Зараженный компьютер win32.floodfix.7

[Chapaew]

Всем приветствую! Долгое время мой компьютер терризирует вирус который после удаление или установки любых приложений (чаще всего steam, geforce exprience, discrod) выдаёт "Ошибка при запуске приложения (0xc0000005)...) Для временного решения меня выручает Dr.Web, он постоянно детектит два трояна один у которого путь C:\Program Files\Common Files\System\symsrv.dll, а второй путь с приложением которое выдаёт ошибку, после излечения всё работает до последующий установки или удаление приложений. Многие способы пробовал, но всё безуспешно. Заранее благодарю!

[Info_bot]

Уважаемый(ая) Chapaew, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteFile('C:\Windows\system32\dlcoer.dll', '');
 DeleteFile('C:\Program Files\Common Files\System\symsrv.dll', '');
 DeleteFile('C:\Windows\system32\dlcoer.dll', '32');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\Windows\system32\dlcoer.dll (file missing)
O20-32 - HKLM\..\Windows: [AppInit_DLLs] = C:\Windows\system32\dlcoer.dll (file missing)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{154D58DA-7A6A-4EDE-928B-B6FA5C3C2FBE} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{154D58DA-7A6A-4EDE-928B-B6FA5C3C2FBE} - \MicrosoftEdgeUpdateTaskMachineCore (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4D595DA6-BC59-47AE-A527-EC01FCE2E615} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4D595DA6-BC59-47AE-A527-EC01FCE2E615} - \Microsoft\Windows\Speech\SpeechModelDownloadTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7A7B60AA-BA42-409F-BC97-7BCFEFAD6308} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7A7B60AA-BA42-409F-BC97-7BCFEFAD6308} - \Microsoft\Windows\LanguageComponentsInstaller\Installation (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{80436C26-BC19-4930-9051-F06F0E0BA960} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{80436C26-BC19-4930-9051-F06F0E0BA960} - \Microsoft\Windows\Management\Provisioning\Logon (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A499FA48-7057-4AC1-9702-44C6FD924058} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A499FA48-7057-4AC1-9702-44C6FD924058} - \Microsoft\Windows\LanguageComponentsInstaller\ReconcileLanguageResources (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B97C7632-DD50-4F07-8E4E-F1450795BF78} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B97C7632-DD50-4F07-8E4E-F1450795BF78} - \Microsoft\Windows\DiskDiagnostic\Microsoft-Windows-DiskDiagnosticDataCollector (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C3944556-15CF-467E-89E2-29D4BFD3EC5A} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{C3944556-15CF-467E-89E2-29D4BFD3EC5A} - \Microsoft\Windows\Diagnosis\Scheduled (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CC5087E6-8C26-4BCE-A6C4-91777A9C868C} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CC5087E6-8C26-4BCE-A6C4-91777A9C868C} - \MicrosoftEdgeUpdateTaskMachineUA (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CD0446AF-D5F6-4616-85CE-058C20FCE9EC} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CD0446AF-D5F6-4616-85CE-058C20FCE9EC} - \Microsoft\Windows\Shell\FamilySafetyRefreshTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{DFDC1B83-7FD3-4C77-8CD1-7391D1680ACA} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{DFDC1B83-7FD3-4C77-8CD1-7391D1680ACA} - \Microsoft\Windows\Shell\FamilySafetyMonitor (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E38739C8-A84F-4F9B-8913-DCA75BC35C79} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E38739C8-A84F-4F9B-8913-DCA75BC35C79} - \Microsoft\Windows\Management\Provisioning\Cellular (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ECDB971F-8576-4F0F-8104-048093A6D324} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{ECDB971F-8576-4F0F-8104-048093A6D324} - \MicrosoftEdgeUpdateBrowserReplacementTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F472261A-A57A-465B-A695-5F2E75E37782} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F472261A-A57A-465B-A695-5F2E75E37782} - \Microsoft\Windows\ApplicationData\DsSvcCleanup (no xml)

Сделайте новый лог Autologger.

[Chapaew]

Все сделал как вы сказали. Только были отличия в HijackThis, первый две строки имели следующий адрес:
O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll
O20-32 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll

Прикреплю новый лог Autologger.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '');
 DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '32');
 DeleteFile('C:\PROGRA~1\COMMON~1\System\symsrv.dll', '64');
 DeleteFile('C:\Program Files\Common Files\System\symsrv.dll', '');
 DeleteFile('C:\Windows\system32\dlcoer.dll', '32');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пофиксите в HijackThis:

O20 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll
O20-32 - HKLM\..\Windows: [AppInit_DLLs] = C:\Program Files\Common Files\System\symsrv.dll

Отключите временно встроенный антивирус ("Защитник") - у него ложное срабатывание на компоненты используемой далее программы.
Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[Chapaew]

Сделано. После выполнения скрипта в HijackThis отсутствовали строки 020 и 020-32 о которых вы просили пофиксить.

Добавлю моих наблюдений по поводу вируса, возможно поможет:
- Файл symsrv.dll появляется не сразу после перезагрузки компьютера, в некоторых случаях он может снова создаться спустя некоторые время час, день и т.д.
- Сегодня после запуска компьютера пострадал discord.exe с аналогичной ошибкой (0xc0000005).

По загрузке файла лимит, прикрепляю ссылку google drive:
https://drive.google.com/file/d/11Wz...ew?usp=sharing

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.13 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
adddir %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM
zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\SYMSRV.DLL
addsgn 729053925465C9CB0AD4AED1DAC81207350742F69904E02F060E3A575D46E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 16 Win32/Floxif.E [ESET-NOD32] 7

chklst
delvir
apply
deltmp
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

tckb вирус сохранится, выполните скрипт в безопасном режиме, лог выполнения тоже покажите.

[Chapaew]

Его повторно запустить в безопасном режиме или изначально?

- - - - -Добавлено - - - - -

Прикрепляю лог из UVS.

- - - - -Добавлено - - - - -

Прикрепляю лог из UVS из безопасного режима.

- - - - -Добавлено - - - - -

Извиняюсь, сразу не понял что означает "tckb". Да, он сохранился, так-же Dr.Web Curelt обнаружил его в AVZ и HijackThis. (прикрепляю скриншот)
https://prnt.sc/wrx9sVkm5vic

Прикрепляю лог из безопасного режима после появления вируса.

[Vvvyg]

Сделайте проверку и лечение (лучше в безопасном режиме, с помощью KVRT. Прикрепите упакованными в архив файлы отчёта report_<дата>_*.klr.enc1 из папки C:\KVRT2020_Data.
Проверяйте все диски полностью.