WASP.exe с полной компанией

[HeavyCub]

Здравствуйте.
НАчал улетать трафик на модеме. Поставил НетЛимитер увидел процесс, в диспетчере не отражается. На форуме нашёл совет про CureIT. Всё вычистилось, через месяц опять увидел активный процесс.

[Info_bot]

Уважаемый(ая) HeavyCub, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Sandor]

Здравствуйте!

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('C:\ProgramData\Windows\Profile\dllhostn.exe');
 TerminateProcessByName('C:\ProgramData\Windows\Profile\service.exe');
 TerminateProcessByName('c:\programdata\windows\profile\wasp.exe');
 TerminateProcessByName('c:\programdata\windows\profile\waspwing.exe');
 QuarantineFile('C:\ProgramData\windows\dlchosts.exe', '');
 QuarantineFile('C:\ProgramData\Windows\Profile\1.vbs', '');
 QuarantineFile('C:\ProgramData\Windows\Profile\dllhostn.exe', '');
 QuarantineFile('C:\ProgramData\Windows\Profile\service.exe', '');
 QuarantineFile('c:\programdata\windows\profile\wasp.exe', '');
 QuarantineFile('c:\programdata\windows\profile\waspwing.exe', '');
 QuarantineFile('C:\Windows\system32\Tasks\Microsoft\Windows\Maintenance\WinNAT', '');
 QuarantineFile('C:\Windows\system32\Tasks\Microsoft\Windows\Maintenance\WinDAP', '');
 QuarantineFile('C:\Windows\system32\Tasks\Microsoft\Windows\Maintenance\WinDAT', '');
 QuarantineFileF('c:\programdata\windows', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteSchedulerTask('Microsoft\Windows\Bluetooth\Bluetooth');
 DeleteFile('C:\ProgramData\windows\dlchosts.exe', '');
 DeleteFile('C:\ProgramData\Windows\Profile\1.vbs', '64');
 DeleteFile('C:\ProgramData\Windows\Profile\dllhostn.exe', '');
 DeleteFile('C:\ProgramData\Windows\Profile\dllhostn.exe', '64');
 DeleteFile('C:\ProgramData\Windows\Profile\service.exe', '');
 DeleteFile('C:\ProgramData\Windows\Profile\service.exe', '32');
 DeleteFile('c:\programdata\windows\profile\wasp.exe', '');
 DeleteFile('c:\programdata\windows\profile\wasp.exe', '64');
 DeleteFile('c:\programdata\windows\profile\waspwing.exe', '');
 DeleteFileMask('c:\programdata\windows', '*', true);
 DeleteDirectory('c:\programdata\windows');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Сделайте повторные логи по правилам. (CollectionLog)

[HeavyCub]

К сожалению строку с Блютулзом пришлось удалить из скрипта. Скрин сделан. Карантин присоединён

[Sandor]

Нужно выполнять по инструкции, то есть запускать эту версию:

C:\Users\HeavyCub\Desktop\AutoLogger\AV\av_z.exe

- - - - -Добавлено - - - - -

Карантин присоединён

Копию карантина отправьте мне через личные сообщения, пожалуйста.

- - - - -Добавлено - - - - -

Карантин получил, спасибо!

Дополнительно:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[HeavyCub]

Вам спасибо.

