Перейти к содержанию
Правила раздела

[РЕШЕНО] какой-то вирус залез Trojan.Win32.Agentb.adkr

420427

Автор 420427
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

  • 420427 изменил название на какой-то вирус залез Trojan.Win32.Agentb.adkr
Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

37 минут назад, 420427 сказал:

какой-то вирус залез в комп

И это не удивительно, система давно устарела и представляет из себя решето:

Цитата

OS:       x32 Windows XP (Professional), 5.1.2600.0, Service Pack: 2

 

Обновлять не планируете? Вижу сканировали с помощью CureIt. Он ничего не нашёл?

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт): 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\docume~1\first\locals~1\temp\eskephgwlyfvxldfh.exe');
 TerminateProcessByName('c:\docume~1\first\locals~1\temp\yckuvds.exe');
 QuarantineFile('C:\autorun.inf', '');
 QuarantineFile('C:\DOCUME~1\First\LOCALS~1\Temp\eskephgwlyfvxldfh.exe .', '');
 QuarantineFile('c:\docume~1\first\locals~1\temp\eskephgwlyfvxldfh.exe', '');
 QuarantineFile('C:\DOCUME~1\First\LOCALS~1\Temp\lcxuidfyqgqjofafknez.exe .', '');
 QuarantineFile('C:\DOCUME~1\First\LOCALS~1\Temp\lcxuidfyqgqjofafknez.exe', '');
 QuarantineFile('C:\DOCUME~1\First\LOCALS~1\Temp\xkbuevtiwioderij.exe .', '');
 QuarantineFile('C:\DOCUME~1\First\LOCALS~1\Temp\xkbuevtiwioderij.exe', '');
 QuarantineFile('c:\docume~1\first\locals~1\temp\yckuvds.exe', '');
 QuarantineFile('C:\DOCUME~1\First\LOCALS~1\Temp\yoierlmevktlpfzdhjz.exe', '');
 QuarantineFile('C:\samafrkudkl.bat', '');
 QuarantineFile('C:\WINDOWS\system32\asombxaunepjphdjptlhf.exe', '');
 QuarantineFile('C:\WINDOWS\system32\lcxuidfyqgqjofafknez.exe', '');
 QuarantineFile('C:\WINDOWS\system32\ncvqcvvmcqypshadgh.exe', '');
 QuarantineFile('C:\WINDOWS\system32\xkbuevtiwioderij.exe', '');
 QuarantineFile('C:\WINDOWS\system32\yoierlmevktlpfzdhjz.exe', '');
 QuarantineFile('D:\autorun.inf', '');
 QuarantineFile('D:\samafrkudkl.bat', '');
 DeleteFile('C:\autorun.inf', '');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\eskephgwlyfvxldfh.exe .', '32');
 DeleteFile('c:\docume~1\first\locals~1\temp\eskephgwlyfvxldfh.exe', '');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\eskephgwlyfvxldfh.exe', '32');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\lcxuidfyqgqjofafknez.exe .', '32');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\lcxuidfyqgqjofafknez.exe', '32');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\xkbuevtiwioderij.exe .', '32');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\xkbuevtiwioderij.exe', '');
 DeleteFile('c:\docume~1\first\locals~1\temp\yckuvds.exe', '');
 DeleteFile('c:\docume~1\first\locals~1\temp\yckuvds.exe', '32');
 DeleteFile('C:\DOCUME~1\First\LOCALS~1\Temp\yoierlmevktlpfzdhjz.exe', '32');
 DeleteFile('C:\samafrkudkl.bat', '');
 DeleteFile('C:\WINDOWS\system32\asombxaunepjphdjptlhf.exe', '32');
 DeleteFile('C:\WINDOWS\system32\lcxuidfyqgqjofafknez.exe', '');
 DeleteFile('C:\WINDOWS\system32\lcxuidfyqgqjofafknez.exe', '32');
 DeleteFile('C:\WINDOWS\system32\ncvqcvvmcqypshadgh.exe', '32');
 DeleteFile('C:\WINDOWS\system32\xkbuevtiwioderij.exe', '32');
 DeleteFile('C:\WINDOWS\system32\yoierlmevktlpfzdhjz.exe', '32');
 DeleteFile('D:\autorun.inf', '');
 DeleteFile('D:\samafrkudkl.bat', '');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'oymcjxsepybnl', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'xkbuevtiwioderij', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'eskephgwlyfvxldfh', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'papgodzmyimzyj', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'oymcjxsepybnl', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'yoierlmevktlpfzdhjz', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'ncvqcvvmcqypshadgh', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'papgodzmyimzyj', '32');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'oymcjxsepybnl', '32');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'xkbuevtiwioderij', '32');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce', 'papgodzmyimzyj', '32');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(8);
 ExecuteRepair(10);
 ExecuteRepair(17);
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

  

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift". Прикрепите новый CollectionLog.

