Перейти к содержанию

Рекомендуемые сообщения

Добрый день, SpIDer Gate иногда начинает циклично блокировать один и тот же URL (сейчас как назло затих :) , после перезагрузки).

Изучив другие темы нашел в:

c:\Windows\debug\lsmose.exe
c:\Windows\help\lsmose.exe

 

Направляю файл протоколов, прошу помочь.

Ссылка на сообщение
Поделиться на другие сайты

 

 

Направляю файл протоколов, прошу помочь.

После выбора файла нужно нажимать кнопку "Загрузить".

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\RecoveryCreator\Scripts\Enable.cmd', '');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'start1');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.
 

Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,      

  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.

    !!!Внимание.
    Если у вас установлены архиваторы
    WinRAR
    или
    7-Zip
    , то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.

    !!! Обратите внимание
    , что утилиты необходимо запускать от имени Администратора. По умолчанию в
    Windows XP
    так и есть. В
    Windows Vista
    и
    Windows 7
    администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать
    Запуск от имени Администратора
    , при необходимости укажите пароль администратора и нажмите
    "Да"
    .



Подробнее читайте в руководстве Как подготовить лог UVS.
 

Ссылка на сообщение
Поделиться на другие сайты

 

 


- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
Где?
Ссылка на сообщение
Поделиться на другие сайты

Active IPSec Policy [Local]: SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{93c6ee76-cb38-4a7d-91c6-73b8a88b73e0}

сами настраивали?

 

Программы/расширения от Mail.ru используете?

 

  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
     
    ;uVS v4.0.11 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v400c
    BREG
    ;---------command-block---------
    delref HTTP://JS.MYKINGS.TOP:280/HELLOWORLD.MSI
    delref HTTP://JS.MYKINGS.TOP:280/V.SCT
    zoo %SystemDrive%\USERS\17D3~1\APPDATA\LOCAL\TEMP\CHROME_BITS_936_7370\4402_ALL_CRL-SET-9299344694127940517.DATA.CRX3
    delall %SystemDrive%\USERS\17D3~1\APPDATA\LOCAL\TEMP\CHROME_BITS_936_7370\4402_ALL_CRL-SET-9299344694127940517.DATA.CRX3
    delref %SystemDrive%\USERS\ДЕНИС\APPDATA\LOCAL\MAIL.RU\GAMECENTER\GAMECENTER@MAIL.RU.EXE
    del %SystemDrive%\$RECYCLE.BIN\S-1-5-21-3708553390-524387866-1773995332-1001\$IXUNYBL.EXE
    delref F:\SETUP.EXE
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.99\PSMACHINE.DLL
    delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\58.0.3029.81\INSTALLER\CHRMSTP.EXE
    delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\ADOBE\OOBE\PDAPP\CCM\UTILITIES\NPADOBEAAMDETECT64.DLL
    delref {BAD4FE2C-503B-45CC-88CD-4B0574057D11}\[CLSID]
    delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
    delref %SystemDrive%\USERS\ДЕНИС\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PCHFCKKCCLDKBCLGDEPKAONAMKIGNANH\2.21.4_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ
    delref %SystemDrive%\USERS\ДЕНИС\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GOJNMEMGACLIIFIHCAGIJAADGPEIOOOA\11.0.30_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
    delref %SystemDrive%\USERS\ДЕНИС\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PHKDCINMMLJBLPNKOHLIPAIODLONPINF\11.0.3_0\ПОИСК MAIL.RU
    delref %SystemDrive%\USERS\ДЕНИС\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK\2.18.14_0\ПУЛЬТ
    delref HTTP://WWW1.DELTA-SEARCH.COM/?BABSRC=HP_SS&MNTRID=6A0C001D7DA785D8&AFFID=123884&TT=230713_18220&TSP=4954
    delref HTTP://GO.MAIL.RU/DISTIB/EP/?PRODUCT_ID=%7B09F0D8FC-4DA5-4FEE-BE4B-11BB43D21ABA%7D&GP=811014
    delref HTTP://MAIL.RU/CNT/10445?GP=811009
    delref HTTP://MAIL.RU/CNT/10445?GP=811013
    delref %SystemDrive%\USERS\ДЕНИС\APPDATA\LOCAL\MAIL.RU\GAMECENTER\NPDETECTOR.DLL
    delref F:\!ТЕСТ СИСТЕМЫ\APP\AIDA64BUSINESS\KERNELD.X64
    delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGOJNMEMGACLIIFIHCAGIJAADGPEIOOOA%26INSTALLSOURCE%3DONDEMAND%26UC
    delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPHKDCINMMLJBLPNKOHLIPAIODLONPINF%26INSTALLSOURCE%3DONDEMAND%26UC
    delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK%26INSTALLSOURCE%3DONDEMAND%26UC
    delref {56A58823-AE99-11D5-B90B-0050DACD1F75}\[CLSID]
    delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
    delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
    apply
    
