NET:MALWARE.URL Поймал вирус

[Максим Пешков]

Поймал вирус. NET:MALWARE.URL. Начал нагружать проводник, несильно - 20-25%, но заметно. Dr.Web CureIt нашел, но при попытке вылечить пометил как Неизвестная ошибка. Не знаю, что делать, буду благодарен за помощь.

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Максим Пешков]

Все, сделал. CollectionLog-2024.06.12-00.09.zip

[Sandor]

Здравствуйте!

 

Видны несколько видов заражения. Наберитесь терпения, лечение может занять некоторое время и будет состоять из нескольких этапов.

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

[Максим Пешков]

 

AV_block_remove_2024.06.12-15.02.log CollectionLog-2024.06.12-15.09.zip

Изменено 12 июня, 2024 пользователем Максим Пешков

[Sandor]

Хорошо. Деинсталлируйте нежелательное ПО:

Adobe Flash Player 32 PPAPI
MediaGet

 

Далее:

Файл Check_Browser_Lnk.log
 из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 

Следующий шаг:

"Пофиксите" в HijackThis только следующее:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = <-loopback>
O4 - HKCU\..\StartupApproved\Run: [Константин] = C:\WINDOWS\system32\cmd.exe /c start vvv.dinoklafbzor.org (2022/05/16) (sign: 'Microsoft')
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O22 - Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\Windows\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_465_pepper.exe -check pepperplugin (sign: 'Adobe Inc.')
O22 - Tasks_Migrated: Adobe Flash Player Updater - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (sign: 'Adobe Inc.')
O22 - Tasks_Migrated: BlueStacksHelper - C:\ProgramData\BlueStacks\Client\Helper\BlueStacksHelper.exe -sr (file missing)
O22 - Tasks_Migrated: DownloadStudio Standalone Updater - C:\Program Files (x86)\Download Studio\dstudio-gui.exe --self-update (file missing)
O22 - Tasks_Migrated: VKDJ - C:\ProgramData\VkontakteDJ\VKontakteDJ.exe /H (file missing)
O27 - Account: (Hidden) User 'John' is invisible on logon screen

 

Перезагрузите компьютер вручную.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

[Максим Пешков]

ClearLNK-2024.06.12_19.57.36.log

Данную строчку не нашло:

Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\Windows\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_465_pepper.exe -check pepperplugin (sign: 'Adobe Inc.')
Tasks_Migrated: Adobe Flash Player Updater - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (sign: 'Adobe Inc.')

FRST.txt Addition.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  Task: {90B95C3E-FA59-4579-8687-4B4D385F3DD4} - System32\Tasks\GoogleUpdateTaskMachineQC => %ProgramFiles%\Google\Chrome\updater.exe  (Нет файла) <==== ВНИМАНИЕ
  CHR HKU\S-1-5-21-807482655-1958575161-1399845272-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gndelhfhcfbdhndfpcinebijfcjpmpec]
  AlternateDataStreams: C:\ProgramData\agent.1718123256.bdinstall.v2.bin:DF6E9C0AD2 [3442]
  AlternateDataStreams: C:\ProgramData\agent.uninstall.1718127894.bdinstall.v2.bin:6A2B90A661 [3442]
  AlternateDataStreams: C:\ProgramData\agent.update.1718123838.bdinstall.v2.bin:E89AB73EE6 [3442]
  AlternateDataStreams: C:\ProgramData\cl.1718123071.bdinstall.v2.bin:5AC2C1785A [3442]
  AlternateDataStreams: C:\ProgramData\cl.kit.1718123070.bdinstall.v2.bin:BEEFE13DF8 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer1.log:F107EE40EF [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer1.log_backup1:2DD1EC5C91 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer10.log:CCC93B07B0 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer10.log_backup1:AD433BF298 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer11.log:72C8986B20 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer11.log_backup1:97A90964FA [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer12.log:C40F6B9209 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer12.log_backup1:7CC29836A6 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer13.log:AE3C879266 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer13.log_backup1:AF8AA3CDC1 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer14.log:DE1448F4D7 [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer14.log_backup1:D61270D3FD [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer15.log:16B67B15CB [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer15.log_backup1:1F4CC1D50C [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer16.log:2B192A174C [3442]
  AlternateDataStreams: C:\ProgramData\DisplaySessionContainer16.log_backup1:E86CB8880A [3442]
  AlternateDataStreams: C:\ProgramData\TEMP:9A870F8B [268]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Adobe Photoshop CS6.lnk:904EEFCC49 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\WinRAR.lnk:3B2C49E569 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\1C Предприятие.lnk:8DDF6BE7CA [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Acrobat.lnk:1FA7E99ECA [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Audacity.lnk:09A0A90EF3 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Blend for Visual Studio 2022.lnk:D689419597 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Edge.lnk:E77773B271 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PC Health Check.lnk:F20EF51E1F [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TeamSpeak 3 Client.lnk:F208FC6732 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Visual Studio 2022.lnk:F94DB65675 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Visual Studio Installer.lnk:C2E9D79AC5 [3442]
  AlternateDataStreams: C:\Users\User\Application Data:48e63d4de0a63256000858a7c61c87df [394]
  AlternateDataStreams: C:\Users\User\AppData\Roaming:48e63d4de0a63256000858a7c61c87df [394]
  HKU\S-1-5-21-807482655-1958575161-1399845272-1000\Software\Classes\regfile: regedit.exe "%1" <==== ВНИМАНИЕ
  HKLM\...\StartupApproved\Run32: => "ZaxarLoader"
  HKU\S-1-5-21-807482655-1958575161-1399845272-1000\...\StartupApproved\Run: => "MediaGet2"
  FirewallRules: [{ACDC67C1-BA8C-4431-A820-3595619C4B98}] => (Allow) C:\Users\User\MediaGet2\mediaget.exe (Global Microtrading PTE. LTD -> MediaGet)
  FirewallRules: [{11C87146-24E7-415F-9046-70BF7D41D8B9}] => (Allow) C:\Users\User\MediaGet2\mediaget.exe (Global Microtrading PTE. LTD -> MediaGet)
  FirewallRules: [{BE8E207B-DF6D-4E38-8EB9-5271723BCFC8}] => (Allow) C:\Users\User\MediaGet2\QtWebEngineProcess.exe (The Qt Company Oy -> The Qt Company Ltd.)
  FirewallRules: [{8A696713-928D-46F8-A70C-DC645F7C0337}] => (Allow) C:\Users\User\MediaGet2\QtWebEngineProcess.exe (The Qt Company Oy -> The Qt Company Ltd.)
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

MediaGet по-прежнему в списке установленных. Удалите. Заодно удалите и Word 2013 shareware.

[Максим Пешков]

Fixlog.txt

[Sandor]

Ещё один небольшой скрипт выполните:

 

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\Users\User"
  Remove-MpPreference -ExclusionPath "C:\Program Files"
  Remove-MpPreference -ExclusionPath "C:\WINDOWS\system32\config\systemprofile"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Сообщите что с проблемой.

[Максим Пешков]

Fixlog.txt

[Sandor]

47 минут назад, Sandor сказал:

что с проблемой

??

[Максим Пешков]

Ну, нагрузка уменьшилась, но наверное надо будет еще раз Dr.Web'ом провериться

[Sandor]

Хорошо, проверьте и сообщите результат. Если будет обнаружение, отчёт cureit.log прикрепите.

[Максим Пешков]

Проверил все Dr. Web CureIt. Все чисто. Сделал это еще вчера, но почему никуда ничего сюда не мог отправить. Поле сообщения просто не разворачивалось.