 

420427

420427

Опубликовано
  • Автор
Опубликовано
29 минут назад, Sandor сказал:

Обновлять не планируете? Вижу сканировали с помощью CureIt. Он ничего не нашёл?

нет, там спец программы для фотопечати на оборудовании Fudji. CureIt даже не запустился.

 

Снимок экрана 2025-12-12 174619.jpg

Sandor

Sandor

Опубликовано
Опубликовано
2 часа назад, Sandor сказал:

Для повторной диагностики запустите снова AutoLogger

Это сделайте.

 

После:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

420427

420427

Опубликовано
  • Автор
Опубликовано
2 часа назад, Sandor сказал:

Обновлять не планируете? Вижу сканировали с помощью CureIt. Он ничего не нашёл?

нет, там спец программы для фотопечати на оборудовании Fudji. CureIt даже не запустился.

+ новые логи

CollectionLog-2025.12.12-18.10.zip

Sandor

Sandor

Опубликовано
Опубликовано

Хорошо, логи выглядят значительно лучше.

По отчётам Farbar отвечу позже, возможно завтра.

420427

420427

Опубликовано
  • Автор
Опубликовано
5 минут назад, Sandor сказал:

Это сделайте.

 

После:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

не запускается, 32 битная версия

Снимок экрана 2025-12-12 182231.jpg

420427

420427

Опубликовано
  • Автор
Опубликовано
2 часа назад, Sandor сказал:

Да, Farbar больше не поддерживает Windows XP.

Попробуем Malwarebytes эту версию.

ОШИБКА 403

Запрос не может быть выполнен.

Дистрибутив Amazon CloudFront настроен на блокировку доступа из вашей страны. В данный момент мы не можем подключиться к серверу этого приложения или веб-сайта. Возможно, слишком большой трафик или ошибка конфигурации. Повторите попытку позже или свяжитесь с владельцем приложения или веб-сайта.
Если вы предоставляете клиентам контент через CloudFront, вы можете найти инструкции по устранению неполадок и предотвращению этой ошибки в документации CloudFront. 

Сгенерировано CloudFront (CloudFront)
 Идентификатор запроса: Lx4lqwgltJdqWe-pVmWnC2J0y9l51wamFDT0C-HhhG2iM8Saz3IENA==
2 часа назад, Sandor сказал:

Если не сможете загрузить по первой ссылке, вот вторая.

эта работает

420427

420427

Опубликовано
  • Автор
Опубликовано

удалось скачать для ХР этоhttps://archive.org/details/malwarebytes_for_win_xp

вот отчет во вложении.

найдено.txt

host такой:

Цитата

# (C) Корпорация Майкрософт (Microsoft Corp.), 1993-1999
#
# Это образец файла HOSTS, используемый Microsoft TCP/IP для Windows.
#
# Этот файл содержит сопоставления IP-адресов именам узлов.
# Каждый элемент должен располагаться в отдельной строке. IP-адрес должен
# находиться в первом столбце, за ним должно следовать соответствующее имя.
# IP-адрес и имя узла должны разделяться хотя бы одним пробелом.
#
# Кроме того, в некоторых строках могут быть вставлены комментарии 
# (такие, как эта строка), они должны следовать за именем узла и отделяться
# от него символом '#'.
#
# Например:
#
#      102.54.94.97     rhino.acme.com          # исходный сервер
#       38.25.63.10     x.acme.com              # узел клиента x

127.0.0.1       localhost
0.0.0.0 serius.mwbsys.com
0.0.0.0 keystone.mwbsys.com

 

9 минут назад, Sandor сказал:

Ясно. Пробуем KVRT 2015, по идее должна запуститься.

сейчас скачаю - тоже прогоню. 

Sandor

Sandor

Опубликовано
Опубликовано
6 минут назад, 420427 сказал:

вот отчет во вложении

Всё найденное в Malwarebytes можно удалить (поместить в карантин).

420427

420427

Опубликовано
  • Автор
Опубликовано
1 час назад, Sandor сказал:

Всё найденное в Malwarebytes можно удалить (поместить в карантин).

это удалил, повторно прогнал  - все чисто. что-то еще нужно запустить протестить?