    czoo
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то
    с паролем
    virus
    .


  7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

Ссылка на сообщение
Поделиться на другие сайты
Active IPSec Policy [Local]: SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{93c6ee76-cb38-4a7d-91c6-73b8a88b73e0}

сами настраивали? Нет, даже не подозреваю что это такое.

 

Программы/расширения от Mail.ru используете? Расширения были (в т.ч. Mail.ru) в Google Chrome , поудалял все.  Из программ раньше стоял игровой центр от Mail.ru, тоже удалил. Так что можно сказать не использую, по крайней мере осознанно :) В данный момент пользуюсь только почтой Mail-овской через Google Chrome.

 

Архив направил.

Ссылка на сообщение
Поделиться на другие сайты

 

 


Нет, даже не подозреваю что это такое.
"Пофиксите" в HijackThis:
O7 - IPSec: Name: win (2017/09/01) - {93c6ee76-cb38-4a7d-91c6-73b8a88b73e0} - Source: Any IP - Destination: my IP (Port 135 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2017/09/01) - {93c6ee76-cb38-4a7d-91c6-73b8a88b73e0} - Source: Any IP - Destination: my IP (Port 137 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2017/09/01) - {93c6ee76-cb38-4a7d-91c6-73b8a88b73e0} - Source: Any IP - Destination: my IP (Port 138 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2017/09/01) - {93c6ee76-cb38-4a7d-91c6-73b8a88b73e0} - Source: Any IP - Destination: my IP (Port 139 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2017/09/01) - {93c6ee76-cb38-4a7d-91c6-73b8a88b73e0} - Source: Any IP - Destination: my IP (Port 445 TCP) (mirrored) - Action: Block

 

что с проблемой?

Ссылка на сообщение
Поделиться на другие сайты

Честно, даже не знаю как проверить "что с проблемой". По ощущениям все "летает". Dr. Web не ругается пока. Завтра понаблюдаю еще. В любом случае спасибо за труд и терпение, желаю успехов! 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • YSOFF
      От YSOFF
      Здравствуйте. Прошу помощи с удалением троянов: HEUR:Trojan.Win32.Generic (фальшивый conhost.exe), Trojan.Win32.Ukpa.a (lsmose.exe, xmrstak_cuda_backend.dll) и HEUR:RiskTool.Win32.BitMiner.gen (xmrstak_opencl_backend.dll)
      Пытался переустановить KIS18, установка прерывается ошибкой и сообщение о возможности заражения вирусами.
      Проверил систему с помощью KVRT - утилита успешно находит трояны, удаляет, но после перезапуска они появляются вновь. Не появились только три записи Mysa в планировщике. Пробовал удалять все найденные файлы из под linux - безрезультатно, появляются снова. По советам в статье https://forum.kasperskyclub.ru/index.php?showtopic=56569&page=3пробовал исполнять скрипты для AVZ:
      begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); TerminateProcessByName('C:\Windows\debug\lsmose.exe'); QuarantineFile('C:\Windows\debug\lsmose.exe',''); QuarantineFile('C:\Windows\debug\xmrstak_cuda_backend.dll',''); QuarantineFile('C:\Windows\debug\xmrstak_opencl_backend.dll',''); QuarantineFile('C:\Windows\Temp\conhost.exe',''); DeleteFile('C:\Windows\debug\lsmose.exe','32'); DeleteFile('C:\Windows\debug\xmrstak_cuda_backend.dll','32'); DeleteFile('C:\Windows\debug\xmrstak_opencl_backend.dll','32'); DeleteFile('C:\Windows\Temp\conhost.exe','32'); ExecuteSysClean; ExecuteWizard('SCU', 2, 3, true); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); RebootWindows(true); end. Архив quarantine - 
      и UVS:
      ;uVS v4.0.5 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v400c BREG ;---------command-block--------- zoo %SystemRoot%\debug\xmrstak_opencl_backend.dll delref PS&AMP;C:\Windows\xmrstak_opencl_backend.dll delall %SystemRoot%\debug\xmrstak_opencl_backend.dll zoo %SystemRoot%\debug\xmrstak_cuda_backend.dll delref PS&AMP;C:\Windows\xmrstak_cuda_backend.dll delall %SystemRoot%\debug\xmrstak_cuda_backend.dll zoo %SystemRoot%\debug\lsmose.exe delref PS&AMP;C:\Windows\debug\lsmose.exe delall %SystemRoot%\debug\lsmose.exe zoo %SystemRoot%\Temp\conhost.exe delref PS&AMP;C:\Windows\Temp\conhost.exe delall %SystemRoot%\Temp\conhost.exe apply regt 28 regt 29 czoo restart Архив ZOO - 
       
