Webisida.Browser.exe, SecureSurf.Browser.Client.exe и Safesurf.dll на сервере терминалов [win32/Webisida.I]

[zallegro]

Операционная система: Windows Server 2008x64 , является сервером терминалов. Заметил в диспетчере задач процессы Webisida.Browser.exe, SecureSurf.Browser.Client.exe по учётной записью SYSTEM. При завершении вручную через несколько секунд появляется снова. Антивирусы данные приложения определяют как потенциально опасные но после лечения они опять появляются. При перезагузке система зависает.
Файл логов во вложении

[Info_bot]

Уважаемый(ая) zallegro, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Здравствуйте.

Выполните скрипт в AVZ из папки Autologger

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DeleteService('wscsvs');
 DeleteService('werlsfks');
 DeleteService('wcvvses');
 SetServiceStart('videos2', 4);
 DeleteService('videos2');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe','');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe','');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe','');
 TerminateProcessByName('c:\windows\syswow64\config\systemprofile\appdata\local\webisida\webisida.browser.exe');
 QuarantineFile('c:\windows\syswow64\config\systemprofile\appdata\local\webisida\webisida.browser.exe','');
 TerminateProcessByName('c:\windows\syswow64\config\systemprofile\appdata\local\webisida\gecko\securesurf.browser.client.exe');
 TerminateProcessByName('c:\windows\fonts\wss\services.exe');
 QuarantineFile('c:\windows\fonts\wss\services.exe','');
 QuarantineFile('c:\windows\syswow64\config\systemprofile\appdata\local\webisida\gecko\securesurf.browser.client.exe','');
 DeleteFile('c:\windows\syswow64\config\systemprofile\appdata\local\webisida\gecko\securesurf.browser.client.exe','32');
 DeleteFile('c:\windows\fonts\wss\services.exe','32');
 DeleteFile('c:\windows\syswow64\config\systemprofile\appdata\local\webisida\webisida.browser.exe','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\XulFx.Windows.Forms.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\XulFx.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\xul.DLL','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\softokn3.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\SecureSurf.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\nssdbm3.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\nssckbi.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\nss3.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\mozglue.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\mozavutil.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\mozavcodec.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\MemIPC.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\lgpllibs.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\freebl3.dll','32');
 DeleteFile('C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Webisida\gecko\Capinet.dll','32');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe','32');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe','32');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после скрипта.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[zallegro]

Cкрипт выполнил, новые логи загрузил.
К сожалению, после перезагузки, сначала еще раз запустил Autologger и карантин перезаписался.
Сейчас папка Quarantine пустая.
Вышеперечисленные в теме процессы в диспетчере не наблюдаются.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[zallegro]

Готово

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
Task: {59147250-3142-4114-A946-8AD49AC0D9E1} - System32\Tasks\Microsoft\Windows\Browser\MWR => cmd.exe /c taskkill /f /im wahiver.exe /t
Task: {09AF50CC-AF75-404B-A9BF-DB8BE5154267} - System32\Tasks\Microsoft\Windows\Browser\MFR => cmd.exe /c taskkill /f /im spsvc.exe /t
HKU\S-1-5-21-974497080-3714188868-782477536-1010\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
HKU\S-1-5-21-974497080-3714188868-782477536-1032\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
HKU\S-1-5-21-974497080-3714188868-782477536-500\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
c:\windows\syswow64\config\systemprofile\appdata\local\webisida
C:\Windows\Inf\axperflib\0010
C:\Windows\Inf\NETLIBRARIESTIP\000D
c:\windows\fonts\wss
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную послесле этого скрипта.

[zallegro]

Готово

[thyrex]

Проблема решена?