mail.ru, полный комплект

[Vladimir_K 0]

Здравствуйте! Такая проблема. Скачал программку Movavi video editor (12 или 13 марта, точно не помню), установил, и вместе с ней установился zaxar loader, mail.ru и весь этот комплект. Появилась реклама в браузере (Chrome), AdBlock её не блокирует, плюс произвольный переход на вредоносные страницы. Установил Kaspersky kfa17.0.0.611ru_10777 (пробную версию с оф. сайта, до этого антивируса стороннего не стояло, только Защитник Windows, который благополучно всё это дело пропустил), проверил, нашлось порядка 30 инфицированных файлов, они были удалены. Руками чистился реестр, работали DrWeb CureIT! и Adwcleaner_6.044 (последней версии, с оф. сайта). Но симптомы всё те же. Больше ничего придумать не могу, потому прошу помощи.

CollectionLog-2017.03.23-17.22.zip

[thyrex 1 468]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\vladi\AppData\Roaming\aswast\app.py','');
 QuarantineFile('C:\Users\vladi\AppData\Roaming\aswast\python\pythonw.exe','');
 QuarantineFile('C:\Users\vladi\AppData\Roaming\aswast\ml.py','');
 DeleteFile('C:\Users\vladi\AppData\Roaming\aswast\ml.py','32');
 DeleteFile('C:\Users\vladi\AppData\Roaming\aswast\python\pythonw.exe','32');
 DeleteFile('C:\Users\vladi\AppData\Roaming\aswast\app.py','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\aswast2','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\aswast','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[Vladimir_K 0]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\vladi\AppData\Roaming\aswast\app.py','');
 QuarantineFile('C:\Users\vladi\AppData\Roaming\aswast\python\pythonw.exe','');
 QuarantineFile('C:\Users\vladi\AppData\Roaming\aswast\ml.py','');
 DeleteFile('C:\Users\vladi\AppData\Roaming\aswast\ml.py','32');
 DeleteFile('C:\Users\vladi\AppData\Roaming\aswast\python\pythonw.exe','32');
 DeleteFile('C:\Users\vladi\AppData\Roaming\aswast\app.py','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\aswast2','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\aswast','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

 

Всё ждал результатов исследования, так и не дождался, видимо, нужно было сразу сообщить автоматический ответ. Проблема никоим образом не решилась. Прилагаю ответ с newvirus@kaspersky.com (KLAN-6002914202), новые логи Autologger и скрин того, что видит антивирус, на всякий пожарный, 

CollectionLog-2017.03.28-12.09.zip

[thyrex 1 468]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Vladimir_K 0]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

 

Сделано.

