Добрый день!
Пожалуйста помогите, не могу удалить вирус с терминального сервера (WS2008 R2 Enterprise x64). Происходит следующие, CPU нагружается до 100% и не дает работать, без моего участия закрывается диспетчер задач, не работает центр обновления windows (службу перезапускал ), в процесах обнаружил webisida.broser.exe и Secure.Surf.Browser, после того как прогнал антивирусом смог их удалить, но потом они снова появились. Пожалуйста помогите.
Последний раз редактировалось PorkiThePig; 16.12.2019 в 20:41.
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) PorkiThePig, спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Здравствуйте!
Логи сделаны в терминальной сессии, сделайте их из консоли, т.е. непосредственно на самом компьютере.
Сделал.Сообщение от Sandor
Последний раз редактировалось PorkiThePig; 16.12.2019 в 20:41.
Временно отключите защитное ПО.
Выполните скрипт в AVZ:
Пожалуйста, перезагрузите компьютер вручную.Код:begin ClearQuarantineEx(true); QuarantineFile('C:\Windows\assembly\up\2.bat', ''); ExecuteFile('schtasks.exe', '/delete /TN "Google Updates" /F', 0, 15000, true); DeleteFile('C:\Windows\assembly\up\2.bat', ''); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); ExecuteSysClean; ExecuteRepair(9); end.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
Сделайте повторные логи по правилам. (CollectionLog)
Только предварительно удалите сам Автологер, созданную им папку вместе с содержимым и скачайте не с зеркала, а с основной ссылки.
В логах безопасности меня пытаются ломать без перерыва. Отключаю службу обновления винды, она сама включается и в слева внизу в трэе, при наведение виден процесс установки каких то обновлений, когда открываю центр обновления он пишет что обновлений нет.
Последний раз редактировалось PorkiThePig; 17.12.2019 в 09:34.
Лечение продолжаем?
Конечно, обратите внимание я обновил прошлое сообщение.
Ждём.
Я уже отвечал, думал сообщения теперь скрываются )
Временно отключите защитное ПО.
Выполните скрипт в AVZ:
Пожалуйста, перезагрузите компьютер вручную.Код:begin ClearQuarantineEx(true); QuarantineFile('C:\Windows\Fonts\reg.exe', ''); DeleteSchedulerTask('{20F849C7-8F66-44C0-887F-A307F5B24656}'); DeleteFile('C:\Windows\Fonts\reg.exe', ''); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); ExecuteSysClean; end.
Сделайте повторные логи по правилам. (CollectionLog)
Ошибка в скрипте.
Ошибки нет, его следует выполнять в этой версии:
C:\Users\Администратор\Downloads\AutoLogger-test\AutoLogger\AVZ\avz.exe
Сделал в вашей последовательности, avz удалил reg.exe , но после перезагрузки автологгер опять его нашел.
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
- - - - -Добавлено - - - - -
+
Карантин после предыдущего скрипта еще раз отправьте, пожалуйста.
Готово
Посмотрите, файл реально существует?
Не существует, физически я его не вижу, и прописав в адрес C:\Windows\Fonts\reg.exe тоже пишет что его нет.
- Отключите до перезагрузки антивирус.
- Выделите следующий код:
Код:Start:: Task: {1FD1A24C-741E-47CD-A79A-9B06AFBC4FEA} - System32\Tasks\system => taskkill [Argument = /im taskmgr.exe /f] <==== ATTENTION Task: {DDA59420-8D9F-4FD3-95D8-A6E8484ACA18} - System32\Tasks\systems => taskkill [Argument = /im prefmon.exe /f] CHR HKLM-x32\...\Chrome\Extension: [djlkjhaeaofhlchjkhhohmgadibkoaad] 2019-12-08 12:24 - 2019-12-13 18:34 - 000003392 _____ C:\Windows\system32\Tasks\systems 2019-12-08 12:24 - 2019-12-13 18:34 - 000003392 _____ C:\Windows\system32\Tasks\system 2019-12-08 12:23 - 2019-06-29 03:31 - 000858624 _____ C:\Windows\system32\qw.exe 2019-12-08 12:20 - 2019-12-08 12:20 - 074148906 _____ C:\Windows\ss.exe 2019-12-08 12:19 - 2019-12-08 12:20 - 080712548 _____ C:\Windows\b1.exe 2019-12-08 12:19 - 2019-12-08 12:20 - 058814836 _____ C:\Windows\w.exe 2019-12-08 12:19 - 2019-12-08 12:19 - 004387608 _____ C:\Windows\wget.exe 2019-12-08 12:19 - 2019-12-08 12:19 - 004086900 _____ C:\Windows\rm.exe 2019-12-08 12:19 - 2019-12-08 12:19 - 000604808 _____ C:\Windows\fix.exe End::- Скопируйте выделенный текст (правой кнопкой - Копировать).
- Запустите FRST (FRST64) от имени администратора.
- Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер перезагрузите вручную.
Компьютер перезагрузился после выполнения команды Fix самостоятельно, мне его еще раз перезагрузить?
Уважаемый(ая) PorkiThePig, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