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: G - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: K - K:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {096471cd-af84-11e9-a64b-020c5d54354f} - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {09647989-af84-11e9-a64b-020c5d54354f} - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {10ab1c9e-0517-11ea-ad88-0c5b8f279a64} - I:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {17bf47ce-5c6a-11eb-a804-0c5b8f279a64} - G:\setup.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {371b34ad-f85e-11e8-9525-0c5b8f279a64} - E:\AutoRun.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {4ae7f52e-089a-11eb-a671-0c5b8f279a64} - K:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {8819a98b-1a4f-11e9-ad04-0c5b8f279a64} - H:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {8a52b1f1-fe91-11eb-a717-0c5b8f279a64} - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {ab00c35f-f869-11e8-89d3-0c5b8f279a64} - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {ab00c37a-f869-11e8-89d3-0c5b8f279a64} - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {b0dae39d-3cf7-11ea-a6be-0c5b8f279a64} - H:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {ea7fcc87-5788-11ea-87a5-0c5b8f279a64} - E:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\MountPoints2: {f36a6a01-a6ba-11e9-88f6-50e5493005db} - G:\HiSuiteDownLoader.exe
  HKU\S-1-5-21-2953750268-2083527549-570639992-1001\...\Winlogon: [Shell] C:\Windows\explorer.exe [3229696 2017-04-17] (Microsoft Windows -> Microsoft Corporation) <==== ВНИМАНИЕ
  BootExecute: autocheck autochk * sh4native 7099
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {0DFB8369-93DA-43FE-AE67-EB2AC5134362} - System32\Tasks\Microsoft\Windows\Maintenance\WinDAP => cmd /c start.bat
  Task: {2542D370-225B-4C8F-8595-BD25AA22ABB7} - System32\Tasks\Microsoft\Windows\Maintenance\WinDAT => cmd /c dlhosts.exe || dlchosts.exe
  Task: {CC286F69-D790-44FB-8BBB-2A12ECCF76E2} - System32\Tasks\Microsoft\Windows\Maintenance\WinNAT => 1.vbs
  FirewallRules: [{2AC5055E-4096-4E01-A1CB-3BFA286150A5}] => (Allow) LPort=1688
  FirewallRules: [{731E8E90-9ADC-4985-86D1-D2F61C6B6F78}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{DF641C43-0E1D-4D11-A26F-B608480F062F}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
  FirewallRules: [{4D52585D-0603-4424-BCC2-A7FA7CA7706D}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{EBFB164D-9E7E-40EE-9C4E-32B0DC74F4A7}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
  FirewallRules: [{A6070432-8B0D-4FA3-AD2A-EEE64B8396A7}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{E79CFDFB-5EE5-444A-B781-0892E0F104EB}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{16BB42A5-0AA4-4A7F-B49B-BD52237C780F}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{3B46AC7B-6A68-4F21-BDBC-C92C43ED7186}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{2BDC39E9-A996-4612-B1C6-286DBED4AD6D}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{7E5144DF-BE57-48AF-84B0-E0ADCFB0010E}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{5AC18544-388A-46C4-B2B9-6F8F4DCEBDFA}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
  FirewallRules: [{8480C4D1-45FC-4091-9DB8-BE554B924734}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
  FirewallRules: [{A9B29CF0-D633-4577-8503-CA61040C1400}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
  FirewallRules: [{4B21A213-77F7-414F-8AF0-ECC6D5163F30}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[HeavyCub]

Скопировал текст, куда вставить не нашёл: нажал просто исправить.

[Sandor]

Всё правильно сделали. Что сейчас с проблемой?

[HeavyCub]

После скрипта АВЗ папка C:\ProgramData\Windows чистая. После работы CureIt так же было. Будем мониторить откуда я эту гадость мог подцепить. Спасибо большое!

[Sandor]

Проделайте завершающие шаги:

1.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[HeavyCub]

Сделано

[Sandor]

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.18638 Внимание! Скачать обновления
^Используйте Средство устранения неполадок при проблемах установки^
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
------------------------------- [ HotFix ] --------------------------------
HotFix KB3177467 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4474419 Внимание! Скачать обновления
HotFix KB4490628 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.21.8 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.71 (64-разрядная) v.5.71.0 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.46096 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Media ] --------------------------------
iTunes v.12.9.5.7 Внимание! Скачать обновления
^Для проверки новой версии используйте приложение Apple Software Update^
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 NPAPI v.32.0.0.321 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.
Adobe Flash Player 32 PPAPI v.32.0.0.303 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.
------------------------------- [ Browser ] -------------------------------
Google Chrome v.94.0.4606.61 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^
---------------------------- [ UnwantedApps ] -----------------------------
Unity Web Player v.5.3.8f2 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
AIDA64 v1.85.1600 AIO RePack by KpoJIuK Внимание! Нелицензионное ПО, репак, утилита активации, кряк или кейген.


UAC включите обязательно и постарайтесь установить все хотфиксы. Иначе рискуете снова заразиться.

[HeavyCub]

"UAC включите обязательно и постарайтесь установить все хотфиксы." (с)
Бубен из кладовки доставать пришлось и времени убил больше 2 часов. Хром говорит что файлы вредные и не качал, IE предлагает выбрать папку куда сложить обновления и кнопка "обзор" не дает никакой реакции.
IE так и не хочет обновляться, нужен "Установщик модулей Windows", для него ещё два KB из вашего списка установлены, но не хочет ставиться, это на завтра. Спасибо за развлечение )))

[Sandor]

Хром говорит что файлы вредные

Это про какие файлы он так говорит?

[HeavyCub]

При нажатии на подробнее выкидывает по сцылке: https://support.google.com/chrome/an...834681518&rd=1

П.С.Через ТимВивер не очень удобно, завтра буду за компьютером покажу скрины IE, и Хрома, ИЕ складывает файлы на закачку в корзину оттуда нажимаешь загрузить - новое окошко с кнопкой "Обзор" тыканье в неё ничего не дает...

[HeavyCub]

(KB4565354) пришлось поставить для того чтобы windows6.1-kb4537820 (обновление IE) установилось.

[Sandor]

Странно, конечно. В итоге получилось всё обновить?

[HeavyCub]

Рано радовался... обновление kb4537820 установилось, но после перезагрузки при загрузке не заработало и Win откатил изменение (2 попытки). Видимо обновить браузер для скачивания браузера не получится. В остальном все сделал. Благодарю.

[Sandor]

Читайте Советы и рекомендации после лечения компьютера.