Конфликт LM-server и rutserv.exe [not-a-virus:RemoteAdmin.Win32.RDPWrap.h, Backdoor.Win32.RMS.pn]

[Yrzorg]

Добрый день
Несколько дней назад на одном из компов в локалке начался конфликт litemanager-server и некоего rutserv.exe. Похоже, что комп чем-то заражён:
1) AVZ запустился только в безопасном режиме (в обычном работает пару секунд и закрывается)
2) сайт virusinfo не открывается

[Info_bot]

Уважаемый(ая) Yrzorg, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Program Files\rdp wrapper\rdpwrap.dll', '');
 QuarantineFile('C:\ProgramData\RealtekHD\taskhostw.exe', '');
 QuarantineFile('C:\ProgramData\Windows\rutserv.exe', '');
 QuarantineFile('C:\Windows\java.exe', '');
 QuarantineFile('C:\Windows\svchost.exe', '');
 QuarantineFileF('c:\programdata\realtekhd', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
 QuarantineFileF('C:\ProgramData\Windows', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
 DeleteFile('C:\Program Files\rdp wrapper\rdpwrap.dll', '');
 DeleteFile('C:\ProgramData\RealtekHD\taskhostw.exe', '');
 DeleteFile('C:\ProgramData\RealtekHD\taskhostw.exe', '32');
 DeleteFile('C:\ProgramData\Windows\rutserv.exe', '');
 DeleteFile('C:\Windows\java.exe', '32');
 DeleteFile('C:\Windows\svchost.exe', '');
 DeleteService('RManService');
 DeleteFileMask('c:\program files\rdp wrapper', '*', true);
 DeleteFileMask('c:\programdata\realtekhd', '*', true);
 DeleteFileMask('C:\ProgramData\Windows', '*', true);
 DeleteDirectory('c:\program files\rdp wrapper');
 DeleteDirectory('c:\programdata\realtekhd');
 DeleteDirectory('C:\ProgramData\Windows');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Realtek HD Audio');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке Прислать запрошенный карантин над над первым сообщением в теме.

Запустите HijackThis, расположенный в папке Autologger (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора))и пофиксите только эти строки:

O7 - Taskbar policy: HKU\.DEFAULT\..\Policies\Explorer: [DisallowRun] = 1

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Yrzorg]

Карантин загрузил
lm-server больше не конфликтует и нормально работает

[Vvvyg]

У Вас там ещё семейство майнеров и троянов гнездилось, сейчас дочистим.

