Вирус который после очистки появляется вновь

[maksim.r]

Добрый день! Имеется компьютерная сеть, доступ у компьютеров имеется только к 2-3 сайтам. В последнее время начал беспокоить вирус win32.wanna.a. Обновление безопасности, которое microsoft выпускало для защиты от wanna cry установлено на всех компьютерах. После очисти утилитой KVRT, вирус восстанавливается через неделю-две. Лог файл во вложении.

[Info_bot]

Уважаемый(ая) maksim.r, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('mssecsvc2.0', 4);
 DeleteService('mssecsvc2.0');
 TerminateProcessByName('c:\windows\mssecsvc.exe');
 QuarantineFile('c:\windows\mssecsvc.exe','');
 DeleteFile('c:\windows\mssecsvc.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи

[maksim.r]

Добрый день. Новые логи во вложении

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[maksim.r]

При попытке открытия приложения появляется сообщение "не является приложением win32"

[thyrex]

Обе версии вываливаются с ошибкой?

[maksim.r]

да, обе

[thyrex]

Сделайте лог полного сканирования МВАМ

[maksim.r]

При попытке открытия установочного файла появляется сообщение "Прекращена работа программы Malwarebytes"

[Vvvyg]

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.
Если не запустится, пробуйте файл startF.exe.

[maksim.r]

Образ автозапуска во вложении

[Vvvyg]

(!) START.EXE заражен неизвестным вирусом! Внесите сигнатуру вируса в базу.

Файловое заражение.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.0.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
zoo %Sys32%\TASKMGR.EXE
zoo %Sys32%\SC.EXE
zoo %Sys32%\CMD.EXE
czoo
delref %SystemDrive%\USERS\TERLPU\APPDATA\LOCAL\GOOGLE\CHROME\APPLICATION\48.0.2564.103\RESOURCES\BOOKMARK_MANAGER\BOOKMARK MANAGER
apply

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Лечитесь как указано в этой теме: Как лечить файловый вирус?, потом сделайте новые логи.
Предпочтительнее с LiveCD/LiveUSB, созданном на другом, чистом компьютере

[maksim.r]

При попытке сформировать архив zoo, в uVS отобразилось в логе сообщение о том, что не удалось запустить 7za, т.к. не является приложением win32. Создалась новая папка "ZOO" я ее заархивировал и отправил как карантин.

[Vvvyg]

Похоже на свежую модификацию Virut, пошлю в вирлабы. Пока пролечиться не получится.

[maksim.r]

Новые логи во вложении

[Vvvyg]

Выполните в AVZ скрипт:

begin
ClearQuarantine;
 QuarantineFile('c:\program files\zend\apache2\bin\apachemonitor.exe','');
 QuarantineFile('c:\autologger (1)\autologger\avz\avz.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Проведите эту процедуру, ссылку на результат укажите в теме.

[maksim.r]

Ссылка на результат: https://virusinfo.info/virusdetector...E6A4DCEEBD6B1A

[Vvvyg]

Попробуйте пролечиться с Kaspersky Rescue Disk, созданным на чистом компьютере.
Результат напишите.

[maksim.r]

Пока работает нормально все. Есть советы как недопустить повторного заражения? Возможно какие порты закрыть или еще чего