Процесс aes-acx2.exe грузит ЦП на 100%, появляется снова [Trojan.Win32.Raum.f, not-a-virus:RiskTool.Win32.BitCoinMiner.hzon ]

[Shok23]

Появился процесс в диспетчере задач aes-acx2.exe
при завершении появляется снова
находится по пути (C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3)
файлы из этой папки не удаляются, потому что они "открыты другой программой"

[Info_bot]

Уважаемый(ая) Shok23, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\users\pavel\appdata\roaming\ceuju\kcj\svchost.exe');
 QuarantineFile('c:\users\pavel\appdata\roaming\ceuju\kcj\svchost.exe','');
 TerminateProcessByName('c:\users\pavel\appdata\roaming\ceuju\qzza.exe');
 QuarantineFile('c:\users\pavel\appdata\roaming\ceuju\qzza.exe','');
 QuarantineFile('c:\users\pavel\appdata\roaming\notifyltd49\notifybackup.exe','');
 TerminateProcessByName('c:\windows\mssecsvc.exe');
 QuarantineFile('c:\windows\mssecsvc.exe','');
 TerminateProcessByName('C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3\aes-avx2.exe');
 QuarantineFile('C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3\aes-avx2.exe','');
 DeleteFile('C:\Users\Pavel\AppData\Roaming\CEUJu\rsq\xm_3\aes-avx2.exe','32');
 DeleteFile('c:\windows\mssecsvc.exe','32');
 DeleteFile('c:\users\pavel\appdata\roaming\ceuju\qzza.exe','32');
 DeleteFile('c:\users\pavel\appdata\roaming\ceuju\kcj\svchost.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','QzV');
 DeleteFile('C:\Windows\winstart.bat','32');
 DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[Shok23]

Я перед запуском скрипта сканировал Kaspersky Virus Removal Tool 2015, он удалил те файлы вируса
после чего я смог удалить папку где были эти файлы
Процесс aes-acx2.exe пропал

но после перезагрузки
начало что-то грузиться и открывалась командная строка быстро едва видно

в диспетчере мелькнул процесс qzza.exe и опять появился процесс aes-acx2.exe который грузит на 100%
и снова появилась папка с файлом этого процесса которую я удалял

Периодически крашится проводник и д.р., то файлы скачанные не видны и прочие глюки..

Вот последние логи и последний карантин после появления процесса опять.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Shok23]

Сделал.
У меня правда при повторном сканировании "Kaspersky Virus Removal Tool 2015"
после перезагрузки был синий экран с ошибкой "srv.sys"

Мне на форуме "kasperskyclub.ru" не продолжать дублированную тему ?

Вот ссылка на результат Virus-Detector - ссылка

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKU\S-1-5-21-1368408871-3472851102-630820129-1000\...\Run: [QzV] => C:\Users\Pavel\AppData\Roaming\CEUJu\Qzza.exe [4948480 2017-12-30] ()
FF Extension: (FullProtected v15.2.8) - C:\Users\Pavel\AppData\Roaming\Mozilla\Firefox\Profiles\4jry7w8v.default\Extensions\[email protected] [2015-02-08] [Legacy] [not signed]
R2 mssecsvc2.0; C:\WINDOWS\mssecsvc.exe [3723264 2017-12-30] () [File not signed]
R2 Rerun service for Torrent Search; C:\Windows\TEMP\TorrentSearch_restartonfail\InstallAfterRebootService0.exe [114184 2015-01-30] ()
2017-12-30 20:53 - 2017-12-30 20:53 - 003723264 ____S C:\Windows\mssecsvc.exe
2017-12-30 18:49 - 2017-12-30 20:37 - 000000000 ___HD C:\Users\Pavel\AppData\Roaming\NotifyLtd49
2017-12-30 18:49 - 2017-12-30 20:37 - 000000000 ____D C:\Users\Pavel\AppData\Roaming\CEUJu
2017-12-30 18:49 - 2017-12-30 20:37 - 000000000 _____ C:\Users\Pavel\AppData\Roaming\s.s
2017-12-30 18:49 - 2017-12-30 18:49 - 000325120 _____ C:\Users\Pavel\AppData\Roaming\m.exe
2017-11-24 15:55 - 2017-11-24 15:55 - 000000180 _____ () C:\Users\Pavel\AppData\Local\Temp\00e481b5e22dbe1f649fcddd505d3eb7.dll
2017-11-24 15:55 - 2017-12-25 10:21 - 000000016 _____ () C:\Users\Pavel\AppData\Local\Temp\1a3f69f2a963b7043563edc3b6839ae5.dll
Task: {4BC56A6C-31E4-47D5-8C84-FEA911DF77AE} - \chrome5 -> No File <==== ATTENTION
Task: {C17A1338-FA8F-4EC3-A25E-290850A30D46} - \chrome5_logon -> No File <==== ATTENTION
Task: {F538F296-756E-4010-9D8B-8CE168ACD276} - \GoogleUpdateTaskMachineUI  -> No File <==== ATTENTION
AlternateDataStreams: C:\Users\Pavel:Heroes & Generals [38]
AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [286]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:D8999815 [286]
C:\ProgramData\eiuwqmwualymvom168
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[regist]

