Проблемы со скачиванием файлов из почты и с файлообменников [Trojan.Win32.Reconyc.ihtb ]

[Kondor]

Здравствуйте! Была уже похожая тема свежая. Случилось то же самое. Скопирую проблему


1. Файлы, полученные на почту gmail, не скачиваются вообще никак. При клике на иконку не происходит ничего.


2. При попытке скачать файлы, полученные на почту yandex, происходит открытие окна с адресом https://webattach.mail.yandex.net/и скачивается архив zip, в который вложен одноименный архив, внутри которого файл exe.


3. При скачивании файлов с файлообменников происходит тоже самое, только с адреса к примеру http://downloadscdn1.freepik.com. Открывается новая закладка и скачивается exe в двух зиповских папках. При попытке запустить такой exe, был получен полный букет прелестей от mail.ru, но вычищен вручную и с помощью утилиты чистилка и dr.web curelt!


4. При сохранении файлов из почты на диски (яндекс-диск, гугл-диск) и попытках скачать их оттуда, происходит либо ничего, либо опять архив с екзешником.

логи в аттаче

[Info_bot]

Уважаемый(ая) Kondor, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Kondor]

Добрый день!
Malwarebytes и adwcleaner угроз не видят (в день заражения они удаляли вредителей). но проблема пока осталась. все кеши и темпы почищены. смена браузера так же не помогает.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O17 - HKLM\System\CSS\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 178.132.6.57
O17 - HKLM\System\CSS\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 193.238.153.54
O17 - HKLM\System\CSS\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 35.177.46.238
O17 - HKLM\System\CSS\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 46.101.28.31
O17 - HKLM\System\CSS\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 82.202.226.203
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 178.132.6.57
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 193.238.153.54
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 35.177.46.238
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 46.101.28.31
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{0d8e152e-8872-430d-9aa3-e09463986e81}: NameServer = 82.202.226.203

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Users\NATA\appdata\local\duckgo\duckgo.exe', '');
 QuarantineFile('C:\Users\NATA\appdata\local\yc\application\yc.exe', '');
 QuarantineFile('C:\Users\NATA\AppData\Roaming\Mail.Ru\Agent\bin\magent.exe', '');
 DeleteFile('C:\Users\NATA\appdata\local\duckgo\duckgo.exe', '32');
 DeleteFile('C:\Users\NATA\appdata\local\yc\application\yc.exe', '32');
 DeleteFile('C:\Users\NATA\AppData\Roaming\Mail.Ru\Agent\bin\magent.exe', '32');
 DeleteFile('C:\Users\NATA\Favorites\Links\Интернет.url');
 ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
 DeleteFileMask('c:\users\nata\appdata\local\duckgo', '*', true);
 DeleteFileMask('c:\users\nata\appdata\local\yc', '*', true);
 DeleteFileMask('c:\users\nata\appdata\roaming\mail.ru', '*', true);
 DeleteDirectory('c:\users\nata\appdata\local\duckgo');
 DeleteDirectory('c:\users\nata\appdata\local\yc');
 DeleteDirectory('c:\users\nata\appdata\roaming\mail.ru');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'agent.desktop');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(21);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger.

[Kondor]

спасибо! все сделано!

[Vvvyg]

Adwcleaner не устанавливается, а запускается из любой папки, так что непонятно что с названием AdwCleaner, версия 7.0.3.1 удалите через установку и удаление программ.

Проблема решена?

[Kondor]

AdwCleaner, версия 7.0.3.1 удален.
Визуально проблема ушла, все работает в штатном режиме.

Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\nata\appdata\local\duckgo\duckgo.exe - Trojan.Win32.Reconyc.ihtb