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • DEFFlorator
      Поймал друг на моем ноуте вирус CAAServises (он же под именем SQL Servises). Он постоянно висит в автозагрузках, при удалении появляется вновь. Сторонними прогами, Virus Total'ом удалить также не получилось.
      Автор DEFFlorator
      Обнаружил данный вирус, так как при подключении к Инету сильно нагружается и греется ЦП. Использование почти всегда 100 %, частоты выше 3,5 ГГц при штатной 2,3 ГГц. После поисков ответов в инете обнаружил связанный с вирусом файл explorer.exe, в разделе "Безопасность" которого имеется некий админ. Изменение разрешений невозможно (требуется разрешение этого самого левого админа), при удалении сразу появляется вновь.
      Сам вирус находится в папке Program Files.



      CollectionLog-2026.01.09-13.55.zip

    • Ogurtsovv_KZN
      [РЕШЕНО] Удаление вируса CAASevice.exe
      Автор Ogurtsovv_KZN
      Здравствуйте! Не так давно обнаружил на своем компьютере вирус, который отдельно запускал задачу "Microsoft Network Realtime Inspection Service". Эта задача нагружала видеокарту компьютера на 100% и стало понятно, что она вредоносная, т.к. есть аналогичная задача с точно таким же названием, но уже не использующая практически никаких ресурсов ПК. Ещё интересен тот факт, что на компьютере Windows 11 недавно полностью переустанавливалась и вот на, по сути, "чистой" системе появился вирус. 
      Файл CAAService.exe обнаружил по пути C:\ProgramFata\CAAService, там же были обнаружены "Microsoft Network Realtime Inspection Service" и ещё парочку dll-файлов. Попробовал вручную удалить всю папку и после перезагрузки компьютера папка снова вернулась на место, но уже только с файлом CAAService.exe, рядом с ним больше ничего нет. Также, до удаления папки я снял с автозагрузки в диспетчере задач файл CAAService.exe и после перезагрузки системы он сам не включался и больше не потреблял никаких ресурсов. Таким образом получается, что сам вирус как бы есть, но он ничего не делает и сам постоянно восстанавливается после удаления (более того, он добавляет себя в список исключений для антивируса Windows, вследствие чего сам по себе не блокируется и не удаляется). По крайней мере пока. Тем не менее, хотелось бы избавиться от него навсегда.
      Я видел, что вы уже помогали другим пользователям в решении подобной проблемы. Вы сможете мне помочь?
    • Ivee
      Вирус DWM.exe
      Автор Ivee
      DESKTOP-18JEN24_2025-12-30_16-58-34_v5.0.3v x64.7z
    • Николай212322122
      [РЕШЕНО] Вирус майнер realtek hd audio не удаляться до конца
      Автор Николай212322122
      Переустановили винду в сервизном центре. По приходу домой обнаружил вирус realtek hd audio, который включается по автозагрузке и не дает скачать антивирусы. Dr web cureit получилось перекинуть через месенжер и сделать проверку, он нашел большое количество угроз. Но не все смог вылечить, я скачал Kaspersky virus removal tool и он тоже нашел вирусы. Я запускал несколько раз эти утелиты и вроде бы угроз больше не обнаруживается. Но в автозагрузках я опять вижу realtek hd audio выключенным с автозагрузок , хотя после первого сканирование он был вообще удален.
       
      Сейчас Dr web cureit и Kaspersky virus removal tool ничего не находит и realtek hd audio выключен с автозагрузок и я могу вписывать антивирус в бразуер и он сразу не закрывается, так же могу зайти ProgramData. Но все равно realtek hd audio весит в автозагрузках и когда первый раз запускал Dr web cureit он написал что не все вылечил, так что есть подозрение что вирус еще на компьютере остался.
       
      Подскажите пж, что делать?
       
      Прикрепить логи от Dr web cureit не получаеться так как они больше 5 мб. Где получить логи от Kaspersky virus removal tool я не нашел. Подскажите как отправить логи
    • AndreyGrom89
      Вирус\майнер CAAServise
      Автор AndreyGrom89
      Доброго времени суток. Недавно обнаружил повышенную нагрузку на ГП. В диспетчере задач было обнаружено два процесса microsoft network realtime inspection service, один из которых и грузил карту. Поиском в инете нашел инфу о возможном майнере. Выполнил рекомендации из поста, не на данном форуме, рекомендации помогли, но увы не надолго, после некоторого времени проблема появилась вновь. Сегодня наткнулся на этот форум с похожей темой. Проверял комп Defender`ом, он проблему не находил. Обнаружил данный "файл" в исключениях, удалил оттуда. По рекомендации с соседней темы скачал FRST, сделал проверку, результаты прикрепил. Какие дальнейшие действия можно применить??
      Addition.txt FRST.txt
×
×
  • Создать...