[РЕШЕНО] Heur:Trojan.Multi.GenBadur.genw не удаляется

[Bernardo]

Друзья привет. 

Вот несколько дней уже у меня в ноутбуке живет троян, Касперский удаляет его, а позже вирус появляется вновь. Комп стал тормозить(

 

Логи загрузил. 

Спасибо

CollectionLog-2024.10.30-10.31.zip

[Sandor]

Здравствуйте!

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

 

Client Helper 6.1.6

Driver Booster 12

Safer Web

uTorrent 8.2.9

 

Что не сможете удалить стандартно, удалите принудительно с помощью Geek Uninstaller

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\users\asus\appdata\roaming\utorrent\pro\utorrentpro.exe');
 QuarantineFile('C:\Program Files\Client Helper\Client Helper.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\wext.vbs', '');
 QuarantineFile('c:\users\asus\appdata\roaming\utorrent\pro\utorrentpro.exe', '');
 DeleteSchedulerTask('EdgeUpdate');
 DeleteSchedulerTask('EdgeUpdateTaskUser');
 DeleteSchedulerTask('RunGame');
 DeleteSchedulerTask('uTorrentProUpdaterV5_t1730033824198');
 DeleteSchedulerTask('uTorrentProUpdaterV6_t1730033826250');
 DeleteFile('C:\Program Files\Client Helper\Client Helper.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\wext.vbs', '64');
 DeleteFile('c:\users\asus\appdata\roaming\utorrent\pro\utorrentpro.exe', '32');
 DeleteService('cpuz154');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

[Bernardo]

Спасибо за оперативный ответ. Прикрепляю новый лог

CollectionLog-2024.10.30-12.36.zip

[Sandor]

Хорошо. Дополнительно, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Bernardo]

Прикрепляю готовые отчеты 

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  Task: {2EDB8721-BE48-492A-B0B3-B1ECAEC4635C} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe  (Нет файла)
  Task: {9EF57218-AED4-4EC3-8992-3AB8C8D04455} - System32\Tasks\McAfeeTsk\OOBEUpgrader => C:\Program Files\McAfee\MSC\OOBE_Upgrader.exe  /Run (Нет файла)
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  FF user.js: detected! => C:\Users\Asus\AppData\Roaming\Mozilla\Firefox\Profiles\tbec1rtz.default\user.js [2024-08-18]
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Default\Extensions\mfhcmdonhekjhfbjmeacdjbhlfgpjabp
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\cagojkinfgnddfhbidkccjobaokehjjn
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\llbcnfanfmjhpedaedhbcnpgeepdnnok
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\mfhcmdonhekjhfbjmeacdjbhlfgpjabp
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\aegnopegbbhjeeiganiajffnalhlkkjb
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\llbcnfanfmjhpedaedhbcnpgeepdnnok
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\lnaookgigahiaikgeodngjmkappjoboe
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\mfhcmdonhekjhfbjmeacdjbhlfgpjabp
  CHR HKLM\...\Chrome\Extension: [llbcnfanfmjhpedaedhbcnpgeepdnnok]
  CHR HKU\S-1-5-21-4263798186-1488441227-2871996757-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [llbcnfanfmjhpedaedhbcnpgeepdnnok]
  CHR HKU\S-1-5-21-4263798186-1488441227-2871996757-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh]
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  CHR HKLM-x32\...\Chrome\Extension: [llbcnfanfmjhpedaedhbcnpgeepdnnok]
  CHR HKLM-x32\...\Chrome\Extension: [mfhcmdonhekjhfbjmeacdjbhlfgpjabp]
  S3 rsDwf; \SystemRoot\system32\DRIVERS\rsDwf.sys [X]
  2024-10-27 15:57 - 2024-10-30 12:26 - 000000000 ____D C:\Users\Asus\AppData\Roaming\uTorrentPro
  2024-10-27 15:57 - 2024-10-27 16:02 - 000000264 _____ C:\Users\Asus\uTorrentPro.dat
  2024-10-27 15:56 - 2024-10-27 15:56 - 000000000 ____D C:\Users\Asus\AppData\Local\utorrentpro-updater
  2024-10-27 15:51 - 2024-10-30 12:25 - 000000000 ____D C:\Program Files\Client Helper
  2024-10-27 15:51 - 2024-10-30 09:57 - 000026447 _____ C:\Users\Asus\ex-list2.json
  2024-10-27 15:51 - 2024-10-27 15:56 - 000000000 ____D C:\Users\Asus\AppData\Roaming\ClientHelper
  2024-10-27 15:51 - 2024-10-27 15:51 - 000000000 ____D C:\Users\Asus\AppData\Roaming\com.gtoppocket.launcher
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Bernardo]

Прикрепляю готовые отчеты 

Fixlog.txt

[Sandor]

Если проблема решена (антивирус ничего не находит), в завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Bernardo]

Теперь вирус не обнаруживается. Победа! 

 Благодарю за помощь и оперативные ответы. Спасибо!

[Sandor]

Отлично! Ждём отчёт по второму пункту.

[Bernardo]

Прикрепляю отчет

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

AMD Software v.24.7.1 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
7-Zip 23.01 (x64) v.23.01 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Zoom Workplace v.6.2.0 (46690) Внимание! Скачать обновления
Outline 1.10.1 v.1.10.1 Внимание! Скачать обновления
µTorrent v.3.6.0.47162 Внимание! Клиент сети P2P с рекламным модулем!.
Adobe Acrobat (64-bit) v.24.002.20857 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
Google Chrome v.130.0.6723.91 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

Читайте Рекомендации после удаления вредоносного ПО

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".