Shok23,
+
Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

var PathAutoLogger, CMDLine : string;

begin
  clearlog;
  PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-4));
  AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now)+#13#10+ PathAutoLogger);
  SaveLog(PathAutoLogger+'report3.log');
    if FolderIsEmpty(PathAutoLogger+'CrashDumps')
        then CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log"'
        else CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log" "' + PathAutoLogger + 'CrashDumps\"';
     if FileExists('7za.exe') then ExecuteFile('7za.exe', CMDLine, 0, 180000, false)
        else ExecuteFile('7za.pif', CMDLine, 0, 180000, false);
  AddLineToTxtFile(PathAutoLogger+'report3.log', '7z ReturnCode ' + IntToStr(GetLastExitCode)+#13#10+'end time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now));
end.

архив Report.zip из папки с AutoLogger, пожалуйста, прикрепите к своему сообщению. Выполнение скрипта может занять несколько минут. Если архив слишком большой, загрузите его на файлообменник, например на один из этих файлообменников http://www.zippyshare.com/ , http://my-files.ru/ , http://www.ge.tt/ и дайте на него ссылку в Вашей теме.

- - - - -Добавлено - - - - -

+

- Файл quarantine.zip из папки AVZ отправьте по адресу [email protected]

Этот архив загрузите по ссылке Прислать запрошенный карантин вверху темы.
PS. логи туда грузить не надо.

[Shok23]

Вообщем вчера пропал интернет.
Как узнал, провайдер забанил меня за трафик (видимо из-за вируса).

Пока не было интернета, еще раз просканировал "Kaspersky Virus Removal Tool" и удалил все вирусы.
В итоге сегодня уже с интернетом, при проверке в KVRT не обнаруживается ничего, процессов вирусных и папок с ними пока нет.

Ссылка на Report.zip

Архив карантин у меня только вчерашнего образца, новый не появился
ну я вчерашний отправл

p.s. я чтото напутал с папками, и создал новую папку с AutoLogger, и там уже Report.zip получился не 30+мб а 2кб весом, но я отправил котоый первый был и весил 30мб

[regist]

Всё написанное выше всё равно выполните.

[Shok23]

Выполнил, обновил свой последний пост.

[Dragokas]

Shok23
а этого файла у вас на диске не осталось?

C:\Users\Pavel\Desktop\AutoLogger\CrashDumps\HiJackThis.exe.22100.dmp

[Shok23]

CrashDumps только такие:

GoogleUpdate.exe.6772.dmp
jhi_service.exe.10768.dmp
LMS.exe.10812.dmp

[thyrex]

Сделайте лог полного сканирования МВАМ

[regist]

p.s. я чтото напутал с папками, и создал новую папку с AutoLogger

что подразумевалось под напутали? В новой папке конечно не будет указанных файлов. Папку которая изначально была вы удалили?

[Shok23]

Нет, папку я не удалял, и я проверил все папки которые есть на этот файл, там его нету.

Напутал так - я переместил ярлык с рабочего стола в папку самого Логера, и после выполнения одного из скриптов, он создал еще одну папку Логера, внутри этой папки (C:\Users\Pavel\Desktop\AutoLogger\AutoLogger)

Но потом я решил распаковать отдельно новый Логер в новую папку и ничего не перемещал оттуда (C:\Users\Pavel\Desktop\AutoLogger2\AutoLogger)
И во всех новых папках кроме самой первой файл "Report.7z" получался весом 2кб всего, а в первой (оригинальной) 34мб.

Я уже прикреплял самый первый, вот другие.

[thyrex]

Написанное в сообщении №14 выполните

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 42
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\pavel\appdata\local\temp\is-1965b9a\mvcrt110.dll - Trojan.Win32.Raum.j
  2. c:\users\pavel\appdata\roaming\ceuju\qzza.exe - Trojan.Win32.Raum.f ( BitDefender: Gen:Variant.Razy.34765 )
  3. c:\users\pavel\appdata\roaming\ceuju\rsq\xg_2\xam. exe - not-a-virus:RiskTool.Win32.Generic
  4. c:\users\pavel\appdata\roaming\ceuju\rsq\xg_2\xnv. exe - not-a-virus:RiskTool.Win32.BitCoinMiner.hzon
  5. c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\aes-avx.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.cdr
  6. c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\aes-avx2.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.cao
  7. c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\aes-sse42.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.cdo
  8. c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\mon3 2.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.hzkc ( BitDefender: Gen:Trojan.Heur.RP.AHW@a0Rr8Jki )
  9. c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\sse2 .exe - not-a-virus:RiskTool.Win64.BitCoinMiner.cdq
  10. c:\users\pavel\appdata\roaming\ceuju\rsq\xm_3\sse4 2.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.cdp
  11. c:\windows\mssecsvc.exe - Trojan-Ransom.Win32.Wanna.m ( BitDefender: Gen:Variant.Adware.Barys.1890 )
  12. c:\windows\temp\torrentsearch_restartonfail\instal lafterrebootservice0.exe - not-a-virus:WebToolbar.Win32.Agent.bhv