Показано с 1 по 17 из 17.

Trojan:Win32/Floxif.E (заявка № 227787)

  1. #1
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56

    Thumbs up Trojan:Win32/Floxif.E

    Здравствуйте! Комп заражён Trojan:Win32/Floxif.E, прошу помощи в его удалении. Спасибо)
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,289
    Вес репутации
    384
    Уважаемый(ая) nikitin78, спасибо за обращение на наш форум!

    Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:
    Код:
    O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll
    O20-32 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
    O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
    O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
    Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:
    Код:
    begin
     ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
     QuarantineFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '');
     QuarantineFile('C:\Program Files\Common Files\System\symsrv.dll', '');
     DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '');
     DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '32');
     DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '64');
     DeleteFile('C:\Program Files\Common Files\System\symsrv.dll', '');
     DeleteService('gybpprut');
     DeleteService('iczbqmku');
     DeleteService('kmmdylnk');
     DeleteService('lbjgogpd');
     DeleteService('mjwvpvvl');
     DeleteService('nztwvhlk');
     DeleteService('tsriygek');
     DeleteService('uczvphbh');
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
     RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
    ExecuteSysClean;
     ExecuteWizard('SCU', 3, 3, true);
    RebootWindows(false);
    end.
    Компьютер перезагрузится.

    В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке Прислать запрошенный карантин над над первым сообщением в теме.

    Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".
    Код:
    >>>  "C:\Users\smart\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"   -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    >>>  "C:\Windows\ServiceProfiles\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"         -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    >>>  "C:\Windows\ServiceProfiles\SQLTELEMETRY\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"        -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    >>>  "C:\Windows\ServiceProfiles\MSSQL$SQLEXPRESS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"    -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    >>>  "C:\Windows\ServiceProfiles\MSSQLFDLauncher$SQLEXPRESS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"    -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    >>>  "C:\Windows\ServiceProfiles\SQLTELEMETRY$SQLEXPRESS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"       -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    >>>  "C:\Windows\ServiceProfiles\MSSQLLaunchpad$SQLEXPRESS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"     -> ["C:\Users\smart\AppData\Local\Microsoft\OneDrive\OneDrive.exe"]
    Отчёт о работе прикрепите.

    Сделайте новый лог Autologger.
    WBR,
    Vadim

  5. #4
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56
    Архив карантина quarantine.zip система не даёт прикрепить, ошибка "Unknown error. File not uploaded" . Прикрепил его к данному сообщению.
    Защитник Windows ругается на те же файлы, что и до лечения:
    file: C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\GDl32.dll
    file: C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\OLE23.dll
    file: C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\PSAPl.dll
    file: C:\Program Files\Common Files\System\symsrv.dll
    file: C:\Users\smart\AppData\Local\Temp\conres.dll
    file: C:\Windows\SysWOW64\dlcoer.dll
    file: C:\Windows\Temp\conres.dll
    Вложения Вложения
    Последний раз редактировалось Vvvyg; 09.08.2022 в 10:35.

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Выполните скрипт в AVZ:
    Код:
    begin
     ClearQuarantine;
     TerminateProcessByName('c:\program files (x86)\internet explorer\iexplore.exe');
     QuarantineFile('C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\GDl32.dll', '');
     QuarantineFile('C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\OLE23.dll', '');
     QuarantineFile('C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\PSAPl.dll', '');
     QuarantineFile('C:\WINDOWS\SYSWOW64\dlcoer.dll', '');
     QuarantineFileF('C:\Users\smart\AppData\Local\Temp', '*.dll, *.sys, *.bat, *.vbs, *.js', false, '', 0, 0);
     QuarantineFileF('C:\Windows\Temp', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', false, '', 0, 0);
     DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '');
     DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '32');
     DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '64');
     DeleteFile('C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\GDl32.dll');
     DeleteFile('C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\OLE23.dll');
     DeleteFile('C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat\PSAPl.dll');
     DeleteFile('C:\Program Files\Common Files\System\symsrv.dll', '');
     DeleteFile('C:\WINDOWS\SYSWOW64\dlcoer.dll', '');
     DeleteFileMask('C:\Users\smart\AppData\Local\Temp', '*.dll', false);
     DeleteFileMask('C:\Windows\Temp', '*.dll', false);
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    ExecuteSysClean;
    RebootWindows(true);
    end.
    После перезагрузки прикрепите карантин.

