Появляются в автозагрузке файлы clipper.exe, Fest.exe, ex.exe [k1]

[lmlg1]

Здравствуйте.
Возникла проблема 2 дня назад на всех компьютерах одноранговой сети, в которой стоят три машины на windows7 х64. в автозагрузке постоянно появляются 3 файла clipper.exe, Fest.exe, ex.exe, даже после их неоднократного удаления. Все вроде работает, но перестает работать MS SQL Developer edition 2000. Антивирусами(AVG, Symantec, avast, Cureit) проверял полностью компьютеры, ничего не нашел. Натравливал на эти файл антивирусы. Не помогает. В интернете искал ничего подобного не нашел.

[Info_bot]

Уважаемый(ая) lmlg1, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[lmlg1]

Прилагаю логи с двух компьютеров

Уважаемый(ая) lmlg1, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

- - - - -Добавлено - - - - -

Файл лога с третьего компа

[thyrex]

Один компьютер - одна тема. Рекомендации ниже по логу с временем 11.58

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\All Users\Start Menu\Programs\Startup\fest.exe','');
 QuarantineFile('C:\Users\All Users\Start Menu\Programs\Startup\ex.exe','');
 QuarantineFile('C:\Users\All Users\Start Menu\Programs\Startup\clipper.exe','');
 QuarantineFile('C:\Windows\help\lsmosee.exe','');
 QuarantineFile('C:\Windows\Fonts\updaters.exe','');
 QuarantineFile('C:\Windows\Fonts\sqlwupdater.exe','');
 QuarantineFile('C:\Windows\Fonts\sqlupdater.exe','');
 QuarantineFile('C:\Windows\Fonts\sqlupdate.exe','');
 QuarantineFile('C:\Windows\Fonts\sqlservr.exe','');
 QuarantineFile('C:\Windows\Fonts\conhost.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\fest.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ex.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\clipper.exe','');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\clipper.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ex.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\fest.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\.NET Framework\.NET Framework NGEN Sync','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\restore','64');
 DeleteFile('C:\Windows\system32\Tasks\del_fest','64');
 DeleteFile('C:\Windows\Fonts\conhost.exe','32');
 DeleteFile('C:\Windows\Fonts\sqlservr.exe','32');
 DeleteFile('C:\Windows\Fonts\sqlupdate.exe','32');
 DeleteFile('C:\Windows\Fonts\sqlupdater.exe','32');
 DeleteFile('C:\Windows\Fonts\sqlwupdater.exe','32');
 DeleteFile('C:\Windows\Fonts\updaters.exe','32');
 DeleteFile('C:\Windows\help\lsmosee.exe','32');
 DeleteFile('C:\Users\All Users\Start Menu\Programs\Startup\clipper.exe','32');
 DeleteFile('C:\Users\All Users\Start Menu\Programs\Startup\ex.exe','32');
 DeleteFile('C:\Users\All Users\Start Menu\Programs\Startup\fest.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[lmlg1]

Прилагаю логи

- - - - -Добавлено - - - - -

после выполнения первого скрипта на всех компьютерах и перезагрузки. Файлы исчезли, но через 30минут снова появились. Сейчас провел очистку снова.

[thyrex]

Скрипт нужно выполнять только на том компьютере, для которого он написан.

Для остальных

Один компьютер - одна тема.

Если непонятно, то по каждому компьютеру создавайте отдельную тему.

Продолжаем только с тем же компьютером в этой теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[lmlg1]

Высылаю логи

[thyrex]

Из двух антивирусов оставьте только один.