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
CloseProcesses:
S3 TermService; %ProgramFiles%\RDP Wrapper\rdpwrap.dll [X] <==== ATTENTION (no ServiceDLL)
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Windows\McMwt
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\Norton
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\grizzly
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\ESET
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\Driver Foundation Visions VHG
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\Doctor Web
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\Avg
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\AVAST Software
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\360TotalSecurity
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\ProgramData\360safe
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\SpyHunter
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\Malwarebytes
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\ESET
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\Enigma Software Group
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\COMODO
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\Cezurity
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\ByteFence
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\AVG
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files\AVAST Software
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\AVG
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\Program Files (x86)\360
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\KVRT_Data
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 __SHD C:\AdwCleaner
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 ____D C:\ProgramData\Avira
2020-06-08 15:00 - 2020-06-08 15:00 - 000000000 ____D C:\Program Files\360
2020-06-08 14:59 - 2020-06-17 17:03 - 000000000 __SHD C:\ProgramData\RunDLL
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 __SHD C:\Windows\NetworkDistribution
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 __SHD C:\rdp
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 __SHD C:\ProgramData\WindowsTask
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 __SHD C:\ProgramData\install
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 __SHD C:\Program Files (x86)\Zaxar
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\Windows\SysWOW64\Drivers\conhost.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\Windows\svchost.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\Windows\boy.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\ProgramData\script.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\ProgramData\olly.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\ProgramData\lsass2.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\ProgramData\lsass.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ___SH C:\ProgramData\kz.exe
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ____D C:\Windows\speechstracing
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ____D C:\ProgramData\System32
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ____D C:\ProgramData\MB3Install
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ____D C:\ProgramData\Malwarebytes
2020-06-08 14:59 - 2020-06-08 14:59 - 000000000 ____D C:\ProgramData\Indus
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> No File
FirewallRules: [{3E47C6E9-2B0B-453C-AFDE-94709BC7E733}] => (Allow) LPort=3389
FirewallRules: [{78A79F04-2CD0-405C-9913-D4E7A01F13A8}] => (Block) LPort=445
FirewallRules: [{A8838798-2AA7-460A-B830-98FCFACA1DF6}] => (Block) LPort=445
FirewallRules: [{029215E3-BA2D-4152-B608-9DD4FA313333}] => (Block) LPort=139
FirewallRules: [{D5BAFDAE-4C40-47B6-A71D-43C8CEC04BC3}] => (Block) LPort=139
FirewallRules: [{0A99001A-C529-4446-84E9-9DCEA25A5372}] => (Allow) C:\ProgramData\WindowsTask\MicrosoftHost.exe (Microsoft Corporation) [File not signed]
FirewallRules: [{CFAF6F35-EF6E-4AB7-9DA2-ED05A2B2B5EF}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => No File
FirewallRules: [{903E919C-98E6-4ADC-90FB-46AC43F7EC7C}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => No File
FirewallRules: [{819A4E8C-CD78-4C8B-B399-463F76CE5472}] => (Allow) C:\ProgramData\WindowsTask\MicrosoftHost.exe (Microsoft Corporation) [File not signed]
FirewallRules: [{71495BE6-5A2E-42C2-8128-4522886AD7FE}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => No File
FirewallRules: [{1DB34172-3042-47D1-BD0D-0A2804B81D29}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => No File
FirewallRules: [{0E186912-41DC-4B36-ADAB-9FD4BE63E830}] => (Allow) C:\ProgramData\RealtekHD\taskhostw.exe => No File
FirewallRules: [{7802F1E6-E402-46E9-8387-C4D97E6A7528}] => (Allow) C:\ProgramData\windows\rutserv.exe => No File
FirewallRules: [{72787F66-7DEF-4F8B-B928-D2052D230C4F}] => (Allow) C:\ProgramData\rundll\system.exe
FirewallRules: [{5D117766-CA1E-4A5C-8BE8-4EABADCA96D4}] => (Allow) C:\ProgramData\rundll\rundll.exe
FirewallRules: [{9D7BF76C-B840-44AB-87B8-9D3107CD9E27}] => (Allow) C:\ProgramData\rundll\Doublepulsar-1.3.1.exe
FirewallRules: [{39705C71-9204-4394-83E9-EE262891BB46}] => (Allow) LPort=3389
FirewallRules: [{8C642B87-FABC-4CFD-BC93-209DCABF0C00}] => (Allow) C:\ProgramData\rundll\Eternalblue-2.2.0.exe
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[Yrzorg]

готово

[Vvvyg]

Adobe Flash Player 32 PPAPI v.32.0.0.371 Внимание! Скачать обновления

Обновите.

Windows Defender (включен и устарел)

Антивирус, видимо, всё же нужен.

Контроль учётных записей пользователя отключен

Рекомендую ознакомиться со статьёй Так ли страшен контроль учетных записей (UAC)? и включить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

И всё на этом.

[CyberHelper]

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

• =CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 1
• =CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 3
• =C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
  =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
  
  1. c:\program files\rdp wrapper\rdpwrap.dll - not-a-virus:Remot=
     eAdmin.Win32.RDPWrap.h
  2. c:\programdata\realtekhd\taskhostw.exe - Trojan.Win32.Autoit=
     =2Eacbae ( AVAST4: Win64:Malware-gen )
  3. c:\programdata\windows\rutserv.exe - [B]Backdoor.Win32.RMS.pn[/=
     B] ( BitDefender: Trojan.GenericKD.3007448 )