      - после перезагрузки трояны в директориях C:\Windows\debug\ и в C:\Windows\Temp\ на месте.
      Сделал "полный образ автозапуска" в UVS - http://yadi.sk/d/hsUyrVZ03ahynB
       

      Сообщение от модератора Mark D. Pearlstone Не выполняйте рекомендации., которые написаны для других пользователей этого раздела.
      Не выкладывайте карантин и ссылки на него.
    • Ildar Zakirov
      От Ildar Zakirov
      Здравствуйте, сегодня 1 февраля 2018 года обнаружил данный вирус на своем ПК, мой антивирус dr.web стал блокировать сетевое подключение программы lsmosee.exe как узнал что это вирус, сразу в карантин бросил.
      lsmosee.exe был в этой папке (C:\Windows\Help\lsmosee.exe), но я удалил через shift+delete, сейчас его там нет.
      Mysa 2(C:\Windows\System32\Tasks\Mysa2) этот есть
      Mysa 3(C:\Windows\System32\Tasks\Mysa3) этот есть
      Mysa 1(C:\Windows\System32\Tasks\Mysa1) когда произвел сканирование программой dr.web cureIt , она удалила файл.
      Прошу у Вас помощи.
      CollectionLog-2018.02.01-14.58.zip
    • SPb_Andrew
      От SPb_Andrew
      Здравствуйте! Dr.Web обнаруживает и помещает в карантин два файла: 321113[1].rar (имя со временем меняется) и lsmosee.exe. Происходит это при загрузке, а затем с разной периодичностью. Если отключить сетевой кабель, то файлы не появляются. Другой активности не заметно. Сканер Dr.Web, Kaspersky Rescue Disk и SpyHunter проблем не находят. Вероятной причиной заражения послужила программа UMMY Downloader.

      Примечание. AutoLogger запускался при отключенном интернете. После перезагрузки файл CollectionLog-2017.11.19-13.08.zip не появился, запустил еще раз AutoLogger и выбрал SHIFT + OK. При появлении красного окошка HiJackThis выбрал "Отмена".
    • Panchersp
      От Panchersp
      На компьютере под защитой KES 10 завелся вирус lsmosee.exe и сопутствующие его файлы Mysa (C:\Windows\System32\Tasks). Сам антивирус справиться не может, постоянно выдает тревогу, проводит дезинфекцию, перезагружается и все повторяется заново.  AVZ выдает только подозрение на экзешник, но не считает его угрозой.
       
       
    • Михайло Ломоносов
      От Михайло Ломоносов
      Здравствуйте , столкнулся с таким вирусом , который создаёт файлы lsmosee.exe(C:\Windows\Help\lsmosee.exe)
      Mysa 1(C:\Windows\System32\Tasks\Mysa1)
      Mysa 2(C:\Windows\System32\Tasks\Mysa2)
      Mysa 3(C:\Windows\System32\Tasks\Mysa3)
      ok(C:\Windows\System32\Tasks\ok)
      А так же был файл item.dat в папке debug(C:\Windows\debug\item.dat) , но его теперь нету.
      Пробовал удалить - ничего не получаются восстанавливаются.
      Раньше были ещё файлы lsmos.exe и lsmose.exe(Как-то избавился от них)
      Прошу помочь.

      Сообщение от модератора Soft Текст отформатирован.
×
×
  • Создать...