Опять Mail.ru и Ко [Backdoor.Win32.Androm.mukl ]

[salievan]

Опять прошу помощи, теперь уже комп брата оказался поражен, несколько дней за компом сидел мой друг, не совсем разборчивый в Интернете, в результате вчера обнаружил Амиго и прочий мусор, сегодня еще какие-то программы в автозапуске засели и не дают себя вычистить. Логи прилагаются.

[Info_bot]

Уважаемый(ая) salievan, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\amigo\application\amigo.exe');
 TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\amigo\application\47.5.2526.173\amigo_cr.exe');
 TerminateProcessByName('f:\windows\temp\g7.tmp.exe');
 QuarantineFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\amigo.exe', '');
 QuarantineFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\47.5.2526.173\amigo_cr.exe', '');
 QuarantineFile('f:\windows\temp\g7.tmp.exe', '');
 QuarantineFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_elf.dll', '');
 QuarantineFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome.dll', '');
 QuarantineFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_child.dll', '');
 QuarantineFile('F:\WINDOWS\TEMP\g6.tmp', '');
 QuarantineFile('F:\Documents and Settings\All Users\Application Data\729d49d98q654\729d49d98q654.dll', '');
 QuarantineFile('F:\Documents and Settings\Tolik1\ijbxh.exe', '');
 QuarantineFile('F:\Program Files\Youtube AdBlockU\DhtBVSA.dll', '');
 DeleteFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\amigo.exe', '32');
 DeleteFile('f:\documents and settings\tolik1\local settings\application data\amigo\application\47.5.2526.173\amigo_cr.exe', '32');
 DeleteFile('f:\windows\temp\g7.tmp.exe', '32');
 DeleteFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_elf.dll', '32');
 DeleteFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome.dll', '32');
 DeleteFile('F:\Documents and Settings\Tolik1\Local Settings\Application Data\Amigo\Application\47.5.2526.173\chrome_child.dll', '32');
 DeleteFile('F:\WINDOWS\TEMP\g6.tmp', '32');
 DeleteFile('F:\Documents and Settings\All Users\Application Data\729d49d98q654\729d49d98q654.dll', '32');
 DeleteFile('F:\Documents and Settings\Tolik1\ijbxh.exe', '32');
 DeleteFile('F:\Program Files\Youtube AdBlockU\DhtBVSA.dll', '32');
 DeleteFileMask('f:\documents and settings\tolik1\local settings\application data\amigo', '*', true);
 DeleteFileMask('f:\documents and settings\all users\application data\729d49d98q654', '*', true);
 DeleteFileMask('f:\program files\youtube adblocku', '*', true);
 DeleteFileMask('F:\Documents and Settings\All Users\Application Data\Mail.Ru', '*', true);
 DeleteDirectory('f:\documents and settings\tolik1\local settings\application data\amigo');
 DeleteDirectory('f:\documents and settings\all users\application data\729d49d98q654');
 DeleteDirectory('f:\program files\youtube adblocku');
 DeleteDirectory('F:\Documents and Settings\All Users\Application Data\Mail.Ru');
 ExecuteFile('schtasks.exe', '/delete /TN "F:\WINDOWS\Tasks\729d49d98q654.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "F:\WINDOWS\Tasks\Update Service for Youtube AdBlock.job" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "F:\WINDOWS\Tasks\Update Service for Youtube AdBlock2.job" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'TOLIK');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1645522239-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run', 'amigo');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1645522239-1004336348-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run', 'MSConfig');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

Сделайте лог Malwarebytes AdwCleaner.

[salievan]

Карантин закачал.
Остальные логи добавил.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\ajun\msvpnagent.exe');
 TerminateProcessByName('f:\documents and settings\tolik1\local settings\application data\ajun\ntcsrss.exe');
 QuarantineFile('f:\documents and settings\tolik1\local settings\application data\ajun\msvpnagent.exe', '');
 QuarantineFile('f:\documents and settings\tolik1\local settings\application data\ajun\ntcsrss.exe', '');
 QuarantineFile('F:\Documents and Settings\Tolik1\Application Data\Microsoft\ccbahtav\uadsbfwu.exe', '');
 DeleteFile('F:\Documents and Settings\Tolik1\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
 DeleteFile('F:\WINDOWS\Tasks\Update Service for Youtube AdBlock.job', '32');
 DeleteFile('F:\WINDOWS\Tasks\Update Service for Youtube AdBlock2.job', '32');
 DeleteFile('F:\WINDOWS\Tasks\729d49d98q654.job', '32');
 DeleteFile('f:\documents and settings\tolik1\local settings\application data\ajun\msvpnagent.exe', '32');
 DeleteFile('f:\documents and settings\tolik1\local settings\application data\ajun\ntcsrss.exe', '32');
 DeleteFile('F:\Documents and Settings\Tolik1\Application Data\Microsoft\ccbahtav\uadsbfwu.exe', '32');
 DeleteFileMask('f:\documents and settings\tolik1\local settings\application data\ajun', '*', true);
 DeleteFileMask('f:\documents and settings\tolik1\application data\microsoft\ccbahtav', '*', true);
 DeleteFileMask('f:\program files\youtube adblocku', '*', true);
 DeleteDirectory('f:\documents and settings\tolik1\local settings\application data\ajun');
 DeleteDirectory('f:\documents and settings\tolik1\application data\microsoft\ccbahtav');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Сервер папки обмена Patcher');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'ESET');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Архив карантина quarantine.zip отправьте по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[salievan]

Карантин отправлен.
Лог ClearLNK прилагаю, FRST также прилагается.
Нужно ли фиксить через FRST найденное?