    Отключите временно встроенный антивирус ("Защитник") - у него может быть ложное срабатывание на компоненты используемой далее программы.
    Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.
    WBR,
    Vadim

  7. #6
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56
    Файл карантина приложил. Вверху всё также не добавляется

  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Хорошо, жду полный образ автозапуска uVS.
    WBR,
    Vadim

  9. #8
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56
    Файл не могу приложить) система говорит, что исчерпал лимит по объёму вложений. Архив весит 846 Кб

  10. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    В облако и ссылку в тему.
    WBR,
    Vadim

  11. #10
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56

  12. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):
    Код:
    ;uVS v4.12 [http://dsrt.dyndns.org:8888]
    ;Target OS: NTv10.0
    v400c
    OFFSGNSAVE
    zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CRYPTO PRO\APPCOMPAT\CPADVAI.DLL
    zoo %SystemDrive%\PROGRAM FILES (X86)\SANGFOR\SSL\SANGFORPWEX\SANGFORVPNLIBCRYPTO-1_1.DLL
    zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CRYPTO PRO\APPCOMPAT\CPCRYPT.DLL.DAT
    zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CRYPTO PRO\APPCOMPAT\CPCRYPT.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\YBSOFT\SERVICECENTER\DATABASEMANAGER.EXE
    delref %SystemDrive%\PROGRAM FILES (X86)\MOBILEBRSERV\MBBSERVICE.EXE
    delref %SystemDrive%\PROGRAM FILES (X86)\ULTRAVIEWER\ULTRAVIEWER_SERVICE.EXE
    zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\SYMSRV.DLL
    adddir C:\Program Files\Common Files\System
    adddir C:\Program Files (x86)\Common Files\Crypto Pro\AppCompat
    addsgn 729053925465C9CB0AD4AED1DAC81207350742F69904E02F060E3A575D46E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 16 Win32/Floxif.E [ESET-NOD32] 7
    
    zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CRYPTO PRO\APPCOMPAT\ERROR.LOG
    chklst
    delvir
    
    deltmp
    czoo
    restart
    Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
    Компьютер перезагрузится.

    В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, выложите в облако и дайте ссылку в личном сообщении.

    В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

    - - - - -Добавлено - - - - -

    Удалите вложения, относящиеся к самым старым темам.

    Расплодился вирус по разным папкам. Что за программа в папке C:\Program Files (x86)\Sangfor - имеете представление?

    - - - - -Добавлено - - - - -

    Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
    Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

    Нажмите кнопку Сканировать.

    После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
    Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
    Последний раз редактировалось Vvvyg; 09.08.2022 в 22:53.
    WBR,
    Vadim

  13. #12
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56
    C:\Program Files (x86)\Sangfor - не знаю, что за программа, не устанавливал. Требуемые файлы приложил в одном архиве
    Вложения Вложения

  14. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Зараза по всем приложениям раскидана.
    Сделайте проверку и лечение (лучше в безопасном режиме, с помощью KVRT. Прикрепите упакованными в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT2020_Data.
    WBR,
    Vadim

  15. #14
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56
    Первый лог с настройками по умолчанию. Второй со всеми галочками, со сканированием всего диска С. Третий лог - сканирование после лечения и перезагрузки компьютера.
    Вложения Вложения

  16. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Похоже, чисто.
    Защитник молчит с тех пор?
    WBR,
    Vadim

  17. Это понравилось:


  18. #16
    Junior Member Репутация
    Регистрация
    19.09.2010
    Сообщений
    9
    Вес репутации
    56
    Да, сейчас всё хорошо. Спасибо за помощь)

  19. #17
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    36,575
    Вес репутации
    1086
    Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
    Компьютер перезагрузится.

  • Уважаемый(ая) nikitin78, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 5
      Последнее сообщение: 25.05.2013, 16:43
    2. Ответов: 7
      Последнее сообщение: 21.11.2012, 16:01
    3. Ответов: 13
      Последнее сообщение: 17.10.2012, 21:32
    4. Ответов: 5
      Последнее сообщение: 29.08.2012, 10:17
    5. Ответов: 6
      Последнее сообщение: 21.07.2012, 05:03

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00831 seconds with 19 queries