('c:\program files (x86)\360');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Приложите новый лог AVZ в обычном режиме.

**Михаил_Б** · 17.02.2016, 11:46

вроде удалился

SQ · 17.02.2016, 13:04

Для того, чтобы удалить хвосты, выполните следующие инструкции:

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**Михаил_Б** · 17.02.2016, 20:00

готово

SQ · 17.02.2016, 22:42

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
S3 360AvFlt; C:\Windows\System32\DRIVERS\360AvFlt.sys [77904 2015-11-20] (360.cn)
S3 360AvFlt; C:\Windows\SysWOW64\DRIVERS\360AvFlt.sys [77904 2015-11-20] (360.cn)
R1 360Box64; C:\Windows\System32\DRIVERS\360Box64.sys [319568 2015-11-20] (360.cn)
R1 360Camera; C:\Windows\System32\Drivers\360Camera64.sys [40520 2015-11-20] (360.cn)
R1 360FsFlt; C:\Windows\System32\DRIVERS\360FsFlt.sys [367696 2015-11-20] (360.cn)
C:\Windows\System32\DRIVERS\360AvFlt.sys 487CAEA3F23CA2E73C76E08E63920636
C:\Windows\SysWOW64\DRIVERS\360AvFlt.sys 487CAEA3F23CA2E73C76E08E63920636
C:\Windows\System32\DRIVERS\360Box64.sys F18C1EE63D7CBDA764F8ED13FF4A2D25
C:\Windows\System32\Drivers\360Camera64.sys D31541708A595BCA380105D44C2C2AD5
C:\Windows\System32\DRIVERS\360FsFlt.sys 90F84CEEF25AA2657481326A4715D38D
OPR Extension: (Quick Searcher) - C:\Users\user_mike2\AppData\Roaming\Opera Software\Opera Stable\Extensions\dighmiipfpfdfbfmpodcmfdgkkcakbco [2016-02-05]
2016-02-09 18:38 - 2016-02-09 18:38 - 00000000 ____D C:\Users\user_mike2\AppData\Roaming\360TotalSecurity
2016-02-05 19:33 - 2016-02-12 13:44 - 00000000 __SHD C:\$360Section
2016-02-05 19:32 - 2016-02-05 19:32 - 00000000 ____D C:\Users\user_mike2\AppData\Roaming\360safe
2016-02-05 18:55 - 2016-02-17 11:24 - 00000000 ____D C:\Users\user_mike2\AppData\LocalLow\360WD
2016-02-05 18:55 - 2016-02-09 18:45 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\360 Security Center
2016-02-05 18:55 - 2016-02-09 18:38 - 00000000 ____D C:\Users\Все пользователи\360TotalSecurity
2016-02-05 18:55 - 2016-02-09 18:38 - 00000000 ____D C:\ProgramData\360TotalSecurity
2016-02-05 18:55 - 2016-02-07 15:34 - 00000000 _RSHD C:\360SANDBOX
2016-02-05 18:55 - 2016-02-05 18:55 - 00000000 ____D C:\Users\Все пользователи\360safe
2016-02-05 18:55 - 2016-02-05 18:55 - 00000000 ____D C:\ProgramData\360safe
2016-02-05 18:55 - 2015-11-20 13:51 - 00367696 _____ (360.cn) C:\Windows\system32\Drivers\360fsflt.sys
2016-02-05 18:55 - 2015-11-20 13:51 - 00319568 _____ (360.cn) C:\Windows\system32\Drivers\360Box64.sys
2016-02-05 18:55 - 2015-11-20 13:51 - 00178768 _____ (360.cn) C:\Windows\system32\Drivers\BAPIDRV64.SYS
2016-02-05 18:55 - 2015-11-20 13:51 - 00137808 _____ (360.cn) C:\Windows\system32\Drivers\360AntiHacker64.sys
2016-02-05 18:55 - 2015-11-20 13:51 - 00077904 _____ (360.cn) C:\Windows\SysWOW64\Drivers\360AvFlt.sys
2016-02-05 18:55 - 2015-11-20 13:51 - 00077904 _____ (360.cn) C:\Windows\system32\Drivers\360AvFlt.sys
2016-02-05 18:55 - 2015-11-20 13:51 - 00040520 _____ (360.cn) C:\Windows\system32\Drivers\360Camera64.sys
2016-02-12 13:44 - 2015-10-12 16:31 - 00000000 __SHD C:\Users\Все пользователи\360Quarant
2016-02-12 13:44 - 2015-10-12 16:31 - 00000000 __SHD C:\ProgramData\360Quarant
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**Михаил_Б** · 18.02.2016, 09:47

готово

SQ · 18.02.2016, 10:46

На этом все.

**Михаил_Б** · 18.02.2016, 21:51

Спасибо большое!

**CyberHelper** · 18.02.2016, 22:01

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 13
В ходе лечения обнаружены вредоносные программы:
1. c:\program files (x86)\defsoft\kppwua.exe - not-a-virus:AdWare.Win32.Agent.jtgp

Поймал трояна [not-a-virus:AdWare.Win32.Agent.jtgp ] (заявка № 196952)

Опции темы

Итог лечения

Похожие темы

Поймал Трояна

Поймал трояна

Поймал трояна.

Поймал трояна с сайта

Поймал по почте трояна

Ваши права в разделе