APPCRASH (evbf146.tmp) [not-a-virus:RiskTool.Win32.BitCoinMiner.ipiv, HEUR:Trojan.Win32.Generic ]

[RoadMojo]

Добрые хелперы! Помогите пожалуйста! После запуска системы выползает постоянно APPCRASH имя приложения постоянно разное но всегда в таком формате "evbf146.tmp", по журналу винды файл находится в папке temp, при закрытии APPCRASH сходу вылезает опять, но уже с другим именем .tmp, а так же создает похожий файл в папке temp

[Info_bot]

Уважаемый(ая) RoadMojo, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:

begin
 TerminateProcessByName('C:\Users\Mir\AppData\Roaming\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\ErrorCheck.exe');
 TerminateProcessByName('C:\Users\Mir\AppData\Roaming\Windows\system idle.exe');
 TerminateProcessByName('evbF146.tmp');
 QuarantineFile('C:\Users\Mir\AppData\Local\Temp\0Kraken0502DevProps.dll', '');
 QuarantineFile('C:\Users\Mir\AppData\Roaming\Bot.exe', '');
 QuarantineFile('C:\Users\Mir\AppData\Roaming\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\ErrorCheck.exe', '');
 QuarantineFile('C:\Users\Mir\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Winhost.url', '');
 QuarantineFile('C:\Users\Mir\AppData\Roaming\Windows\system idle.exe', '');
 QuarantineFile('C:\Users\Mir\AppData\Roaming\winhost.exe', '');
 QuarantineFile('evbF146.tmp', '');
 QuarantineFileF('C:\Users\Mir\AppData\Local\Temp', '*.tmp', false, '', 0, 0);
 QuarantineFileF('C:\Users\Mir\AppData\Roaming\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('C:\Users\Mir\AppData\Roaming\Bot.exe', '32');
 DeleteFile('C:\Users\Mir\AppData\Roaming\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\ErrorCheck.exe', '32');
 DeleteFile('C:\Users\Mir\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Winhost.url', '32');
 DeleteFile('C:\Users\Mir\AppData\Roaming\Windows\system idle.exe', '32');
 DeleteFile('C:\Users\Mir\AppData\Roaming\winhost.exe', '32');
 DeleteFile('evbF146.tmp', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "Macromedia\ErrorCheck" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SecurityService" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "System Idle" /F', 0, 15000, true);
 DeleteFileMask('C:\Users\Mir\AppData\Local\Temp', '*.tmp', true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Winhost');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger.

[RoadMojo]

карантин загрузил

новый лог

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O4 - HKCU\..\StartupApproved\Run: [Browser Manager] (2017/06/12) C:\Users\Mir\AppData\Local\Yandex\BrowserManager\MBLauncher.exe  (file missing)
O21 - ShellIconOverlayIdentifiers: 00asw - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O22 - Task: \System\SecurityService - C:\Users\Mir\AppData\Roaming\winhost.exe (file missing)

Сообщите, что с проблемой.

[RoadMojo]

Лог? Ошибка пропала после выполнения скрипта

[Vvvyg]

Судя по логу - не пофиксили, что просил.

[RoadMojo]

ну проблемы не осталось, на первый взгляд Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\mir\appdata\roaming\macromedia\flash player\macromedia.com\support\flashplayer\sys\erro rcheck.exe - HEUR:Trojan.Win32.Generic
  2. c:\users\mir\appdata\roaming\windows\system idle.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.ipiv