Самовосстанавливающийся вирус на флешке (5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe) [not-a-virus:UDS:AdWare.Win32.DealPly, HEUR:Trojan.Win32.Khalesi.gen]

**Dmitriy02** · 22.10.2019, 22:58

Столкнулся с таким вирусом. Все файлы превращает в ярлыки.

Логи приложены.

Заранее спасибо за помощь!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 22.10.2019, 23:00

Уважаемый(ая) Dmitriy02, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 23.10.2019, 07:03

Выполните скрипт в AVZ:

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\PROGRA~3\AF2124~1\{0D009~1.', '');
 QuarantineFile('C:\Users\Димас\AppData\Local\Pbrowserupd\Pbrowserupd.exe', '');
 QuarantineFile('c:\users\Димас\appdata\roaming\{A6289B6A-C9B9-45C8-B82A-06721FB857BF}\0b974bf5.exe', '');
 DeleteFile('C:\PROGRA~3\AF2124~1\{0D009~1.', '');
 DeleteFile('C:\Users\Димас\AppData\Local\Pbrowserupd\Pbrowserupd.exe', '');
 DeleteFile('c:\users\Димас\appdata\roaming\{A6289B6A-C9B9-45C8-B82A-06721FB857BF}\0b974bf5.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "{3A38B35A-E189-D9D8-B82A-06721FB857BF}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "AF224B40-85A6-9D0B-4013-C7153753F5C4" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Pbrowserupd" /F', 0, 15000, true);
 DeleteFileMask('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}', '*', true);
 DeleteDirectory('c:\users\димас\appdata\local\pbrowserupd');
 DeleteDirectory('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Chromium');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'GoogleChromeAutoLaunch_A7D74E27BF70863B5762BCF62FE2DB55');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Opera Browser Assistant');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(tfalse);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Удалите программы NativeDesktopMediaService и RelevantKnowledge, это adware.
Браузер FreeU - это устаревшая версия Chromium с рекламой и незакрытыми уязвимостями, в Chrome нужный функционал добавляется расширениями.
TACHYON Internet Security - очень сомнительный антивирус.

Сделайте новый лог такой версией Autologger.

Сделайте лог Malwarebytes AdwCleaner.

**Dmitriy02** · 23.10.2019, 20:43

Прилагаю лог ADWCleaner.

Залил "запрошеный карантин", скриншот прилагаю.

Удалил NativeDesktopMediaService, RelevantKnowledge, FreeU, TACHYON Internet Security.

Посоветуйте пожалуйста антивирус бесплатный.

Спасибо за помощь!

- - - - -Добавлено - - - - -

Ссылка на "лог такой версией Autologger'' не открылась в браузере(

**thyrex** · 23.10.2019, 20:57

Сообщение от Dmitriy02

Ссылка на "лог такой версией Autologger'' не открылась в браузере(

Все прекрасно открывается. Скачайте, распакуйте и запустите.

**Vvvyg** · 23.10.2019, 21:10

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C00].txt, прикрепите к своему следующему сообщению.

По ссылке из правил ("Нажмите сюда") скачайте Autologger и сделайте новый лог.

Kaspersky Free могу порекомендовать в качестве антивируса.

**Dmitriy02** · 23.10.2019, 22:05

Лог с ADW. Ссылка на диск не работает, ищу причину.

**Vvvyg** · 24.10.2019, 06:29

Я вам ещё ссылку дал, внимательнее.

**Dmitriy02** · 24.10.2019, 18:49

Приложил лог нужной версии.

