Подхватил трояна! [Trojan.Python.PBot.a ]

[prival]

Внешне проявляется в браузерах: при открытии браузера (любого) сразу открываются закладки 12kotov, luxuruslotonline, premiumslotonline, которые нельзя закрыть. Защитник windows находит вирус Trojan^Win32/Azden.A!cl
Стоит операционка win10.
Из антивирусов стоит McAffe.

[Info_bot]

Уважаемый(ая) prival, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Admin\AppData\Local\FilterStart\FilterStart.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Local\syslog\syslog.exe','');
 QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_4396\s_inst.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_21591\s_inst.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_21590\s_inst.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\newSI_2149\s_inst.exe','');
 QuarantineFile('C:\Users\Admin\AppData\Roaming\PBot\launchall.py','');
 TerminateProcessByName('c:\users\admin\appdata\local\filterstart\filterstart.exe');
 QuarantineFile('c:\users\admin\appdata\local\filterstart\filterstart.exe','');
 DeleteFile('c:\users\admin\appdata\local\filterstart\filterstart.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qvxeicbden');
 DeleteFile('C:\Users\Admin\AppData\Roaming\PBot\launchall.py','32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_2149\s_inst.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_21590\s_inst.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\newSI_21590.job','32');
 DeleteFile('C:\WINDOWS\Tasks\newSI_2149.job','32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_21591\s_inst.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\newSI_21591.job','32');
 DeleteFile('C:\Users\Admin\AppData\Roaming\newSI_4396\s_inst.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\newSI_4396.job','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Account Translator Mgr','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\newSI_21591','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\newSI_4396','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\newSI_21590','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\newSI_2149','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Private Standart Helper','64');
 DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Standart Base Helper','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\syslog','64');
 DeleteFile('C:\Users\Admin\AppData\Local\syslog\syslog.exe','32');
 DeleteFile('C:\Users\Admin\AppData\Local\FilterStart\FilterStart.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[prival]

Выполнил скрипты, отправил карантин по красной ссылке.
Повторно выполнил скрипты и вставил в сообщение.

[thyrex]

Нам нужны новые логи Autologger

[prival]

Добрый день!
Сделал новые логи Autologger.
Позавчера переустановил Firefox. Пропали закладки на сайты с казино, но осталась периодически появляющаяся (примерно каждые 10 минут) закладка akisho.ru.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[prival]

