Kaspersky Endpoint Security ругается на вирусы на рабочей станции, но вылечить не может

[blinkfrog]

Здравствуйте!

Kaspersky Security Center сообщает о вирусной активности на одной из машин (W7x64), но KES вылечить их не может. Сообщения, например, такие:

Результат:    Запрещено: not-a-virus:AdWare.JS.Agent.bg
Объект:    http://asrv-a.akamaihd.net/sd/1017/1008.js//1008.js_______.tmp

Результат:    Запрещено: http://lovek.info/?tid=1&subid=101000&subid1=17963401470788543718&subid2=91&subid3=100&lt=21&size=8 (проверка по базе вредоносных веб-адресов)
Объект:    http://lovek.info/?tid=1&subid=101000&subid1=17963401470788543718&subid2=91&subid3=100&lt=21&size=8

Результат:    Не вылечено
Объект:    Неизвестная программа

Также самопроизвольно устанавливаются расширения в хроме с названиями типа "Bettersales".

Помогите, пожалуйста. Логи прилагаю.

[Info_bot]

Уважаемый(ая) blinkfrog, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\1\AppData\Roaming\PennyBee\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
 DelBHO('{e7e89e23-e9c3-4ed8-acf3-68f95e7fdf99}');
 QuarantineFile('C:\Program Files (x86)\saveuraboex\Zrw9HQ6dPdBB1W.dll','');
 QuarantineFile('C:\Windows\system32\drivers\{a0eab6f4-c7be-497b-981b-51b21c0122f7}Gw64.sys','');
 DeleteService('{a0eab6f4-c7be-497b-981b-51b21c0122f7}Gw64');
 DeleteFile('C:\Windows\system32\drivers\{a0eab6f4-c7be-497b-981b-51b21c0122f7}Gw64.sys','32');
 DeleteFile('C:\Program Files (x86)\saveuraboex\Zrw9HQ6dPdBB1W.dll','32');
 DeleteFile('C:\Users\1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
 DeleteFile('C:\Windows\Tasks\PennyBee.job','64');
 DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
 DeleteFile('C:\Users\1\AppData\Roaming\PennyBee\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\PennyBee','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[blinkfrog]

Доброе утро. Скрипт выполнил, и, похоже, накосячил с карантином, моя ошибка, простите.

В общем, карантин был в папке. Запустил AVZ, и черт меня дернул сначала выполнить новое сканирование и сбор информации - вероятно, при этом карантин удаляется (хотя и нелогично это, но учту на будущее)? После попробовал выгрузить карантин, захожу в просмотр карантина - а там пусто. И в папке уже снова пусто. Или, может, надо было касперского приостановить? В Security Center в хранилищах, действительно, с этого компьютера был собран сегодня карантин, но источники - не папка карантина AVZ, а оригиналы. Там, кстати, есть файл Zrw9HQ6dPdBB1W, только не dll, а exe, если надо, пришлю. И еще несколько файлов, но с не похожими на упомянутые в скрипте названиями.

А новые логи плюс лог MBAM прилагаю. И еще вопрос, надо лог MBAM, может, было в txt сохранять?

[thyrex]

надо лог MBAM, может, было в txt сохранять?

Конечно

[blinkfrog]

Вот лог MBAM в txt.
И, похоже, эта дрянь как-то на сервер переползла. Security Center теперь для него выдает периодически события "Лечение невозможно":

Результат:	Не вылечено
Объект:	Неизвестная программа

Как - не знаю, к серверу доступ только у меня, никаких программ туда недавно не ставил, ничего не запускал, разумеется. Вероятно, через уязвимости какие-нибудь. Похоже, пора для него тоже тему создавать. Или это он на карантин собственный ругается (по времени начало событий примерно совпадает с помещением в карантин вчера пяти программ с пациента этой темы).

Нет, это лог не полного сканирования. Сейчас полное доделаю и прикреплю.

[thyrex]

Поместите в карантин МВАМ всё, кроме

PUP.Riskware.Patcher, C:\Users\1\Desktop\anydwg.rar, , [6472bd5d6a2073c3e9331919bd4404fc], 
PUP.Optional.InstallCore, C:\Users\1\Downloads\UltimateCodecsSetup (1).exe, , [1eb873a77218ac8a3b61841bd72e956b], 
PUP.Optional.InstallCore, C:\Users\1\Downloads\UltimateCodecsSetup.exe, , [26b08d8d99f1fc3ab0ec7b249c6928d8], 
PUP.Optional.Zona, C:\Users\1\Downloads\ZonaSetup_latest.exe, , [bb1bf1291476ad89c5d74225ed14bb45],

[blinkfrog]

Спасибо, сделал, пока вроде все нормально - KSC молчит насчет этого компьютера. И, кстати, удалил карантин на сервере (сделал копии, если что), и KSC больше сообщений о сервере тоже не выдает - видимо, он на карантин и ругался, пытаясь периодически пролечить.

[thyrex]

Удалите МВАМ