FRST64.rar

[thyrex 1 468]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK => not found
FF Plugin: @mcafee.com/MSC,version=10 -> C:\Program Files\mcafee\msc\npMcSnFFPl64.dll [No File]
2017-03-12 19:07 - 2017-03-12 19:07 - 00000000 ____D C:\Users\vladi\AppData\Local\VideoEditor
Task: {00CCDB51-DAFF-47A8-AE6C-14ED72687379} - \aswast -> No File <==== ATTENTION
Task: {30CF3468-0129-4EEE-953B-2BA24819087C} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {3B0209AE-E788-4B47-ADCC-C7D7560D8193} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {696AEAE7-9907-4F0F-9F60-11B260E46DF1} - \syslog -> No File <==== ATTENTION
Task: {69B43984-8CEB-4E98-9D10-102E78CB51F6} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {705D0EC3-95A2-4B7B-9A83-C40F3F9B2AD8} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {8F3D7A10-E809-4FED-8EA4-B85AE72FF4B7} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {A5793937-CBF7-455C-8873-98C822EE07E0} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {B1EB82DD-07C8-4D65-A8E3-9F9BE696E4A5} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {CA38CE61-A825-422F-A936-1B5CD458532D} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION 
Task: {CFF764FF-364E-4322-B6CB-7BB9E75FCAFA} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {D3A4568E-0D98-487E-B2CB-0297A3FDAB1D} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {D570EDC3-BFC4-421D-A932-7A34DD1ADC3E} - \aswast2 -> No File <==== ATTENTION
Task: {F4BB454D-7FB3-4B46-B49D-15F51629BA0B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {FDB06EE0-9E60-4632-A32E-7AE69BFB6AAC} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[Vladimir_K 0]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK => not found
FF Plugin: @mcafee.com/MSC,version=10 -> C:\Program Files\mcafee\msc\npMcSnFFPl64.dll [No File]
2017-03-12 19:07 - 2017-03-12 19:07 - 00000000 ____D C:\Users\vladi\AppData\Local\VideoEditor
Task: {00CCDB51-DAFF-47A8-AE6C-14ED72687379} - \aswast -> No File <==== ATTENTION
Task: {30CF3468-0129-4EEE-953B-2BA24819087C} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {3B0209AE-E788-4B47-ADCC-C7D7560D8193} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {696AEAE7-9907-4F0F-9F60-11B260E46DF1} - \syslog -> No File <==== ATTENTION
Task: {69B43984-8CEB-4E98-9D10-102E78CB51F6} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {705D0EC3-95A2-4B7B-9A83-C40F3F9B2AD8} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {8F3D7A10-E809-4FED-8EA4-B85AE72FF4B7} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {A5793937-CBF7-455C-8873-98C822EE07E0} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {B1EB82DD-07C8-4D65-A8E3-9F9BE696E4A5} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {CA38CE61-A825-422F-A936-1B5CD458532D} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION 
Task: {CFF764FF-364E-4322-B6CB-7BB9E75FCAFA} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {D3A4568E-0D98-487E-B2CB-0297A3FDAB1D} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {D570EDC3-BFC4-421D-A932-7A34DD1ADC3E} - \aswast2 -> No File <==== ATTENTION
Task: {F4BB454D-7FB3-4B46-B49D-15F51629BA0B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {FDB06EE0-9E60-4632-A32E-7AE69BFB6AAC} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

 

Выполнил.

Fixlog.txt

[thyrex 1 468]

Что с проблемой?

[Vladimir_K 0]

Что с проблемой?

Никакие окна не вылазят, Kaspersky ничего не блочит, вроде всё хорошо, только на YouTube белые поля появились, там, где была навязчивая реклама от вируса. Причём во время прогрузки сайта на мгновение появляются такие окошечки, как на последнем скрине. В AdBlock галка "показывать некоторую ненавязчивую рекламу" неактивна (скрин 3).

[thyrex 1 468]

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему

[Vladimir_K 0]

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему

Отключил всё, включал по одному. Проблема была в расширении "Google Презентации", переустановка её устранила. Спасибо Вам большое!

[thyrex 1 468]

• Загрузите SecurityCheck by glax24 и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Скопируйте содержимое файла в свое следующее сообщение.

[Vladimir_K 0]

 

• Загрузите SecurityCheck by glax24 и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Скопируйте содержимое файла в свое следующее сообщение.

 

SecurityCheck by glax24 & Severnyj v.1.4.0.47 [25.03.17]

WebSite: www.safezone.cc

DateLog: 31.03.2017 00:49:38

Path starting: C:\Users\vladi\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe

Log directory: C:\SecurityCheck\

IsAdmin: True

User: vladi

VersionXML: 4.05is-25.03.2017

___________________________________________________________________________

 

Windows 10(6.3.14393) (x64) Core Lang: Russian(0419)

Дата установки ОС: 25.09.2016 07:08:17

Статус лицензии: Windows®, Core edition Постоянная активация прошла успешно.

Статус лицензии: Office 15, OfficeProPlusVL_KMS_Client edition Срок окончания начального льготного периода: 32802 мин.

