Ошибка winlog.exe [Trojan.BAT.Agent.arc, Trojan.BAT.Miner.dp, not-a-virus:RiskTool.MSIL.BitCoinMiner.ah ]

[snaps]

Неделю назад заметил что на рабочий стол стал выскакивать надпись "Прекращена работа программы winlog.exe" плюс появился mpeg.exe и \{e4fb901e-ddcv-66c6-2301-02c681681b3d}\49444081.exe в автозагрузке которого раньше не было.

Система windows 7 ultimate

[Info_bot]

Уважаемый(ая) snaps, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\programdata\csrss.exe');
 TerminateProcessByName('c:\programdata\dwm.exe');
 QuarantineFile('c:\programdata\{E4FB901E-DDCB-66C6-2301-02C681681B3D}\49444081.exe', '');
 QuarantineFile('c:\programdata\csrss.exe', '');
 QuarantineFile('c:\programdata\dwm.exe', '');
 QuarantineFile('C:\ProgramData\PrtScr\MgopEn\driverUp.exe', '');
 QuarantineFile('c:\users\almat\appdata\roaming\{9E9E6F34-0FAC-C687-6F8D-AB9D5078F273}\3321bfab.exe', '');
 QuarantineFile('C:\Users\almat\AppData\Roaming\ievdevjh\vhdvdiva.exe', '');
 QuarantineFile('C:\Users\almat\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Mpeg.exe', '');
 QuarantineFile('C:\Users\almat\AppData\Roaming\Microsoft\Windows\themes\Amoaoa.exe', '');
 QuarantineFile('C:\Users\almat\AppData\Roaming\WindowsUpdate\Updater.exe', '');
 QuarantineFileF('C:\ProgramData', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.lnk', false, '', 0, 0);
 QuarantineFileF('C:\Users\almat\AppData\Roaming\My-top-apps', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('c:\programdata\{E4FB901E-DDCB-66C6-2301-02C681681B3D}\49444081.exe', '32');
 DeleteFile('c:\programdata\csrss.exe', '32');
 DeleteFile('c:\programdata\dwm.exe', '32');
 DeleteFile('C:\ProgramData\PrtScr\MgopEn\driverUp.exe', '32');
 DeleteFile('c:\users\almat\appdata\roaming\{9E9E6F34-0FAC-C687-6F8D-AB9D5078F273}\3321bfab.exe', '32');
 DeleteFile('C:\Users\almat\AppData\Roaming\ievdevjh\vhdvdiva.exe', '32');
 DeleteFile('C:\Users\almat\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
 DeleteFile('C:\Users\almat\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Mpeg.exe', '32');
 DeleteFile('C:\Users\almat\AppData\Roaming\Microsoft\Windows\themes\Amoaoa.exe', '32');
 DeleteFile('C:\Users\almat\AppData\Roaming\WindowsUpdate\Updater.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{028E4704-279C-5A97-6F8D-AB9D5078F273}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{78EBB82E-F5FB-FAD6-2301-02C681681B3D}" /F', 0, 15000, true);
 DeleteFileMask('C:\ProgramData', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.lnk', false);
 DeleteFileMask('c:\programdata\prtscr\mgopen', '*', true);
 DeleteFileMask('c:\users\almat\appdata\roaming\{9e9e6f34-0fac-c687-6f8d-ab9d5078f273}', '*', true);
 DeleteFileMask('c:\users\almat\appdata\roaming\ievdevjh', '*', true);
 DeleteFileMask('C:\Users\almat\AppData\Roaming\My-top-apps', '*', true);
 DeleteFileMask('c:\users\almat\appdata\roaming\windowsupdate', '*', true);
 DeleteDirectory('c:\programdata\prtscr\mgopen');
 DeleteDirectory('c:\users\almat\appdata\roaming\{9e9e6f34-0fac-c687-6f8d-ab9d5078f273}');
 DeleteDirectory('c:\users\almat\appdata\roaming\ievdevjh');
 DeleteDirectory('C:\Users\almat\AppData\Roaming\My-top-apps');
 DeleteDirectory('c:\users\almat\appdata\roaming\windowsupdate');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Amoaoa');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'bmyto');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[snaps]

Вот все сделал скан и логи снизу!

