Помогите удалить MEM:Trojan/Win32.SEPEH.gen

[CRASH_vs]

Kaspersky Endpoint Security 10 нашел MEM:Trojan/Win32.SEPEH.gen. Предлагает лечить с перезагрузкой. После перезагрузки снова находит.Расположение System Memory.Сканировал Kaspersky Virus Removal Tool (находит предлагает тоже как KES 10 лечить с перезагрузкой. Но не получается), Dr.Web CureIt!.Установленный антивирус Kaspersky Endpoint Security 10.2.6.6733 (mr3.mr4).

[Info_bot]

Уважаемый(ая) CRASH_vs, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[CRASH_vs]

Выкладываю отчеты

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
SearchScopes: HKU\S-1-5-21-682003330-1177238915-1606980848-1005 -> {35CABC1C-ABF5-4CBE-8736-46DDBF522E13} URL = hxxp://iskalko.ru/browser.php?t=3&m=nalog_1&s={searchTerms}
Toolbar: HKU\S-1-5-21-682003330-1177238915-1606980848-1005 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
CHR HKLM\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
Task: C:\WINDOWS\Tasks\MailRuUpdateTask.job => C:\Documents and Settings\user\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe/scheduler C:\Documents and Settings\user\Local Settings\Application Data\Mail.Ruu <==== ATTENTION
Task: C:\WINDOWS\Tasks\Уведомление о завершении поддержки Microsoft Windows XP ежемесячно.job => C:\WINDOWS\system32\xp_eos.exe
Task: C:\WINDOWS\Tasks\Уведомлением о завершении поддержки Microsoft Windows XP при входе.job => C:\WINDOWS\system32\xp_eos.exe
WMI:subscription\__FilterToConsumerBinding->\\.\root\subscription:MSFT_UCScenarioControl.Name=\"Microsoft WMI Updating Consumer Scenario Control\"",Filter="\\.\root\subscription:__EventFilter.Name=\"Microsoft WMI Updating Consumer Scenario Control\":
WMI:subscription\__EventFilter->Microsoft WMI Updating Consumer Scenario Control:
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[CRASH_vs]

Вот

- - - - -Добавлено - - - - -

Ничего не изменилось.

[thyrex]

Очистите отчеты антивируса с найденными угрозами, запустите проверку антивируса и сообщите результат.

[CRASH_vs]

Результат тот же находит и KVRT и KES10

- - - - -Добавлено - - - - -

В KES Полная проверка проходит ничего не находит. Проверка важных областей находит.

[SQ]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[CRASH_vs]

Сделал файл тут https://yadi.sk/d/UpTQmVgApTVhtQ

[SQ]

Уточните пожалуйста, как часто устанавливаете обновления Windows Update? Также уточните пожалуйста, устанавливали ли исправление устраняющее уязвимость SMB?

Если временно закрыть все входящие подключения протокола SMB (139, 445) в Windows Firewall проблема проявляется?

[CRASH_vs]

Компьютер достался недавно с отключенными обновлениями. Накатил обновления которые есть. По вашей ссылке не нашел для ХР. установил MS16-114 для SMBv1. Находит вирус при проверке важных областей (при отключенном сетевом кабеле) или когда пк просто работает может выскочить окно с найденным вирусом. Лечение с перезагрузкой не помогает. https://yadi.sk/i/593DHlFK0xYlww

[SQ]

Уточните пожалуйста, если в firewall вашего антивируса временно закрыть входящие порты SMB (139, 445) проблема проявляется?

Если проблема будет проявляться, могли бы включить трейсы антивируса и выполнить проверку на вирусы заново, далле отключить трейсы и приложить в следующем сообщение в архиве zip.

Также могли бы приложить новые логи утилиты FRST.

[CRASH_vs]

https://yadi.sk/i/58-M613xTxUgmQ https://yadi.sk/i/58-M613xTxUgmQ Правильно закрыл входящие порты ?

[SQ]

К сожалению плохо видно.

[CRASH_vs]

https://yadi.sk/i/X_MBMcRQbLdekg https://yadi.sk/i/usgWk7IqrojIJw переделал

[SQ]

Похоже, что так, уточните пожалуйста проявляется проблема?

Покажите пожалуйста результат следующей команды в командной строке (cmd)

net share

[CRASH_vs]

Командная строка https://yadi.sk/i/w_C8OLj_fXxuiQ . При просто включенном компе не выскакивало окно(пока). При включении проверки важных областей находит https://yadi.sk/i/ZpDeZINbOP3X7w

[SQ]

Уточните пожалуйста если выключить временно сеть и проверить важные области, также находит?

- Покажите лог TDSSKiller
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

P.S. В случае нахождения вредоносного ПО не удаляйте ничего самостоятельно.

[CRASH_vs]

После обновлений для системы сетевой кабель был отключен. Первое сканирование с параметрами по умолчанию(прикрепил ниже) Сканирование со всеми параметрами тут https://yadi.sk/i/zAWchy_ETeU2NQ (нашел 13 файлов без цифровой подписи)