Показано с 1 по 14 из 14.

Google Chrome запускает exe.emorhc.bat, неизвестные стартовые страницы [Trojan-Clicker.BAT.Agent.az ] (заявка № 181561)

  1. #1
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11

    Thumbs up Google Chrome запускает exe.emorhc.bat, неизвестные стартовые страницы [Trojan-Clicker.BAT.Agent.az ]

    Здравствуйте.
    На одном сайте скачал обновление для гаджета note, не проверил его и попался на вирус.
    Теперь Chrome и еще пару ярлыков на рабочем столе в поле объект имеют следующие адреса: C:\Users\westky\AppData\Roaming\Browsers\exe.emorh c.bat "http://2knl.org/?src=hp4&subid1=feb"
    "C:\Users\westky\AppData\Roaming\Browsers\exe.rehc nual ateb enotshtraeh.bat" "http://2knl.org/?src=hp4&subid1=feb"
    C:\Users\westky\AppData\Roaming\Browsers\exe.rehcn ualls.bat "http://2knl.org/?src=hp4&subid1=feb"
    При запуске Chrome вместо старых закладок загружаются новые страницы рекламного содержания.
    Буду признателен за помощь. Спасибо
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,457
    Вес репутации
    343
    Уважаемый(ая) Jack123, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11
    Вчера не обратил внимания, а сейчас заметил, что теперь не работает PostgresSQL. Не запускается вручную и его теперь нет даже в списке служб. Нашел как минимум один новый процесс node-webkit.exe. Судя по всему он появился вместе с запуском вирусного приложения. Возможно есть еще.
    Кстати вот ссылка откуда и скачал вирусный гаджет
    [удалено]
    Последний раз редактировалось thyrex; 10.04.2015 в 22:05.

  5. #4
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,685
    Вес репутации
    3028
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
    QuarantineFile('C:\Program Files (x86)\Samsung Magician\FreeDos\command.com','');
     QuarantineFile('c:\users\westky\appdata\roaming\k7uninstall\k7inetchk.dll','');
     QuarantineFile('C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','');
     QuarantineFile('C:\Users\westky\AppData\Roaming\GemWare\DeleteWebkitCookie.exe','');
     QuarantineFile('C:\Users\westky\AppData\Roaming\Browsers\exe.erolpxei.bat','');
     QuarantineFile('C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat','');
     QuarantineFile('c:\program files (x86)\k7 computing\k7tsecurity\k7tsmngr.exe','');
     TerminateProcessByName('c:\users\westky\appdata\roaming\gemware\node-webkit.exe');
     QuarantineFile('c:\users\westky\appdata\roaming\gemware\node-webkit.exe','');
     DeleteFile('c:\users\westky\appdata\roaming\gemware\node-webkit.exe','32');
     DeleteFile('C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat','32');
     DeleteFile('C:\Users\westky\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
     DeleteFile('C:\Users\westky\AppData\Roaming\GemWare\DeleteWebkitCookie.exe','32');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','node-webkit');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','DeleteWebkitCookie');
     DeleteFile('C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','32');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(false);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

    Сделайте новые логи по правилам



    Сделайте лог Check Browsers' LNK
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  6. Это понравилось:


  7. #5
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11
    Карантин отправил. Высылаю необходимые логи.
    postgreSQL пока что так и не заработал.
    По поводу файлов в карантине: K7uninstal - это не вирус. После того как я подхватил вирус я установил антивирусник К7 чтобы просканировать систему. А затем хотел его удалить, но так и не нашел uninstall в папке с программой. В итоге удалил его через панель управления.
    Вложения Вложения
    Последний раз редактировалось Jack123; 10.04.2015 в 23:03.

