Постоянная ошибка связанная с crexv.ocx [Trojan-Ransom.Win32.PornoAsset.hlw ]

[Любитель]

Ставил программу DropBox. Вроде, во время ее установки то-ли антивирус, то-ли служба виндоус сообщила об угрозе. Я нажал удалить.
Теперь каждую минуту выскакивает системная ошибка (заголовок окна ошибки: RunDLL; текст окна: "Возникла ошибка при запуске С:\windows\system32\crexv.ocx. Не найден указанный модуль" ).
Такое чувство что вирус удален, но остались какие-то его следы.
Можно с этим что-нибудь сделать? Заранее спасибо!

[Info_bot]

Уважаемый(ая) Любитель, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Posrednikov\appdata\roaming\taskhost.exe','');
 QuarantineFile('C:\Windows\system32\e1fb0f93.exe','');
 QuarantineFile('C:\Windows\system32\60fe561a.exe','');
 DeleteFile('C:\Windows\system32\60fe561a.exe');
 DeleteFile('C:\Windows\system32\e1fb0f93.exe');
 DeleteFile('C:\Users\Posrednikov\appdata\roaming\taskhost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Любитель]

После выполнения компьютер перезагрузился и AVIRA обнаружила вирус:

C:\Users\Posrednikov\AppData\Local\Temp\ni0cv31y.e xe
[ОБНАРУЖЕНИЕ] Троянская программа TR/Zusy.11060.29
[УКАЗАНИЕ] Файл был перемещен в карантинную папку под именем '55ecc735.qua'.
C:\Users\Posrednikov\AppData\Local\Temp\rha79xbd.e xe
[ОБНАРУЖЕНИЕ] Троянская программа TR/Vundo.OD.1276
[УКАЗАНИЕ] Файл был перемещен в карантинную папку под именем '4d2ae893.qua'.

После этого собрал логи.

[thyrex]

Сделайте лог полного сканирования МВАМ

[Любитель]

Выполняется полное сканирование.
Сейчас авира нашла еще вирус:

Старт поиска в 'C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{4AFFC55C-0556-3FFE-427C-ED3226C800B4}-taskhost.exe'
C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{4AFFC55C-0556-3FFE-427C-ED3226C800B4}-taskhost.exe
[0] Тип архива: HIDDEN
--> FIL\\\?\C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{4AFFC55C-0556-3FFE-427C-ED3226C800B4}-taskhost.exe
[ОБНАРУЖЕНИЕ] Троянская программа TR/Zusy.11060.29
[УКАЗАНИЕ] Файл был перемещен в карантинную папку под именем '5631dceb.qua'.

Вчера я запускал полную проверку Авирой. А сегодня она нашла уже 3 вируса. Следует ли сейчас запустить полную проверку еще раз?

[Дeнис]

Любитель, В MBAM удалите только

C:\Users\Posrednikov\AppData\Roaming\avdrn.dat (Malware.Trace) -> Действие не было предпринято.

[Любитель]

Удалил. Проблему это не решило.

[Дeнис]

Любитель, Сделайте лог AVZ + лог RSIT

[Любитель]

Логи сделал.

[Дeнис]

Любитель, Выполните скрипт в AVZ

begin
 DeleteFile('C:\Users\Posrednikov\AppData\Local\Temp\tmp6CF4.tmp');
ExecuteSysClean;
RebootWindows(true);
end.

[Любитель]

Выполнил.
К сожалению проблема осталась(

[Дeнис]

Любитель, Сделайте лог TDSSkiller

[Любитель]

Запустил проверку. Было найдено 2 опасности. Отчет скопировал в текстовый файл. Прикрепил к сообщению.

[Дeнис]

Любитель, Все в норме..

У вас файл найден в C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{4AFFC55C-0556-3FFE-427C-ED3226C800B4}-taskhost.exe

Это карантин "Защитника Windows", его можно очистить через интерфейс программы. Введите в поиске меню пуск "защитник windows".

[Любитель]

Дeнис, открыл "защитник Windows". Перешел в раздел "Объекты в карантине". Там пусто.
Проблема все еще не решена(. Сообщение описанное в начале темы выскакивает иногда с интервалом в 10 секунд, иногда реже.

[Дeнис]

Любитель, Удалите папку C:\ProgramData\Microsoft\Windows Defender

[thyrex]

Выполните скрипт в AVZ

begin
RegSearch('HKLM', '', 'crexv');
 SaveLog('c:\avz00.log');
end.

Файл c:\avz00.log прикрепите к сообщению

[Любитель]

Дeнис, удалить папку "C:\ProgramData\Microsoft\Windows Defender" не получается да же с правами администратора.


thyrex, скрипт выполнил. Файл avz00.log пустой. Прикладывать не стал.

[thyrex]

Хм, тогда просто поищите упоминания в реестре crexv.ocx

Если что-то будет найдено, пожалуйста, сделайте экспорт тех веток реестра, где будет найдена эта запись