MEM:Trojan.Win64.Generic.mem в системной памяти не удаляется

[irina_white 0]

Здравствуйте. Антивирус находит троян, но вылечить его не может. После перезагрузки, снова всплывает сообщение об этом вирусе. Подскажите, как его можно вылечить?

Заранее спасибо.

[irina_white 0]

2.txt

[Sandor 1032]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

Нужные логи прикрепите к следующему сообщению в этой теме.

[irina_white 0]

CollectionLog-2022.07.08-16.03.zip

[thyrex 1320]

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\programdata\windows\profile\waspwing.exe');
 TerminateProcessByName('c:\programdata\windows\profile\wasp.exe');
 TerminateProcessByName('c:\programdata\windows\profile\dllhostn.exe');
 QuarantineFile('c:\programdata\windows\profile\waspwing.exe','');
 QuarantineFile('c:\programdata\windows\profile\wasp.exe','');
 QuarantineFile('c:\programdata\windows\profile\dllhostn.exe','');
 DeleteFile('c:\programdata\windows\profile\dllhostn.exe','32');
 DeleteFile('c:\programdata\windows\profile\wasp.exe','32');
 DeleteFile('c:\programdata\windows\profile\waspwing.exe','32');
 DeleteSchedulerTask('Microsoft\Windows\UPnP\UPnP');
 DeleteSchedulerTask('Microsoft\Windows\MUI\2109393315');
 DeleteSchedulerTask('Microsoft\Windows\MUI\1276647140');
 DeleteSchedulerTask('Microsoft\Windows\Maintenance\007');
 DeleteSchedulerTask('RemoveInstaller');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[irina_white 0]

Отправила через форму, 2022.07.08_quarantine_64ec5258a1c706552b7cb33247747ba1.7z

 

CollectionLog-2022.07.08-20.42.zip

[thyrex 1320]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[irina_white 0]

Report.rar

[thyrex 1320]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [738]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [738]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [738]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT [40]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT2 [738]
AlternateDataStreams: C:\Users\mvideo\Application Data:NT [40]
AlternateDataStreams: C:\Users\mvideo\Application Data:NT2 [738]
AlternateDataStreams: C:\Users\mvideo\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\mvideo\AppData\Roaming:NT2 [738]
FirewallRules: [{25CF60AE-7D45-4D66-9A76-7A468CCD240D}] => (Allow) C:\Program Files (x86)\RetailRotor\bin\rerotord.exe => Нет файла
FirewallRules: [{216C4A6C-B706-4EDF-94EB-66C0451ECEE3}] => (Allow) C:\Games\12 Labours of Hercules XI Painted Adventure Collectors Edition\12LaboursOfHercules11CE.exe => Нет файла
FirewallRules: [{2854FDB5-B81B-4F0D-918B-908A7E866304}] => (Allow) C:\Games\12 Labours of Hercules X Greed for Speed\12LaboursOfHercules10.exe => Нет файла
FirewallRules: [{11CCB57E-1E00-4C07-9EE0-7561C166938E}] => (Allow) C:\Games\12 Labours of Hercules IX A Heros Moonwalk\12LaboursOfHercules9.exe => Нет файла
FirewallRules: [{B3C02704-3B35-4ADE-B624-DD320D8F6AD2}] => (Allow) C:\Games\12 подвигов Геракла. Как я встретил Мегару\12LaboursOfHercules8CE.exe => Нет файла
FirewallRules: [{0A8EF45F-CA6F-433B-81F3-4E981A6D21A7}] => (Allow) C:\Games\12 подвигов Геракла. Критский бык\12LaboursOfHercules2.exe => Нет файла
FirewallRules: [{C581ED7B-AE26-4D6D-A8CE-2395D2F5D4E7}] => (Allow) C:\Games\Lost*Artifacts*Frozen Queen\Lost Artifacts Frozen Queen.exe => Нет файла
FirewallRules: [{5E03B398-529B-46CC-B8CE-699D1A9839FB}] => (Allow) C:\Users\mvideo\AppData\Local\Mail.Ru\Atom\Application\atom.exe => Нет файла
FirewallRules: [{C6C07251-B60A-4DA3-8EA0-82C434CAFA2B}] => (Allow) C:\Games\New Yankee 9 The Evil Spellbook Collectors Edition\NewYankee9_TheEvilSpellbook_CE.exe => Нет файла
FirewallRules: [{424EFABC-D951-4A0C-85A8-8E1DB88DEED9}] => (Allow) C:\Games\Янки 8. Путешествие Одиссея. Коллекционное издание\NewYankee8_CE.exe => Нет файла
FirewallRules: [{3D033D4F-2F57-4494-89AB-EF25733DD61F}] => (Allow) C:\Games\New Yankee 8 Journey of Odysseus\NewYankee8.exe => Нет файла
FirewallRules: [{02016C55-45B4-4ECF-86F3-2F95EFA09161}] => (Allow) C:\Games\Янки 7. В погоне за волшебным оленем\NewYankee7_DeerHunters.exe => Нет файла
FirewallRules: [{79AB7510-BF41-4FF3-A275-7E8B5E011987}] => (Allow) C:\Games\Янки при дворе фараона 6\New Yankee in Pharaohs Court 6.exe => Нет файла
FirewallRules: [{20C924A1-69B4-424B-B4B5-6CB3FC5E6033}] => (Allow) C:\Games\Остров. Затерянные в океане\TheIsland.exe => Нет файла
FirewallRules: [{FBDB9DF9-050A-4910-AC19-9B553819950D}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
FirewallRules: [{41F780C1-3C91-45DC-8742-82DA29D9710F}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{CBBC33B8-EE3F-40FD-BD27-800C5D604D5E}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
FirewallRules: [{DF3E3001-2B5F-4A06-986F-1CC43B2CA54C}] => (Allow) C:\Games\Myth Or Reality Fairy Lands Collectors Edition\MythOrReality_Fairy_Lands_CE.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[irina_white 0]

Fixlog.txt

[thyrex 1320]

Проблема решена?

[irina_white 0]

Да, проверила антивирусом, угроз не обнаружено. Спасибо большое!!!

[thyrex 1320]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[irina_white 0]

SecurityCheck.txt

[thyrex 1320]

--------------------------- [ OtherUtilities ] ----------------------------

NVIDIA GeForce Experience 3.22.0.32 v.3.22.0.32 Внимание! Скачать обновления
------------------------------- [ Imaging ] -------------------------------
ShareX v.13.7.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9004 Внимание! Скачать обновления
Microsoft Teams v.1.4.00.22976 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Yandex (All Users) v.22.5.4.904 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
---------------------------- [ UnwantedApps ] -----------------------------
Shopping Clutter 11: Magical Garden v.1.0.0.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Web Companion v.8.9.0.371 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

Исправляйте указанное, и на этом закончим