**Vvvyg** · 24.10.2019, 20:23

Выполните в AVZ скрипт:

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('c:\users\Димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}\0b974bf5.exe', '');
 QuarantineFile('C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.exe', '');
 QuarantineFile('C:\PROGRA~2\COMMON~1\COLESO~1\Perun.exe','');
 QuarantineFileF('c:\users\димас\appdata\roaming\bvvhbvuj', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('c:\users\Димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}\0b974bf5.exe', '64');
 DeleteFile('C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.exe', '32');
 DeleteFile('C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.exe', '64');
 DeleteFileMask('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}', '*', true);
 DeleteFileMask('c:\users\димас\appdata\roaming\bvvhbvuj', '*', true);
 DeleteDirectory('c:\users\димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}');
 DeleteDirectory('c:\users\димас\appdata\roaming\bvvhbvuj');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'xrtxt', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'xrtxt', '64');
 DeleteSchedulerTask('{3A38B35A-E189-D9D8-B82A-06721FB857BF}');
 DeleteSchedulerTask('{67C1C8A0-5004-4EF6-A9E3-330C59BD1053}');
 DeleteSchedulerTask('{6ED5E1BC-CFFC-4234-A19F-7D18981B0DF9}');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора))и пофиксите только эти строки:

Код:

O4 - HKCU\..\Run: [freeu] = C:\Users\Димас\AppData\Local\FreeU\Application\freeu.exe --no-startup-window (file missing)

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

**Dmitriy02** · 25.10.2019, 07:44

Все прикрепил, карантин залил.

**Vvvyg** · 25.10.2019, 19:37

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

Start::
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-380488577-2729281609-2639886893-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-380488577-2729281609-2639886893-1000\...\Run: [tsrtx] => C:\Users\Димас\AppData\Roaming\bvvhbvuj\vhsvutvj.ex
Task: {843C187D-9D7A-4D9F-9876-E91CFC5491A1} - System32\Tasks\Opera scheduled Autoupdate 1548591853 => C:\Users\Димас\AppData\Local\Programs\Opera\launcher.exe
Task: {F3B7B0BD-1712-4FC9-BCB1-2E3A28C7DF6D} - System32\Tasks\{3A38B35A-E189-D9D8-B82A-06721FB857BF} => c:\users\Димас\appdata\roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}\0b974bf5.exe [319488 2019-10-24] (The reader is the leader) [File not signed] <==== ATTENTION
Task: {C4057129-8AA9-4080-93F1-EC2027C64875} - System32\Tasks\Perun\{39A73A92-8E1F-3CFD-20C6-4B5E9D3066DC} => C:\Program Files (x86)\Common Files\Colesoped\Perun.exe [496128 2013-05-03] () [File not signed]
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
CHR StartupUrls: Default -> "hxxp://interget.net/","hxxp://mail.ru/cnt/10445?gp=mp4","hxxp://mypoisk.su/","hxxps://www.google.com/"
CHR Profile: C:\Users\Димас\AppData\Local\Google\Chrome\User Data\System Profile [2019-07-31]
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
S1 vdmzotu5; C:\Windows\SysWOW64\Drivers\vdmzotu5.sys [13312 2019-10-22] () [File not signed]
2019-10-24 20:43 - 2019-10-24 20:43 - 000000000 ____D C:\Users\Димас\AppData\Roaming\{a6289b6a-c9b9-45c8-b82a-06721fb857bf}
2019-10-22 22:25 - 2019-10-22 22:25 - 000000022 _____ C:\Users\Димас\Desktop\quarantine.zip
2019-10-24 23:10 - 2019-01-20 16:34 - 000000000 ____D C:\Users\Димас\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения FreeU
2019-10-23 18:45 - 2019-10-24 20:43 - 000000000 ____D C:\Users\Димас\AppData\Roaming\bvvhbvuj
2019-10-23 18:30 - 2019-10-23 18:30 - 000000000 _____ C:\TKSPProtectLog.txt
C:\Program Files (x86)\Common Files\Colesoped
F:\{b68466a2-a4d7-164e-10b1-d650222fe5c4}\5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe
S3 TKCtrl; C:\Windows\system32\TKCtrl2k64.sys [147240 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKFsAvM; C:\Windows\system32\TKFsAv64.sys [198808 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKFsFtM; C:\Windows\system32\TKFsFt64.sys [28824 2018-03-07] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKPcFt; C:\Windows\system32\TKPcFtCb64.sys [54504 2018-01-30] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKRgAc; C:\Windows\system32\TKRgAc2k64.sys [115760 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKRgFt; C:\Windows\system32\TKRgFtXp64.sys [68848 2018-02-04] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
S3 TKSP; C:\Windows\system32\TKSPxp64.sys [80824 2018-01-29] (INCA Internet Co.,Ltd. -> INCA Internet Co., Ltd.) <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKFsAvM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKFsFtM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKPcFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKRgAc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\TKRgFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKFsAvM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKFsFtM => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKPcFt => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKRgAc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TKRgFt => ""="Service"
C:\Windows\system32\TKCtrl2k64.sys
C:\Windows\system32\TKFsAv64.sys
C:\Windows\system32\TKFsFt64.sys
C:\Windows\system32\TKPcFtCb64.sys
C:\Windows\system32\TKRgAc2k64.sys
C:\Windows\system32\TKRgFtXp64.sys
C:\Windows\system32\TKSPxp64.sys
Folder: C:\Windows\progress
Reboot:
End::

