Перейти к содержанию

MEM:Trojan.Win64.Generic.mem в системной памяти не удаляется


Рекомендуемые сообщения

Здравствуйте. Антивирус находит троян, но вылечить его не может. После перезагрузки, снова всплывает сообщение об этом вирусе. Подскажите, как его можно вылечить?

Заранее спасибо.

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

Нужные логи прикрепите к следующему сообщению в этой теме.

Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\programdata\windows\profile\waspwing.exe');
 TerminateProcessByName('c:\programdata\windows\profile\wasp.exe');
 TerminateProcessByName('c:\programdata\windows\profile\dllhostn.exe');
 QuarantineFile('c:\programdata\windows\profile\waspwing.exe','');
 QuarantineFile('c:\programdata\windows\profile\wasp.exe','');
 QuarantineFile('c:\programdata\windows\profile\dllhostn.exe','');
 DeleteFile('c:\programdata\windows\profile\dllhostn.exe','32');
 DeleteFile('c:\programdata\windows\profile\wasp.exe','32');
 DeleteFile('c:\programdata\windows\profile\waspwing.exe','32');
 DeleteSchedulerTask('Microsoft\Windows\UPnP\UPnP');
 DeleteSchedulerTask('Microsoft\Windows\MUI\2109393315');
 DeleteSchedulerTask('Microsoft\Windows\MUI\1276647140');
 DeleteSchedulerTask('Microsoft\Windows\Maintenance\007');
 DeleteSchedulerTask('RemoveInstaller');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

  • Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

Ссылка на сообщение
Поделиться на другие сайты

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [738]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [738]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [738]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT [40]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT2 [738]
AlternateDataStreams: C:\Users\mvideo\Application Data:NT [40]
AlternateDataStreams: C:\Users\mvideo\Application Data:NT2 [738]
AlternateDataStreams: C:\Users\mvideo\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\mvideo\AppData\Roaming:NT2 [738]
FirewallRules: [{25CF60AE-7D45-4D66-9A76-7A468CCD240D}] => (Allow) C:\Program Files (x86)\RetailRotor\bin\rerotord.exe => Нет файла
FirewallRules: [{216C4A6C-B706-4EDF-94EB-66C0451ECEE3}] => (Allow) C:\Games\12 Labours of Hercules XI Painted Adventure Collectors Edition\12LaboursOfHercules11CE.exe => Нет файла
FirewallRules: [{2854FDB5-B81B-4F0D-918B-908A7E866304}] => (Allow) C:\Games\12 Labours of Hercules X Greed for Speed\12LaboursOfHercules10.exe => Нет файла
FirewallRules: [{11CCB57E-1E00-4C07-9EE0-7561C166938E}] => (Allow) C:\Games\12 Labours of Hercules IX A Heros Moonwalk\12LaboursOfHercules9.exe => Нет файла
FirewallRules: [{B3C02704-3B35-4ADE-B624-DD320D8F6AD2}] => (Allow) C:\Games\12 подвигов Геракла. Как я встретил Мегару\12LaboursOfHercules8CE.exe => Нет файла
FirewallRules: [{0A8EF45F-CA6F-433B-81F3-4E981A6D21A7}] => (Allow) C:\Games\12 подвигов Геракла. Критский бык\12LaboursOfHercules2.exe => Нет файла
FirewallRules: [{C581ED7B-AE26-4D6D-A8CE-2395D2F5D4E7}] => (Allow) C:\Games\Lost*Artifacts*Frozen Queen\Lost Artifacts Frozen Queen.exe => Нет файла
FirewallRules: [{5E03B398-529B-46CC-B8CE-699D1A9839FB}] => (Allow) C:\Users\mvideo\AppData\Local\Mail.Ru\Atom\Application\atom.exe => Нет файла
FirewallRules: [{C6C07251-B60A-4DA3-8EA0-82C434CAFA2B}] => (Allow) C:\Games\New Yankee 9 The Evil Spellbook Collectors Edition\NewYankee9_TheEvilSpellbook_CE.exe => Нет файла
FirewallRules: [{424EFABC-D951-4A0C-85A8-8E1DB88DEED9}] => (Allow) C:\Games\Янки 8. Путешествие Одиссея. Коллекционное издание\NewYankee8_CE.exe => Нет файла
FirewallRules: [{3D033D4F-2F57-4494-89AB-EF25733DD61F}] => (Allow) C:\Games\New Yankee 8 Journey of Odysseus\NewYankee8.exe => Нет файла
FirewallRules: [{02016C55-45B4-4ECF-86F3-2F95EFA09161}] => (Allow) C:\Games\Янки 7. В погоне за волшебным оленем\NewYankee7_DeerHunters.exe => Нет файла
FirewallRules: [{79AB7510-BF41-4FF3-A275-7E8B5E011987}] => (Allow) C:\Games\Янки при дворе фараона 6\New Yankee in Pharaohs Court 6.exe => Нет файла
FirewallRules: [{20C924A1-69B4-424B-B4B5-6CB3FC5E6033}] => (Allow) C:\Games\Остров. Затерянные в океане\TheIsland.exe => Нет файла
FirewallRules: [{FBDB9DF9-050A-4910-AC19-9B553819950D}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
FirewallRules: [{41F780C1-3C91-45DC-8742-82DA29D9710F}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{CBBC33B8-EE3F-40FD-BD27-800C5D604D5E}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
FirewallRules: [{DF3E3001-2B5F-4A06-986F-1CC43B2CA54C}] => (Allow) C:\Games\Myth Or Reality Fairy Lands Collectors Edition\MythOrReality_Fairy_Lands_CE.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.


  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
Ссылка на сообщение
Поделиться на другие сайты

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Прикрепите этот файл в своем следующем сообщении.


 
Ссылка на сообщение
Поделиться на другие сайты

--------------------------- [ OtherUtilities ] ----------------------------


NVIDIA GeForce Experience 3.22.0.32 v.3.22.0.32 Внимание! Скачать обновления
------------------------------- [ Imaging ] -------------------------------
ShareX v.13.7.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9004 Внимание! Скачать обновления
Microsoft Teams v.1.4.00.22976 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Yandex (All Users) v.22.5.4.904 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
---------------------------- [ UnwantedApps ] -----------------------------
Shopping Clutter 11: Magical Garden v.1.0.0.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Web Companion v.8.9.0.371 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

Исправляйте указанное, и на этом закончим

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
×
  • Создать...