1. Скачал троян, а то и не один (как выяснилось). Ссылку могу дать, если надо.
2. Malwarebytes и GridinSoft Anti-Malware больше ничего не находят.
Вычистили сколько-то мусора сразу, но осталось это...
Также ничего не нашли EmsisoftEmergencyKit и EsetOnline.
3. При каждой загрузке запускается стантдартный браузер (Opera) и открывается страница http://count.b12.fun/jump.php
Она, редиректом, ведёт на сайт http://www.15s0.com.
Якобы, некая поисковая система Fierce.
4. Убрал Оперу из ProgramFiles. Получил ошибку при загрузке.
Некий файл c:\Windows\Temp\url.exe пытается открыть сайт, но не может.
Картинку и файл url.exe с изменённым расширением в архиве прилагаю.
Kaspersky его называет "Trojan.Win32.SelfDel.gnwr".
Также прилагаю логи стандартные +
логи утилиты Farbar Recovery Scan, TDSSKiller и "SecurityCheck by glax24 & Severnyj".
Полный образ загрузки из Universal Virus Sniffer: https://yadi.sk/d/q5aUHnW8HAiXEQ
GMER падает (а то и BSOD даёт) через ~4 минуты работы. Лог до этого приложил.
Собственно, вопрос в том, что же порождает этот самый url.exe.
Запускал autoruns, ничего подозрительного не нашёл.
Удаление файла url.exe не помогает. Он создаётся при каждом запуске системы.
Временное решение - ручное создание пустышки, файла url.exe с признаком ReadOnly.
Но надо бы изловить злодея, а то мало ли, что он ещё делает...
Последний раз редактировалось Vvvyg; 23.12.2018 в 13:40.
Причина: Добавил дополнительную информацию
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
url.exe в TEMP [VHO:Trojan.Win32.SelfDel.gnwr, Trojan-PSW.Win64.Seikooc.b]
Уважаемый(ая) DmitryOlenin, спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\windows\temp\url.exe');
QuarantineFile('c:\windows\temp\url.exe','');
DeleteFile('c:\windows\temp\url.exe','32');
DeleteSchedulerTask('Microsoft\Windows\SMB\UninstallSMB1ClientTask');
DeleteSchedulerTask('Microsoft\Windows\SMB\UninstallSMB1ServerTask');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
Код:
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.
Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
Microsoft MVP 2012-2016 Consumer Security Microsoft MVP 2016 Reconnect
url.exe в TEMP [VHO:Trojan.Win32.SelfDel.gnwr, Trojan-PSW.Win64.Seikooc.b]
Добрый день. Спасибо. Сделал.
При обычной загрузке quarantine.zip получается пустой.
Потому что url.exe сам удаляется после выполнения...
Сделал тот же трюк, убрал оперу, чтобы в процессе запуска url.exe он вылетел с ошибкой.
Не стал жать "ОК", запустил скрипт. Карантин прилагаю.
Впрочем, этот же url.exe уже есть в первом сообщении темы, ну да ладно.
Пока что ничего не поменялось. Ещё раз собрал логи. Тоже прилагаю.
url.exe в TEMP [VHO:Trojan.Win32.SelfDel.gnwr, Trojan-PSW.Win64.Seikooc.b]
...но я же его назвал url.ex_ как раз для того, чтобы никто случайно не запустил.
Кстати, как мне кажется, проблема, всё-таки, не в самом самоудаляющемся файле url.exe,
а в программе, которая этот фал при каждой загрузке создаёт и запускает.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
Microsoft MVP 2012-2016 Consumer Security Microsoft MVP 2016 Reconnect
Если и после этого файл не удалится - сделайте лог по инструкции ниже, причина понятна, почистим через UVS.
Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.
Последний раз редактировалось Vvvyg; 25.12.2018 в 10:52.
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Скажите, пожалуйста, если это в рамках темы, конечно, как так вышло, что этот файл
"A11027F2E978.sys" не видели почти никакие системы? Какая-то новая модификация чего-то?
И второй вопрос, что он, собственно, делал.
Ведь, наверняка, не только создавал url.exe и открывал сайт при запуске системы...
Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.
Приложите этот файл к своему следующему сообщению.
Ну, что мало кто определяет, я как раз и удивляюсь. Я даже чуть выше скрин с вирустотала прикладывал. Почему так?
А насчёт комментария... Ну, я тоже так написать могу.
Не уверен, что там человек с квалификацией писал, который разбирается в теме хотя бы лучше меня
В общем-то, я эти логи уже делал. И они, опять же, в первом сообщении
Сообщение от DmitryOlenin
Также прилагаю логи стандартные +
логи утилиты Farbar Recovery Scan, TDSSKiller и "SecurityCheck by glax24 & Severnyj".
Сейчас сделал ещё раз. Прикладываю.
Построчно сравнил старый и новый файлы. Фактически, ничего не поменялось.
Последний раз редактировалось DmitryOlenin; 26.12.2018 в 20:58.
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
url.exe в TEMP [VHO:Trojan.Win32.SelfDel.gnwr]
Сообщение от DmitryOlenin
и сохраните на Рабочем столе.
