Перейти к содержанию

Wemaeye.A создает dll файлы через каждые 10 минут


Рекомендуемые сообщения

Wemaeye.A в папке C:\Windows\Temp создает dll файлы через каждые 10 минут. Сделал полное сканирование, и проверил KVRT, но антивирусы ничего не нашли.

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте.
Порядок оформления запроса о помощи.
Логи прикрепите к следующему сообщению в данной теме.
 

Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e81330904.sys','');
 QuarantineFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e029d0baa.sys','');
 DeleteFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e029d0baa.sys','64');
 DeleteFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e81330904.sys','64');
 DeleteSchedulerTask('Microsoft\Windows\MUI\1783993941');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

Ссылка на сообщение
Поделиться на другие сайты

Скрипт сработал. Файлы уже должны перестать создаваться.

 

Продолжаем чистку мусора.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

Ссылка на сообщение
Поделиться на другие сайты

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
HKU\S-1-5-21-710533937-1506243972-1475655119-1001\...\MountPoints2: {c871eb03-d9e6-11ec-bace-c8369d7bcc7f} - "E:\Startme.exe" 
GroupPolicy: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
ShellIconOverlayIdentifiers: [ MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  -> No File
ShellIconOverlayIdentifiers: [ MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  -> No File
ShellIconOverlayIdentifiers: [ MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  -> No File
ContextMenuHandlers1: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> No File
ContextMenuHandlers3: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> No File
ContextMenuHandlers4: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> No File
S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
Reboot:
End::


2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 

Ссылка на сообщение
Поделиться на другие сайты

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Прикрепите этот файл в своем следующем сообщении.

Ссылка на сообщение
Поделиться на другие сайты

--------------------------- [ OtherUtilities ] ----------------------------


SumatraPDF v.3.3.3 Warning! Download Update
---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v5.78.8558 v.5.78.8558 Warning! Suspected demo version of anti-spyware, driver updater or optimizer. If this program is not familiar to you it is recommended to uninstall it and execute PC scanning using Malwarebytes Anti-Malware. Possible you became a victim of fraud or social engineering. Computer experts no longer recommend this program.

Исправляйте указанное, и на этом закончим

Ссылка на сообщение
Поделиться на другие сайты
Цитата
16 часов назад, thyrex сказал:

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)



begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e81330904.sys','');
 QuarantineFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e029d0baa.sys','');
 DeleteFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e029d0baa.sys','64');
 DeleteFile('C:\Users\ZombieNZ\AppData\Local\Temp\2e81330904.sys','64');
 DeleteSchedulerTask('Microsoft\Windows\MUI\1783993941');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Большое спасибо, помогло, больше сообщений не приходит. Вместо него постоянно вылазит следущее

 

 

Снимок.PNG

Изменено пользователем Сергей 2022
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Homenok
      От Homenok
      Trojan:MSIL/Wemaeye.A создает dll файлы при работе в браузере. Dr.Web CureIt! при проверке не выявил угроз. Логи прилагаю.
      CollectionLog-2022.06.24-20.30.zip
    • Tvorojocheck
      От Tvorojocheck
      Добрый день, прошу помочь с удалением данного вируса
      CollectionLog-2022.06.24-12.22.zip
    • Феликсъ
      От Феликсъ
      Та же проблема, но скрипт не работает (имя пк изменил на своё)
       
      Сообщение от модератора thyrex Перенесено из темы  
    • ane4ka
      От ane4ka
      всем доброго дня!!!
      Помогите вылечить старушку ХР, иногда она мне нужна в использовании.
      1) касперский free не запускается
      2) KVRT не запускается ( заодно-выдается что файл не имеет циф подписи и издатель не известен)
      3) другие версии касперского тоже не устанавливаются
      4) почта в яндексе не запускается
      вирусы были, удаляла с загрузочного диска с касперским и доктор вэб, но видимо что то сидит ещё
      Автологгер скачать не получается, пишет что ОС старая,это и понятно
      прошу вашей помощи!!
      cureit(3384).log KL_syscure.zip virusinfo_files_HAMMER.zip
    • cildim56
      От cildim56
      Недавно ноутбук начал сильно греться и шуметь в диспетчере задач проц грузился под 100% причём разными процессами то хром то появлялись куча темп файлов так же сильно нагружалась оперативка после чистки утилитой доктор веб ничего не изменилось почистил KUR нашёл пару троянов но ситуация не улучшилась после чистки KRD проц грузиться перестал а оперативка с запуска загружена на 2 гига как решить проблему 
       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Помощь по персональным продуктам".
×
×
  • Создать...