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
2018-07-03 17:08 - 2018-07-03 17:12 - 000000130 _____ C:\Program Files\chkdsk.bat
2018-07-03 16:30 - 2018-07-03 16:34 - 000000537 _____ C:\Program Files\del_Fest.bat
2018-07-02 19:29 - 2018-07-04 15:29 - 000000009 _____ C:\Windows\system32\ex.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000009 _____ C:\Users\Все пользователи\zom.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000009 _____ C:\ProgramData\zom.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Windows\xDLS.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Windows\system32\lock.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Windows\system32\Info.hta
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Windows\system32\hale.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Windows\system32\8UPAB0_payload.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Windows\SMSvcHost.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\Users\Все пользователи\Iostream.exe
2018-07-02 19:29 - 2018-07-04 15:29 - 000000008 _____ C:\ProgramData\Iostream.exe
2016-07-11 15:55 - 2016-07-11 15:55 - 000611336 _____ () C:\Users\admin\AppData\Local\Temp\917b0b87-3358-4e79-93de-3dfc2fc99ed0.exe
2018-05-22 23:44 - 2018-05-22 23:02 - 002758672 _____ () C:\Users\admin\AppData\Local\Temp\removeSZB.exe
2016-07-25 13:52 - 2016-07-25 13:52 - 000122368 _____ () C:\Users\backup_operator\AppData\Local\Temp\unzdll.dll
2016-07-25 13:52 - 2016-07-25 13:52 - 000123904 _____ () C:\Users\backup_operator\AppData\Local\Temp\zipdll.dll
2016-10-14 19:34 - 2016-10-14 19:34 - 000122368 _____ () C:\Users\lmlg1\AppData\Local\Temp\unzdll.dll
2016-10-14 19:34 - 2016-10-14 19:34 - 000123904 _____ () C:\Users\lmlg1\AppData\Local\Temp\zipdll.dll
2016-07-23 13:21 - 2016-07-23 13:21 - 000122368 _____ () C:\Users\Оператор\AppData\Local\Temp\unzdll.dll
2016-07-23 13:21 - 2016-07-23 13:21 - 000123904 _____ () C:\Users\Оператор\AppData\Local\Temp\zipdll.dll
2016-07-15 14:49 - 2016-07-15 14:49 - 000122368 _____ () C:\Users\Служебный\AppData\Local\Temp\unzdll.dll
2018-01-01 01:00 - 2018-01-01 01:00 - 000000000 _____ () C:\Users\Служебный\AppData\Local\Temp\vvvwj48f.dll
2016-07-15 14:49 - 2016-07-15 14:49 - 000123904 _____ () C:\Users\Служебный\AppData\Local\Temp\zipdll.dll
Task: {00295037-3B9A-4B7B-8BAC-11C0F0DDCE78} - \del_fest -> No File <==== ATTENTION
Task: {0BAE5899-62B3-4C4E-86B8-A857ED033183} - \Microsoft\Windows\restore -> No File <==== ATTENTION
Task: {1D2B5A2E-2CC9-447B-BDDC-CEDA10EB70FD} - \Microsoft\Windows\WDI\Protec -> No File <==== ATTENTION
Task: {81C68144-3A9F-47B7-9CA1-F145CC94A79C} - System32\Tasks\Microsoft\Windows\Defender\MalwareCleaner => cmd /c C:\Windows\Fonts\del.bat
Task: {81DBA3F0-F508-4ACF-ACC4-B612DEE3762B} - \Microsoft\Windows\.NET Framework\.NET Framework NGEN Sync -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[lmlg1]

Пока делал, снова появились файлы

[thyrex]

Вы бы давно уже создали темы по двум другим компьютерам, чтобы проводить лечение параллельно. Тем более, насколько я понимаю, они входят в состав одной сети.

Сделайте лог МВАМ

- - - - -Добавлено - - - - -

И карантин не прислали по красной ссылке

[lmlg1]

Вы бы давно уже создали темы по двум другим компьютерам, чтобы проводить лечение параллельно. Тем более, насколько я понимаю, они входят в состав одной сети.

Сделайте лог МВАМ

- - - - -Добавлено - - - - -

И карантин не прислали по красной ссылке

При загрузке карантина пишет файл уже был заагружен
При загрузке

[thyrex]

Поместите в карантин МВАМ все, КРОМЕ

RiskWare.Tool.HCK, C:\USERS\BACKUP_OPERATOR\DESKTOP\UNIVERSALTERMSRVPATCH-X64.EXE, Проигнорировано пользователем, [7874], [66010],1.0.5767

[lmlg1]

Готово

[thyrex]

Удалите МВАМ.

Что с проблемой на данной машине?

[lmlg1]

Пока файлы не появлялись, sql работает.

[lmlg1]

Активности на компе не наблюдается. За ночь тоже ничего не произошло. Тему можно закрывать.

- - - - -Добавлено - - - - -

Благодарю за помощь.Хорошего дня

[thyrex]

Тогда закрываем все темы