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-734102929-3953884083-3472236817-1000\...\Run: [{78EBB82E-F5FB-FAD6-2301-02C681681B3D}] => c:\programdata\{e4fb901e-ddcb-66c6-2301-02c681681b3d}\49444081.exe [267776 2018-03-14] ()
HKU\S-1-5-21-734102929-3953884083-3472236817-1000\...\Run: [dbnra] => C:\Users\almat\AppData\Roaming\ievdevjh\vhdvdiva.ex
HKU\S-1-5-21-734102929-3953884083-3472236817-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=834425
SearchScopes: HKU\S-1-5-21-734102929-3953884083-3472236817-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B6F9E019B-B6FF-4787-B49B-80600DA49A02%7D&gp=834430
SearchScopes: HKU\S-1-5-21-734102929-3953884083-3472236817-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B6F9E019B-B6FF-4787-B49B-80600DA49A02%7D&gp=834430
BHO-x32: [email protected] -> {8E8F97CD-60B5-456F-A201-73065652D099} -> C:\Users\almat\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll [2018-02-27] (Mail.Ru)
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [indjgiebmakhmnaplnlnanodkfiejfjd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lhemechcanjmilllmccjbjldonmnnjjj] - hxxps://clients2.google.com/service/update2/crx
S2 mrupdsrv; "C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe" --s [X] <==== ATTENTION
c:\programdata\{e4fb901e-ddcb-66c6-2301-02c681681b3d}\49444081.exe
2018-03-15 00:03 - 2018-03-15 00:03 - 000000000 ____D C:\ProgramData\{E9D6D8CF-951A-6BEB-2301-02C681681B3D}
2018-03-14 21:42 - 2018-03-14 23:57 - 000000000 ____D C:\ProgramData\{e4fb901e-ddcb-66c6-2301-02c681681b3d}
2018-02-27 16:42 - 2018-02-27 16:44 - 000000000 ____D C:\ProgramData\Mail.Ru
C:\Users\almat\AppData\Local\Mail.Ru
Task: {B8FC3256-4267-4E0B-967D-44063F1F2570} - System32\Tasks\{78EBB82E-F5FB-FAD6-2301-02C681681B3D} => c:\programdata\{e4fb901e-ddcb-66c6-2301-02c681681b3d}\49444081.exe [2018-03-14] () <==== ATTENTION
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, в FRST нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[snaps]

вот все сделал лог снизу

[Vvvyg]

Контроль учётных записей пользователя отключен

Рекомендую ознакомиться со статьёй Так ли страшен контроль учетных записей (UAC)? и включить.

Эти критические обновления обязательны к установке, в первую очередь - HotFix KB4012212, через уязвимость, закрытую им, активно распространяют трояны, шифровальщики и майнеры.

HotFix KB3145739 Внимание! Скачать обновления
HotFix KB3146963 Внимание! Скачать обновления
HotFix KB3156013 Внимание! Скачать обновления
HotFix KB3156016 Внимание! Скачать обновления
HotFix KB3156019 Внимание! Скачать обновления
HotFix KB3155178 Внимание! Скачать обновления
HotFix KB3153171 Внимание! Скачать обновления
HotFix KB3170455 Внимание! Скачать обновления
HotFix KB3178034 Внимание! Скачать обновления
HotFix KB3185911 Внимание! Скачать обновления
HotFix KB3184122 Внимание! Скачать обновления
HotFix KB3192391 Внимание! Скачать обновления
HotFix KB3197867 Внимание! Скачать обновления
HotFix KB3205394 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4019263 Внимание! Скачать обновления
HotFix KB4022722 Внимание! Скачать обновления
HotFix KB4015546 Внимание! Скачать обновления
HotFix KB4025337 Внимание! Скачать обновления
HotFix KB4034679 Внимание! Скачать обновления
HotFix KB4041678 Внимание! Скачать обновления
HotFix KB4056894 Внимание! Скачать обновления
HotFix KB4056897 Внимание! Скачать обновления
HotFix KB4074587 Внимание! Скачать обновления

