[РЕШЕНО] Поймал вируса, переименовались службы

[vasili_rb]

Добрый день.

Прошу помощи.

Споймал на сервере вирусы.

Переименовались службы:

 wuauserv_bkp
UsoSvc_bkp
BITS_bkp
WaaSMedicSvc_bkp
dosvc_bkp.

Проверил kaspersky office small security.

Заранее спасибо!

computerservice.txt computerservice1.txt

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[vasili_rb]

Произвел проверку  Kaspersky Virus Removal Tool угрозы не обнаружены, но до этого уже проверял несколько раз kaspersky office small security и удалял угрозы.

 

Файл логов AutoLogger в прикрепленном файле.

CollectionLog-2024.09.15-10.47.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[vasili_rb]

Готово

FRST64.rar

[thyrex]

Проверьте наличие в реестре кустов

Цитата

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dosvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsoSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv

 

При их отсутствии или повреждении импортируйте их с системы, аналогичной Вашей, и экспортируйте в реестр на своем сервере. 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKU\S-1-5-21-1455732576-4050857332-1148243624-500\...\MountPoints2: {ee36c565-ab7c-11ed-a041-48df37b0f2ce} - "I:\Browser.exe" 
AutoConfigURL: [{E811C51F-D5F4-4199-9CBA-D6B18C57FA34}] => hxxp://127.0.0.1:10224/proxy.pac <==== ВНИМАНИЕ
AutoConfigURL: [S-1-5-21-1455732576-4050857332-1148243624-500] => hxxp://127.0.0.1:10224/proxy.pac <==== ВНИМАНИЕ
ManualProxies: 0hxxp://127.0.0.1:10224/proxy.pac <==== ВНИМАНИЕ
S3 BITS_bkp; C:\Windows\System32\qmgr.dll [1658880 2024-05-14] (Microsoft Windows -> Microsoft Corporation)
S3 dosvc_bkp; C:\Windows\system32\dosvc.dll [1560576 2024-07-11] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [720896 2024-06-19] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [491520 2024-07-11] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3473408 2024-06-19] (Microsoft Windows -> Microsoft Corporation)
CustomCLSID: HKU\S-1-5-21-1455732576-4050857332-1148243624-500_Classes\CLSID\{803144C8-17E6-4926-86C5-C195B6D226D4}\InprocServer32 -> C:\Program Files\1cv8\8.3.20.2180\bin\radmin.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1455732576-4050857332-1148243624-500_Classes\CLSID\{A42674D4-2D97-4988-A81D-2C113CC42A95}\InprocServer32 -> C:\Program Files\1cv8\8.3.20.2180\bin\radmin.dll => Нет файла
FirewallRules: [{62D3CB34-3E87-4DCC-8BAD-3F2EB000E27B}] => (Allow) C:\Program Files\Eltima Software\USB Network Gate\UsbService64.exe => Нет файла
FirewallRules: [{7D6927D9-A769-451C-89DA-D3DDDB67480F}] => (Allow) C:\Program Files\Eltima Software\USB Network Gate\UsbConfig.exe => Нет файла
FirewallRules: [{49B55D61-A165-4D83-8239-BC6889FABB57}] => (Allow) C:\Users\Администратор\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{C47A25D1-B39B-4908-9C4F-D93AF506194E}] => (Allow) C:\Users\Администратор\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{17B64F3E-5224-4198-969E-F5477AA9CE9C}] => (Allow) C:\Users\Администратор\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{2138FBF7-B45E-43BF-816A-5D1FC989BA96}] => (Allow) C:\Users\Администратор\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{A33859A2-72A6-4D56-9FBB-61CD1E6C5D5B}] => (Allow) C:\Users\Администратор\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{8C028245-6CE1-4EB6-ACB1-BA2145A2C4AF}] => (Allow) C:\Users\Администратор\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{23793386-EFDF-4116-A685-53E1E2F13B1C}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{13D99F4E-47D1-4F7C-A782-62C7D586B8AD}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{9DB414B4-C6D3-4DC3-B538-746AC39B0C69}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{F9842338-7F61-4387-B471-D172921024F3}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{6F6788CC-5220-4180-AD18-088A61D04A28}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{297DFC4A-2422-49A8-A881-9BCFF4A7B768}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.

 

[vasili_rb]

Готово

Fixlog.txt

 

FSS.txt

[thyrex]

Я разве просил собирать лог FSS? Проверить вручную в редакторе реестра нужно

[vasili_rb]

Реестр поправил, перезагрузился, все службы запустились, сервак обновился.

Еще раз проверяю антивирусом.

Еще что нибудь нужно делать?

[thyrex]

На этом закончим

[vasili_rb]

Спасибо за помощь!

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".