Нужна помощь с трояном.

[agentik_0071]

На компе Троян. Сидит в моём ВК и пишет комментарии. В диспетчере задач не отображаются запущенные приложения(периодически) и сильно возрастает потребление ЦП и оперативки(но не показывает куда уходят ресурсы).

[Info_bot]

Уважаемый(ая) agentik_0071, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.

O21 - HKLM\..\ShellIconOverlayIdentifiers\00asw: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O22 - Task: (disabled) \Microsoft\Windows\PerfTrack\BackgroundConfigSurveyor - {EA9155A3-8A39-40B4-8963-D3C761B18371} - (no file)
O22 - Task: (disabled) \Microsoft\Windows\Shell\WindowsParentalControls - {DFA14C43-F385-4170-99CC-1B7765FA0E4A} - (no file)
O22 - Task: (disabled) \Microsoft\Windows\Shell\WindowsParentalControlsMigration - {343D770D-7788-47C2-B62A-B7C4CED925CB} - (no file)
O22 - Task: (disabled) \Microsoft\Windows\SideShow\AutoWake - {E51DFD48-AA36-4B45-BB52-E831F02E8316} - (no file)
O22 - Task: (disabled) \Microsoft\Windows\SideShow\SessionAgent - {45F26E9E-6199-477F-85DA-AF1EDFE067B1} - (no file)
O22 - Task: (disabled) \Microsoft\Windows\SideShow\SystemDataProviders - {7CCA6768-8373-4D28-8876-83E8B4E3A969} - (no file)
O22 - Task: \Microsoft\Windows\MobilePC\HotStart - {06DA0625-9701-43DA-BFD7-FBEEA2180A1E} - (no file)
O22 - Task: \Microsoft\Windows\SideShow\GadgetManager - {FF87090D-4A9A-4F47-879B-29A80C355D61},$(Arg0) - (no file)

- Подготовьте лог AdwCleaner и приложите его в теме.

[agentik_0071]

Вот

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[agentik_0071]

Что вы можете сказать по поводу источника заражения?
Возможно ли что и другой комп находящийся в этой локальной сети заражён?

[SQ]

Пока сказать сложно.

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[agentik_0071]

Вот

[SQ]

Проблема возникает только в хроме или в других браузерах тоже?

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  CHR HKLM-x32\...\Chrome\Extension: [amkpcclbbgegoafihnpgomddadjhcadd] - hxxps://chrome.google.com/webstore/detail/amkpcclbbgegoafihnpgomddadjhcadd
  CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd] - hxxp://clients2.google.com/service/update2/crx
  U3 idsvc; no ImagePath
  File: C:\WINDOWS\System32\drivers\ubumapi.sys
  File: C:\WINDOWS\system32\eac_usermode_10137112450478.dll
  Virustotal: C:\WINDOWS\system32\eac_usermode_10137112450478.dll
  ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> No File
  AlternateDataStreams: C:\Users\Public\AppData:CSM [484]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[agentik_0071]

Извините, забыл сказать что единственным антивирусом который что-то нашёл был Dr.Web LiveDisk
(Cureit из под системы ничего не видел)
Угроза которую он нашёл:
Возможно DRHSPChanger.corrupted
P.S. фото экрана прикрепить не смог
P.P.S. угроз было две одинаковых

[SQ]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[agentik_0071]

При запуске под текущем пользователем зависает на анализе Автозапуска.
В диспетчере висит nsthuy (32 бита) (2)
Что мне делать?

[SQ]

Попробуйте выполнить в безопасном режиме, возможно антивирусно По мешает сборке данных

[agentik_0071]

Безопасный режим не помог.

[SQ]

попробуйте,

1. В окне запуска снять галочку "Выгружать неизвестные DLL из uVS".
2. В окне запуска снять галочку "Антисплайсинг".

[agentik_0071]

Первая галочка не стояла. Не помогло. Всё также зависает после нажатия кнопки запустить под текущем пользователем.
На всякий случай также попробовал различные комбинации галочек. Также не сработало.

[SQ]

- Покажите лог TDSSKiller
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)


P.S. самостоятельно ничего не удаляйте пожалуйста в случае нахождения каких-то угроз.

[agentik_0071]

Хорошо.

[SQ]

Угрозы утилита TDSSKiller не выявила. Уточните пожалуйста более подробнее как проявляется проблема и в каких приложениях?

Также приложите новые логи FRST.

[agentik_0071]

Месяц назад я заметил что в диспетчере задач не отображается какому процессу уходит львиная доля ЦП и оперативки.
Потом, две недели назад, на моей стене ВК неизвестный человек разместил рекламу, после чего я её удалил и кинул жалобу.
Он ответил что не надо так, после чего я удалил и это, в ответ на это он отправил мёртвый смайл, а я почему то не принял это за угрозу.
Ещё через три дня пришло сообщение на почту:
Вы получили это письмо, потому что в Ваш аккаунт ВКонтакте 3 ноября 2018 в 2:01 был выполнен вход через приложение VK для Android, Венесуэла, Bergantín.

Вы получили это письмо, потому что в Ваш аккаунт ВКонтакте 4 ноября 2018 в 13:23 был выполнен вход через приложение VK для iPhone, Россия.

После чего с моего аккаунта ВК стали рассылать рекламу и его заблокировали.
Я не поменял пароль сразу после первого взлома так как не поверил что обошли двухфакторную аутентификацию. И посчитал что у меня на компе вирус.
Как ещё можно обойти двухфакторную аутентификацию ВК?
Лог будет вечером.

- - - - -Добавлено - - - - -

Вот