Что-то съедает все место на диске C

[ANTICHRIST 0]

Компьютер был заражен вирусом. Касперский на тот момент был выключен(( Потом все пролечил и вроде как стало хорошо. Но что-то терзают смутные сомнения, что на компе есть что-то инородное!

Перешел на 10 винду, проработал пару дней и обнаружил, что место вдруг заканчивается. Причем сколько не освобождай - все равно что-то сжирает место под ноль!

Думаю вирус.

И второй нюанс - в касперском почему-то svhost ломится на какой-то сайт и что-то пытается скачать... видимо последствия вируса...

Я обычный юзверь, не сисадмин. Буду рад советам и инструкциям.

[Mark D. Pearlstone 1 704]

Порядок оформления запроса о помощи

[ANTICHRIST 0]

Порядок оформления запроса о помощи

Как раз все сделал.CollectionLog-2017.11.22-00.07.zip

Изменено 21 ноября, 2017 пользователем ANTICHRIST

[Mark D. Pearlstone 1 704]

@ANTICHRIST, может и сделали, а логи не выложили.

[ANTICHRIST 0]

@ANTICHRIST, может и сделали, а логи не выложили.

Извините, что-то не прикрепляется с первого раза. Кое-как вложил логи!

[regist 617]

Программы/расширения от Mail.ru используете?
 

[ANTICHRIST 0]

Программы/расширения от Mail.ru используете?

 

Нет. Они похоже вместе с вирусом установились. Я бы от них избавился. Но не знаю как.

И еще после этого вирусника винда 10 х64, не смогла ни разу сама выключиться. Постоянно говорит при выключение, что программа LaCieService мешает, и предлагает только принудительно закрыть. Я ее не устанавливал и не имею понятия, что за программа. В процессах нет, файл такой не находит в проводнике. Помогите, пожалуйста, избавиться и от этой проблемы.

Изменено 21 ноября, 2017 пользователем ANTICHRIST

[regist 617]

 - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('%windir%\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1', '');
 QuarantineFile('C:\Users\ANTICHRIST\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\, C:\Users\ANTICHRIST\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk, ', '');
 QuarantineFile('C:\Users\ANTICHRIST\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ANTICHRIST\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk', '');
 QuarantineFile('C:\Users\ANTICHRIST\AppData\Roaming\vnlgp\vnlgp\start.cmd', '');
 QuarantineFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SMB\UninstallSMB1ClientTask', '');
 QuarantineFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SMB\UninstallSMB1ServerTask', '');
 QuarantineFile('C:\WINDOWS\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1', '');
 QuarantineFile('C:\Windows\Windows\ProgramData\svchost.exe', '');
 QuarantineFileF('C:\Windows\Windows\ProgramData', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Users\ANTICHRIST\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
 DeleteFile('C:\WINDOWS\Tasks\Updater_Online_Application.job');
 DeleteFile('C:\Windows\Windows\ProgramData\svchost.exe');
 ExecuteFile('schtasks.exe', '/delete /TN "{5DC18CEC-A5D6-48E3-AF2E-0B0465691F15}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Для повторной диагностики запустите снова AutoLogger.
 

• Скачайте AdwCleaner и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

[ANTICHRIST 0]

Пока сделал часть:

https://virusinfo.info/showthread.php?t=216394

Правда на время отключение антивируса, я в параметрах адаптера отключил подключение к интернету. От греха подальше. Это не на что не повлияет?

[regist 617]

 

 

Правда на время отключение антивируса, я в параметрах адаптера отключил подключение к интернету. От греха подальше. Это не на что не повлияет?

нет.

Ждём остальное.

[ANTICHRIST 0]

quarantine.zip -   отправил через форму.

ClearLNK - приложил.

Повторный скан и отчет avz - приложил.

adwcleaner -  приложил. (тут я не спец, но кажется полно всякой нечести на компе, в т.ч. и эта прога la cie service) Почему КИС их не видит?

ClearLNK-23.11.2017_00-18.log

AdwCleanerS0.txt

CollectionLog-2017.11.23-00.23.zip

[regist 617]

 

 

quarantine.zip - отправил через форму.

не нашёл его, просьба закачайте архив на любой файлообменник, не требующий ввода капчи (например:  Zippyshare, My-Files.RU, File.Karelia) ссылку на скачивание пришлите мне в ЛС.

 

+

• Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
• В меню Tools ->Options (Инструменты ->Настройки) отметьте:
  
  • Сброс политик IE
  • Сброс политик Chrome
    

  [*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления. [*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt. [*]Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

+ Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ClearQuarantine;
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Accessories\Sticky Notes.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Media Center.lnk', '');
CreateQurantineArchive(GetAVZDirectory + 'Shortcut.zip');
end.

Файл Shortcut.zip из папки с распакованной утилитой AVZ также загрузите на обменник и ссылку мне в ЛС.

[ANTICHRIST 0]

Несколько раз запускал AdwCleaner

 

AdwCleanerC0.txt

AdwCleanerC1.txt

AdwCleanerS1.txt

AdwCleanerS2.txt

[regist 617]

В карантин не попал, посмотрите такой файл есть?

C:\WINDOWS\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1

+ Shortcut.zip также жду.
 
+

• Скачайте Universal Virus Sniffer (uVS)
• Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
• Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
  

  !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

• Дождитесь окончания работы программы и прикрепите лог к посту в теме.
  

  !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Изменено 23 ноября, 2017 пользователем regist

[ANTICHRIST 0]

Shortcut.zip - отправил

 

C:\WINDOWS\system32\WindowsPowerShell\v1.0\Modules\SmbShare\DisableUnusedSmb1.ps1

 

Да, файл существует в этом месте.

 Отчет uVS прилагаю.

Место на диске все равно заканчивается. Уже не знаю что и удалять для нормальной работы. Ни скачать ни запустить толком не могу уже почти...

В чем проблема, как вы думаете? Дайте немного инфы, что за зверь у меня живет?

ANTICHRIST-ПК_2017-11-23_23-07-34.7z