  8. #6
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,685
    Вес репутации
    3028
    Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
    • Распакуйте архив с утилитой в отдельную папку.
    • Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке


    • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
    • Прикрепите этот отчет к своему следующему сообщению.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  9. #7
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11
    Отчет сделал, но он пустой. После первого вашего скрипта я удалил зараженный ярлык хрома и создал новый.
    Вложения Вложения

  10. #8
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,685
    Вес репутации
    3028
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
    • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    • Нажмите кнопку Scan.
    • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
    • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  11. #9
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11
    Высылаю необходимые отчеты. С браузером все в порядке. Но postgreSQL не работает. В службах windows его нет. Пробовал запустить через pgAdmin, выдает следующую ошибку:
    Server doesn't listen
    The server doesn't accept connections: the connection library reports
    could not connect to server: Connection refused (0x0000274D/10061) Is the server running on host "127.0.0.1" and accepting TCP/IP connections on port 5432?
    Для меня очень критично отсутствие сервера, т.к. я уже 2ой день не могу работать без него. Есть ли мне смысл сейчас самому пробовать его переустановить ? Ведь причину проблемы так и не удалось устранить, и после переустановки возможно будет то же самое. Одно я знаю точно, что сервер отказал в момент, когда я запустил вирусный файл.
    Вложения Вложения

  12. #10
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,685
    Вес репутации
    3028
    С postgreSQL точно не к нам

    Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
    Код:
    CreateRestorePoint:
    Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Logitech SetPoint.lnk
    ShortcutTarget: Logitech SetPoint.lnk -> C:\Program Files\Logitech\SetPoint\SetPoint.exe (No File)
    2015-04-09 22:31 - 2015-04-09 22:31 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Tor Project
    2015-04-09 22:09 - 2015-04-10 22:22 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Browsers
    2015-04-09 22:09 - 2015-04-10 22:08 - 00000000 ____D () C:\Users\westky\AppData\Roaming\GemWare
    2015-04-09 22:09 - 2015-04-10 00:10 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Microsoft Update
    2015-04-09 22:09 - 2015-04-09 22:31 - 00000000 ____D () C:\Users\westky\AppData\Roaming\LiteDB
    2015-04-09 22:09 - 2015-04-09 22:09 - 00001462 ___RS () C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnet Ехрlorer.lnk
    2015-04-09 22:09 - 2015-04-09 22:09 - 00001458 ___RS () C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk
    2015-04-09 22:09 - 2015-04-09 22:09 - 00000000 ____D () C:\Users\westky\AppData\Roaming\CryptoDB
    2015-04-06 22:03 - 2015-04-06 22:03 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_LUsbFilt_01005.Wdf
    2015-04-06 22:03 - 2015-04-06 22:03 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_LMouFilt_01005.Wdf
    2015-03-29 01:54 - 2015-03-29 01:54 - 0004968 _____ () C:\ProgramData\lrbivjdu.eai
    Reboot:
    • Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
    • Обратите внимание, что компьютер будет перезагружен.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  13. #11
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11
    С базой данных пришлось повозиться, но удалось переустановить. Теперь все работает исправно. Так же вирус повредил Windows Installer. Вроде починил с помощью гугла. По ходу завершил некоторые процессы и удалил их, т.к. время их создания примерно совпадало в временем попадания вируса в систему :

    C:\Users\westky\AppData\Roaming\Tor Project (Security Task Manager определил его как потенциально опасный процесс)
    C:\Users\westky\AppData\Roaming\LiteDB
    C:\Users\westky\AppData\Roaming\CryptoDB
    Вложения Вложения

  14. #12
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,685
    Вес репутации
    3028
    Что с проблемой?
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  15. Это понравилось:


  16. #13
    Junior Member Репутация
    Регистрация
    09.04.2015
    Сообщений
    9
    Вес репутации
    11
    Все работает. Большое спасибо

  17. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,317
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 7
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\users\westky\appdata\roaming\browsers\exe.emorh c.bat - Trojan-Clicker.BAT.Agent.az
      2. c:\users\westky\appdata\roaming\browsers\exe.erolp xei.bat - Trojan-Clicker.BAT.Agent.az


  • Уважаемый(ая) Jack123, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Yamdex.net в Google Chrome [Trojan-Clicker.BAT.Agent.ax ]
      От Gabi в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 13.02.2015, 11:03
    2. Ответов: 5
      Последнее сообщение: 17.11.2014, 18:14
    3. Ответов: 8
      Последнее сообщение: 15.10.2014, 13:52
    4. Реклама Google Chrome и неизвестные стартовые страницы в Mozilla
      От Сергей Канарейкин в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 09.03.2014, 23:07
    5. Ответов: 21
      Последнее сообщение: 02.10.2013, 17:21

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00693 seconds with 17 queries