[Vvvyg]

Ни в коем случае, угробите систему.

Я за Вами не успеваю, в каждом новом логе что-то свежее. Что-то каждый раз устанавливаете, запускаете, или "оно само"?

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
Closeprocesses:
() F:\Documents and Settings\Tolik1\Application Data\XmVkVVxcUWZVXlVkUQxx\gjhax_16.exe
HKU\S-1-5-21-1645522239-1004336348-725345543-1003\...\Run: [gjhax_16.exe] => F:\Documents and Settings\Tolik1\Application Data\XmVkVVxcUWZVXlVkUQxx\gjhax_16.exe [155599 2017-03-28] ()
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
SearchScopes: HKU\S-1-5-21-1645522239-1004336348-725345543-1003 -> {76DEFAE6-09B2-40B2-8F8A-5A6A5D5CE4EB} URL = hxxps://search.yahoo.com/search/?toggle=1&cop=mss&ei=UTF-8&fr=vmn&type=auslog_yaapp2_ch&p={searchTerms}
FF DefaultSearchEngine: F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default -> Поиск@Mail.Ru
FF Keyword.URL: F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7B3BF198BF-03C2-4608-A9FE-0064710B9D67%7D&gp=820331
FF Extension: (Домашняя страница Mail.Ru) - F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default\Extensions\[email protected] [2017-03-22]
FF Extension: (Поиск@Mail.Ru) - F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default\Extensions\[email protected] [2017-03-22]
FF Extension: (Визуальные закладки @Mail.Ru) - F:\Documents and Settings\Tolik1\Application Data\Mozilla\Firefox\Profiles\exjiayev.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2017-03-22]
2017-03-28 11:15 - 2017-03-28 11:15 - 00000000 __SHD F:\Documents and Settings\Tolik1\Application Data\XmVkVVxcUWZVXlVkUQxx
2017-03-22 14:37 - 2017-03-28 11:12 - 00000119 _____ F:\WINDOWS\mujifejujifanaxoluzugalegivilosevenipebajemolazozivexubewudoborezuzurivehesonawijuma
2017-03-22 14:21 - 2017-03-22 14:21 - 00000000 ____D F:\Documents and Settings\Tolik1\Application Data\MailProducts
2017-03-22 14:19 - 2017-03-22 14:19 - 00000000 ____D F:\Program Files\Youtube AdBlockIE
2017-03-22 14:18 - 2017-03-27 13:28 - 00000000 ___HD F:\Documents and Settings\All Users\Application Data\729d49d98q654
2017-03-22 14:23 - 2017-03-22 16:44 - 00282624 _____ F:\Documents and Settings\Tolik1\Local Settings\Application Data\teamviever_tr.exe
2015-09-20 20:56 - 2015-09-20 20:56 - 0000000 _____ () F:\Documents and Settings\Tolik1\Application Data\mail.log
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[salievan]

Увы, оно само...
Вчера увидел этот gjhax_16.exe, сразу удалил вручную, ибо не давал в интернет зайти ни одному процессу...
Лог прилагаю

[Vvvyg]

Наконец, отбились.

Имеем:
1. Не поддерживаемую давно уже MS и, скорее всего, даже не до конца обновлённую систему.
2. Древний Avast с устаревшими базами.
3. Устаревшая и со множеством критических уязвимостей Java.
4. µTorrent на рабочем компьтере. Качай, запускай всякую фигню...

[salievan]

Спасибо большое!!
1. Увы, на моем железе больше не потянет,
2. Руки пока не дошли, но мне привезли лиценз ДрВеб на 2 года, установлю себе и брату,
3. С Явой вынужден иметь дело, т.к. приходится часто работать дома,
4. Потом снесу, тут он лишний раз и забыл о нем.
Тему наверно можно закрывать.

[Vvvyg]

Processor: Intel(R) Core(TM)2 Duo CPU E8400 @ 3.00GHz
Total physical RAM: 3549.04 MB

1. На такой конфигурации 7-ка весьма резва, даже x64, и даже 10-ка вполне шевелится.

3. Имейте дело с актуальной версией: Java 8 Update 121.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. f:\documents and settings\all users\application data\729d49d98q654\729d49d98q654.dll - HEUR:Trojan.Win32.Generic
  2. f:\documents and settings\tolik1\application data\microsoft\ccbahtav\uadsbfwu.exe - Backdoor.Win32.Androm.mukl
  3. f:\windows\temp\g6.tmp - HEUR:Trojan.Win32.Generic ( BitDefender: Gen:Variant.Symmi.49121 )
  4. f:\windows\temp\g7.tmp.exe - Trojan.Win32.Wdfload.afj