Выполнил FRST.exe

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Run: [DateOption] => C:\Users\Admin\AppData\Local\DateOption\regCheck.vbs www.syschecksync.com/?rnd=141 0 0
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [FilterOptions] => C:\Users\Admin\AppData\Local\FilterOptions\regCheck.vbs www.regtestproc.com/?rnd=141 0 600000
HKLM\...\Policies\Explorer\Run: [TestMenu] => C:\Users\Admin\AppData\Local\TestMenu\regCheck.vbs www.testmenu.xyz
HKLM\...\Policies\Explorer\Run: [ImmediateHelp] => C:\Users\Admin\AppData\Local\ImmediateHelp\regCheck.vbs www.2road.xyz
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\Run: [FileSystemOptions] => C:\Users\Admin\AppData\Local\FileSystemOptions\regCheck.vbs www.minipigping.com/?rnd=141 0 1200000
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\Policies\Explorer\Run: [LastNews] => C:\Users\Admin\AppData\Local\LastNews\regCheck.vbs www.snowyear.xyz
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\Policies\Explorer\Run: [ValidateLife] => C:\Users\Admin\AppData\Local\ValidateLife\regCheck.vbs www.hitopup.xyz
Startup: C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\regCheck.lnk [2016-12-13]
ShortcutTarget: regCheck.lnk -> C:\Users\Admin\AppData\Local\rightchose\regCheck.vbs ()
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=A3D5163006EDC983E77994D1DEDE79A3&utm_d=20161207
CHR HomePage: Profile 3 -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=A3D5163006EDC983E77994D1DEDE79A3&utm_d=20161207
CHR StartupUrls: Profile 3 -> "hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=A3D5163006EDC983E77994D1DEDE79A3&utm_d=20161207"
CHR HKLM\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - hxxp://clients2.google.com/service/update2/crx
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\ValidateLife
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\TestMenu
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\rightchose
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\LastNews
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\ImmediateHelp
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\FilterOptions
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\FileSystemOptions
2016-12-13 18:54 - 2016-12-13 18:54 - 00000000 ____D C:\Users\Admin\AppData\Local\DateOption
2016-12-07 18:28 - 2016-12-14 10:29 - 00000000 ____D C:\Users\Admin\AppData\Roaming\PBot
2016-12-07 18:28 - 2016-12-07 18:28 - 00003424 _____ C:\WINDOWS\System32\Tasks\PBot
2016-12-07 18:24 - 2016-12-13 23:41 - 00000000 ____D C:\Users\Admin\AppData\Local\FilterStart
2016-12-07 18:24 - 2016-12-07 18:24 - 00057072 _____ (Windows (R) Win 7 DDK provider) C:\WINDOWS\ServiceMgr.sys
2016-12-07 18:24 - 2016-12-07 18:24 - 00010240 _____ (telfax) C:\Users\Admin\AppData\Local\Account Translator Mgr.exe
2016-12-07 18:24 - 2016-12-07 18:24 - 00000326 _____ C:\Users\Admin\AppData\Local\expand.ini
2016-12-07 18:24 - 2016-12-07 18:24 - 00000000 ____D C:\Users\Admin\AppData\Local\Вoйти в Интeрнет
2016-12-07 18:20 - 2016-12-13 23:41 - 00000000 ____D C:\Users\Admin\AppData\Local\syslog
2016-12-07 18:19 - 2016-12-07 18:19 - 00000000 ____D C:\Users\Admin\AppData\Local\Поиcк в Интeрнете
C:\Users\Admin\AppData\Local\Temp\643D.tmp.exe
C:\Users\Admin\AppData\Local\Temp\libeay32.dll
C:\Users\Admin\AppData\Local\Temp\msvcr120.dll
C:\Users\Admin\AppData\Local\Temp\sqlite3.dll
Task: {02EE2232-A791-46EC-BAF3-592AFE2A9C86} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {056C734F-D933-40D5-BA81-3631AAD02941} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {19636CDC-4E41-44E5-BAA2-07B94A017E63} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {4D947D11-54F3-4724-B7D6-9ABCE24E4983} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {53F44FA2-F633-4E48-896D-28ABAA8E29E7} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {6E00B5DD-5DFF-4030-B046-D16C61D68F65} - \Private Standart Helper -> No File <==== ATTENTION
Task: {959F9FEB-D555-452C-BD57-53CC61BD7956} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {9888B333-B7B2-4EDA-AF35-19F27792C075} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {A4CE6451-2ED4-4A2D-9C5E-A3B0483A4EDA} - System32\Tasks\GarantUpdate => C:\updater.bat [2014-02-12] () <==== ATTENTION
Task: {B2B51D23-FF3B-4C7F-9B81-A101569E5339} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {B9F20AAF-A8BB-4DA8-B1BA-25D1EB834663} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {CB8821D6-5DA5-4335-BA39-966FC075A559} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {D03250F0-B79B-4D68-8E23-3DC9F48A2D8D} - \Microsoft\Windows\Setup\GWXTriggers\Logon-URT -> No File <==== ATTENTION
Task: {DAAB3B89-00AC-46D6-B182-6530E692B9CD} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {DD5E7691-10CB-46E9-BBC0-FEC118DE0A9A} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {E0F05981-2C28-477C-9F84-111E21BE5A9F} - \Account Translator Mgr -> No File <==== ATTENTION
Task: {EAD0D710-EA27-4A4A-9D7E-9AFD30C58CA1} - \Standart Base Helper -> No File <==== ATTENTION
Task: {EE86F173-0BE2-4746-8EF5-2ED2CA789A14} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {F065D602-BA05-4F62-988F-9DDE997FF30D} - \syslog -> No File <==== ATTENTION
HKLM\...\StartupApproved\StartupFolder: => "0x4E45544745415220574E4131313030201C0434410442043504442043044104420432A2A6C6E6B<*>"
HKLM\...\StartupApproved\Run: => "DateOption"
HKLM\...\StartupApproved\Run32: => "FilterOptions"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\StartupFolder: => "regCheck.lnk"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\Run: => "Browser Manager"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\Run: => "PBot"
HKU\S-1-5-21-3427186465-3026981798-2581673138-1000\...\StartupApproved\Run: => "FileSystemOptions"
FirewallRules: [{3AEEC98B-C7D2-469D-83C8-551CC20D332B}] => C:\Program Files\UBar\ubar.exe
FirewallRules: [{237BA416-B0F5-4FC5-B23A-F3B02C65C5CB}] => C:\Users\Admin\AppData\Local\Amigo\Application\amigo.exe
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[prival]

Выполнил fixlog.txt

[thyrex]

Проблема решена?

[prival]

Добрый день!
Да, пропали все закладки с казино. Однако, окна с рекламой возникают при переходе на каждую ссылку или открытии новой вкладки.
Реклама Кёрхер и Черкизово. Если я запрещаю скрипты на этой странице, то реклама выходит в виде контура и закрывает страницу под ней.

[thyrex]

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему

[prival]

Добрый день!
Сделал. Вроде-бы все пропало. Спасибо за помощь!
С наступающим Новым годом!

[thyrex]

Теперь по одному включайте и найдете виновника. Сообщите нам его имя

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\admin\appdata\local\filterstart\filtersta rt.exe - not-a-virus:AdWare.Win32.Agent.kczh
  2. c:\users\admin\appdata\local\syslog\syslog.exe - Trojan-Downloader.Win32.AdLoad.nixp
  3. c:\users\admin\appdata\roaming\pbot\launchall.py - Trojan.Python.PBot.a