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Загрузите систему в безопасном режиме.
Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

**Dmitriy02** · 25.10.2019, 22:58

Сделал.

**Vvvyg** · 26.10.2019, 05:45

Что с проблемой? Вы с флэшки не заражаетесь повторно? Их все либо пролечивать нужно, либо просто отформатировать.

Сделайте лог сканирования Мalwarebytes.

**Dmitriy02** · 26.10.2019, 17:36

Флешка постоянно подключена к компьютеру. Её нужно отключить?

Флешку форматировал, проблемы нет!

**Vvvyg** · 26.10.2019, 22:45

Удалите в Мalwarebytes (направьте в карантин) всё, кроме:

Код:

HackTool.Agent, C:\USERS\DEFAULT\Desktop\Активатор Windows.lnk, Проигнорировано пользователем, [3928], [563681],1.0.13079
HackTool.Agent, C:\USERS\Димас\Desktop\Активатор Windows.lnk, Проигнорировано пользователем, [3928], [563681],1.0.13079
HackTool.Agent, C:\Активатор\WINDOWS LOADER.EXE, Проигнорировано пользователем, [3928], [563681],1.0.13079

Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

Деинсталлируйте Мalwarebytes.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

И всё на этом.

**CyberHelper** · 26.10.2019, 22:55

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 2
=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 6
=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
1. c:\progra~2\common~1\coleso~1\perun.exe - not-a-virus:UDS:A=
  dWare.Win32.DealPly ( AVAST4: Win32:DealPly-AJ [Adw] )
2. c:\users\=E4=E8=EC=E0=F1\appdata\local\pbrowserupd \pbrowseru=
  pd.exe - not-a-virus:AdWare.Win32.Webalt.hux ( AVAST4: Win32:Ma=
  lware-gen )
3. c:\users\=E4=E8=EC=E0=F1\appdata\roaming\{a6289b6a-c9b9-45c8-=
  b82a-06721fb857bf}\0b974bf5.exe - Trojan.Win32.Agentb.isqc
4. c:\users\=E4=E8=EC=E0=F1\appdata\roaming\bvvhbvuj\ vhsvutvj.e=
  xe - HEUR:Trojan.Win32.Khalesi.gen ( BitDefender: Gen:Trojan.He=
  ur.RP.kqW@ai4xO1dO, AVAST4: Win32:Malware-gen )

Самовосстанавливающийся вирус на флешке (5e101b35-36ff-4653-9ce7-9c3804fdb66e.exe) [not-a-virus:UDS:AdWare.Win32.DealPly, HEUR:Trojan.Win32.Khalesi.gen] (заявка № 223846)

Опции темы