Процессы SecureSurf.Browser.Client и SecureSurf.Browser.Shell

[kreatiffchik]

Здравствуйте!

Неделю назад заметил два посторонних процесса - SecureSurf.Browser.Client и SecureSurf.Browser.Shell на машине с Windows Server 2008. После убивания вручную появляются через несколько часов снова.

Проверял систему AVPTool и Dr.Web CureIt! - в общей сложности нашлось порядка 10 нехороших вещей. После проверки процессы SecureSurf.Browser.Client и SecureSurf.Browser.Shell не появлялись около суток, а потом вновь.

[Info_bot]

Уважаемый(ая) kreatiffchik, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 TerminateProcessByName('c:\programdata\microsoft\drm\smss.exe');
 TerminateProcessByName('c:\documents and settings\all users\microsoft\drm\wa\services.exe');
 TerminateProcessByName('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe');
 StopService('WindowsDefender');
 QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\webisida.browser.exe', '');
 QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '');
 QuarantineFile('C:\Program Files\SearchesToYesbnd\bugreport.exe', '');
 QuarantineFile('c:\programdata\microsoft\drm\smss.exe', '');
 QuarantineFile('c:\documents and settings\all users\microsoft\drm\wa\services.exe', '');
 QuarantineFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '');
 QuarantineFileF('c:\documents and settings\all users\microsoft\drm\wa', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 QuarantineFileF('c:\program files\common files\microsoft shared\system', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('c:\program files\common files\microsoft shared\system\gecko\securesurf.browser.client.exe', '32');
 DeleteFile('c:\documents and settings\all users\microsoft\drm\wa\services.exe', '32');
 DeleteFile('c:\programdata\microsoft\drm\smss.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\WinTaske', '32');
 DeleteFile('C:\Program Files\SearchesToYesbnd\bugreport.exe', '32');
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\settings.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\', '32');
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\System\webisida.browser.exe', '32');
 DeleteService('ggbugreport');
 DeleteService('WindowsDefender');
 DeleteFileMask('c:\documents and settings\all users\microsoft\drm\wa', '*', true);
 DeleteFileMask('c:\program files\common files\microsoft shared\system', '*', true);
 DeleteFileMask('C:\Program Files\SearchesToYesbnd', '*', true);
 DeleteDirectory('c:\documents and settings\all users\microsoft\drm\wa');
 DeleteDirectory('c:\program files\common files\microsoft shared\system');
 DeleteDirectory('C:\Program Files\SearchesToYesbnd');
 ExecuteFile('schtasks.exe', '/delete /TN "Adobe Reader" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "GoogleUpdateTaskMashine" /F', 0, 15000, true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузите сервер.
Смените пароли администратора и пользователей с правом подключения в терминальном режиме.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[kreatiffchik]

Сделано!..

[Vvvyg]

Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

- - - - -Добавлено - - - - -

Выполните скрипт в uVS:

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
v385c
OFFSGNSAVE
; C:\WINDOWS\SYSTEM32\SETH.EXE
zoo %Sys32%\SETH.EXE
addsgn 9A24779A55024C720BD4C6A9A78812ED79AAFCF60A3E131085C3C5BCB883514C23B4DF947E55F5492B8084F7460649FA15DFE8725532F20C2D7707370446229B 8 TrojWare.Win32.CoinMiner.IEGT [Comodo]

chklst
delvir

deltmp
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\SYSTEM\SETTINGS.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\SYSTEM\WEBISIDA.BROWSER.EXE
czoo

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

[kreatiffchik]

Сделано!

[Vvvyg]

Всё удалено.
Рекомендую переместиться в раздел Аудит защищенности персонального компьютера.

[kreatiffchik]

Огромнейшее спасибо! Обязательно поддержу ваш проект)))

[Vvvyg]

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/ur

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 274
• В ходе лечения вредоносные программы в карантинах не обнаружены