Браузер обновите:

Google Chrome v.64.0.3282.186 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^

И это лучше удалите:

Web Viewer Pro v.4.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Google Chrome Search Selector, версия 1.0 v.1.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Smart Application Controller v.1.00 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Проблемы решены?

[snaps]

Все сделал вроде систему ничего не грузит,обновление скачаю потом,спасибо вам от души.Вот мой последний лог на AdwClenaer

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

И всё на этом тогда.

[snaps]

спасибо систему ничего не грузит)

[Vvvyg]

Запустите AdwCleaner и нажмите Файл (File) -> Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 37
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\programdata\cong.exe - Trojan.BAT.Miner.dl
  2. c:\programdata\csrss.exe - Trojan.BAT.Agent.arc
  3. c:\programdata\dwm.exe - Trojan.BAT.Miner.dp
  4. c:\programdata\{e4fb901e-ddcb-66c6-2301-02c681681b3d}\49444081.exe - HEUR:Trojan.Win32.Khalesi.gen
  5. c:\programdata\ggp.exe - Trojan.Win32.Miner.aza
  6. c:\programdata\imag.exe - Trojan.Win32.Starter.anlb
  7. c:\programdata\mpeg.exe - Trojan.BAT.Miner.dr
  8. c:\programdata\prtscr\mgopen\driverup.exe - Trojan.Win32.Starter.anla
  9. c:\programdata\rtwhost.exe - Trojan.BAT.Miner.do
  10. c:\programdata\rtwlan.exe - Trojan.BAT.Miner.do
  11. c:\programdata\rtwlon.exe - Trojan.Win32.Miner.azb
  12. c:\programdata\start.exe - Trojan.BAT.Miner.dn
  13. c:\programdata\windll.exe - HEUR:Trojan.Win32.Generic
  14. c:\programdata\winlog.bat - not-a-virus:HEUR:RiskTool.BAT.BitMiner.gen
  15. c:\programdata\winlog.exe - not-a-virus:RiskTool.MSIL.BitCoinMiner.ah
  16. c:\users\almat\appdata\roaming\ievdevjh\vhdvdiva.e xe - HEUR:Trojan.Win32.Khalesi.gen ( BitDefender: Gen:Trojan.Heur.RP.lqW@aeT95ohO )
  17. c:\users\almat\appdata\roaming\microsoft\windows\s tart menu\programs\startup\mpeg.exe - Trojan.BAT.Miner.dr
  18. c:\users\almat\appdata\roaming\my-top-apps\10\ali express.exe - not-a-virus:AdWare.Win32.Agent.xxdowt
  19. c:\users\almat\appdata\roaming\my-top-apps\26\crossout.exe - not-a-virus:AdWare.Win32.Agent.xxdowt
  20. c:\users\almat\appdata\roaming\my-top-apps\27\casino platinum.exe - not-a-virus:AdWare.Win32.Agent.xxdowt
  21. c:\users\almat\appdata\roaming\my-top-apps\29\best games for free.exe - not-a-virus:AdWare.Win32.Agent.xxdowt
  22. c:\users\almat\appdata\roaming\my-top-apps\3\war thunder.exe - not-a-virus:AdWare.Win32.Agent.xxdowt
  23. c:\users\almat\appdata\roaming\my-top-apps\32\rpg online free.exe - not-a-virus:AdWare.Win32.Agent.xxdowt
  24. c:\users\almat\appdata\roaming\my-top-apps\33\eternal game.exe - not-a-virus:AdWare.Win32.Agent.xxdowt