Режим загрузки: Normal

Браузер по умолчанию: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe

Системный диск: C: ФС: [NTFS] Емкость: [94.3 Гб] Занято: [91.1 Гб] Свободно: [3.2 Гб]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.953.14393.0

Контроль учётных записей пользователя включен

Запрос на повышение прав для администраторов отключен

^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

Загружать автоматически обновления и устанавливать по заданному расписанию

Центр обновления Windows (wuauserv) - Служба работает

Центр обеспечения безопасности (wscsvc) - Служба работает

Удаленный реестр (RemoteRegistry) - Служба остановлена

Обнаружение SSDP (SSDPSRV) - Служба работает

Службы удаленных рабочих столов (TermService) - Служба остановлена

Служба веб-публикаций (W3SVC) - Служба работает

Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена

Восстановление системы отключено

------------------------------ [ MS Office ] ------------------------------

Microsoft Office 2013 x86 v.15.0.4569.1506

---------------------------- [ Antivirus_WMI ] ----------------------------

Kaspersky Free (включен и обновлен)

Windows Defender (выключен и обновлен)

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

--------------------------- [ AntiSpyware_WMI ] ---------------------------

Kaspersky Free (включен и обновлен)

Windows Defender (выключен и обновлен)

---------------------- [ AntiVirusFirewallInstall ] -----------------------

Kaspersky Secure Connection v.17.0.0.611

Kaspersky Free v.17.0.0.611

Norton Online Backup v.2.1.17869

--------------------------- [ OtherUtilities ] ----------------------------

WinRAR 4.20 (64-разрядная) v.4.20.0 Внимание! Скачать обновления

Microsoft Silverlight v.5.1.50905.0

Picasa 3 v.3.9.141.259 Данная программа больше не поддерживается разработчиком.

TeamViewer 11 v.11.0.66695 Внимание! Скачать обновления

OpenOffice 4.1.3 v.4.13.9783

OpenOffice 4.1.3 Language Pack (Russian) v.4.13.9783

TeamViewer 11 (TeamViewer) - Служба работает

--------------------------------- [ IM ] ----------------------------------

Skype™ 7.31 v.7.31.104 Внимание! Скачать обновления

^Необязательное обновление.^

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.4.5.41372 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

--------------------------- [ AdobeProduction ] ---------------------------

Adobe AIR v.2.6.0.19120 Внимание! Скачать обновления

Adobe Acrobat Reader DC - Russian v.15.023.20070

------------------------------- [ Browser ] -------------------------------

Google Chrome v.57.0.2987.133 [+]

----------------------------- [ EmailClient ] -----------------------------

Windows Live Mail v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

Почта Windows Live v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

--------------------------- [ RunningProcess ] ----------------------------

C:\Program Files (x86)\Google\Chrome\Application\chrome.exe v.57.0.2987.133

------------------ [ AntivirusFirewallProcessServices ] -------------------

Kaspersky Anti-Virus Service 17.0.0 (AVP17.0.0) - Служба работает

C:\Program Files (x86)\Kaspersky Lab\Kaspersky Free 17.0.0\avp.exe v.17.0.0.611

klvssbrigde64 (klvssbrigde64) - Служба остановлена

C:\Program Files (x86)\Kaspersky Lab\Kaspersky Free 17.0.0\avpui.exe v.17.0.0.643

C:\Program Files (x86)\Kaspersky Lab\Kaspersky Secure Connection 1.0\ksde.exe v.17.0.0.611

C:\Program Files (x86)\Kaspersky Lab\Kaspersky Secure Connection 1.0\ksdeui.exe v.17.0.0.643

Служба Защитника Windows (WinDefend) - Служба остановлена

Служба проверки сети Защитника Windows (WdNisSvc) - Служба остановлена

---------------------------- [ UnwantedApps ] -----------------------------

MyWinLocker v.4.0.14.27 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

MyWinLocker Suite v.4.0.14.19 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

FATE v.2.2.0.97 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Update Installer for WildTangent Games App << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

MyWinLocker 4 v.4.0.14.27 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

WildTangent Games App (Acer Games) v.4.0.5.32 << Скрыта Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

C:\Program Files\Acer\Acer Updater\UpdaterService.exe v.1.2.3502.0

----------------------------- [ End of Log ] ------------------------------

[Sandor 1 253]

Исправляйте указанные уязвимости. Прочтите и выполните Рекомендации после удаления вредоносного ПО

[Vladimir_K 0]

Исправляйте указанные уязвимости. Прочтите и выполните Рекомендации после удаления вредоносного ПО

Понял, спасибо!