Перейти к содержанию

Уничтожение вирусов


Рекомендуемые сообщения

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile(':\Users\Алексей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs','');
 DeleteFile(':\Users\Алексей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs','32');
 BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

quarantine.zip

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского

[KLAN-4328756892]

Addition_25-05-2016_10-17-36.txt

FRST_25-05-2016_10-17-36.txt

Ссылка на комментарий
Поделиться на другие сайты

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
    CloseProcesses:
    HKU\S-1-5-21-1321478169-362051304-3603744883-1000\...\Run: [uTorrent] => C:\Users\Алексей\AppData\Roaming\uTorrent\uTorrent.exe [2133504 2016-05-17] (BitTorrent Inc.)
    Startup: C:\Users\Алексей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs [2016-05-20] ()
    FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
    FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
    2016-05-25 09:59 - 2016-05-25 09:59 - 00000000 ____H C:\Users\Все пользователи\cm-lock
    2016-05-25 09:59 - 2016-05-25 09:59 - 00000000 ____H C:\ProgramData\cm-lock
    2016-05-20 15:06 - 2016-05-20 15:06 - 06220854 _____ C:\Users\Алексей\AppData\Roaming\39B5445839B54458.bmp
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README9.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README8.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README7.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README6.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README5.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README4.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README3.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README2.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README10.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Алексей\Desktop\README1.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README9.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README8.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README7.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README6.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README5.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README4.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README3.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README2.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README10.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 00002718 _____ C:\Users\Public\Desktop\README1.txt
    2016-05-20 14:54 - 2016-05-20 15:16 - 00000000 __SHD C:\Users\Все пользователи\Windows
    2016-05-20 14:54 - 2016-05-20 15:16 - 00000000 __SHD C:\ProgramData\Windows
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README9.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README8.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README7.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README6.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README5.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README4.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README3.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README2.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README10.txt
    2016-05-20 14:54 - 2016-05-20 14:54 - 00002718 _____ C:\README1.txt
    2016-05-20 15:06 - 2016-05-20 15:06 - 6220854 _____ () C:\Users\Алексей\AppData\Roaming\39B5445839B54458.bmp
    Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты

С расшифровкой не поможем, если у Вас есть коммерческая лицензия, пишите запрос  http://forum.kasperskyclub.ru/index.php?showtopic=48525

P.S.Не удаляйте карантин в каталоге C:\FRST до тех пор пока не решите вопрос с расшифровкой.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Ferri
      Автор Ferri
      Доброго времени суток.

      Столкнулась с проблемой майнер CAAServieces.exe. Начала искать способы по отключению, удалению вируса. Отключить отключила, Из реестра удалила, Удалила. Провела несколько проверок через антивирусы - чисто. Только при перезагрузке и некоторого времени (1-2 минуты) создается снова папка и файл с вирусом (но не запускается) по расположению: C:\ProgramData\CAAService.

      Прикладываю проверку с KVRT и AutoLogger.

      Найдя на форуме такую же проблему - уже решённую ранее - прикрепляю логи из FRST64

      CollectionLog-2025.07.19-02.48.zip Addition.txt FRST.txt
    • lostintired
      Автор lostintired
      Здравствуйте!
       
      Обращаюсь за помощью в полном удалении вредоносного ПО. Ранее на компьютере был обнаружен вирус, связанный с процессом CAAService.exe, который осуществлял майнинг. На тот момент мне удалось остановить вредоносную активность, и майнинг-процессы больше не наблюдаются.
      Однако, несмотря на это, файл CAAService.exe продолжает самовосстанавливаться по следующему пути: "C:\ProgramData\CAAService\CAAService.exe"
       
      Удалял вручную — файл вновь появляется сам, также сам себя добавляет в исключения защитника Windows. Также пытался выполнить рекомендации, приведённые в ТЕМЕ, но проблема не была полностью решена — папка и исполняемый файл восстанавливаются.
      Прошу помощи в полном удалении остаточных компонентов этой угрозы. Готов предоставить все необходимые логи и выполнить диагностику согласно требованиям форума.
      Заранее благодарю за помощь.
      CollectionLog-2025.07.18-23.17.zip
      Addition.txt FRST.txt
    • sasaks11
      Автор sasaks11
      Добрый день! Аналогичная ситуация с человеком в теме... Ещё было замечено что скачиваемые файлы на следующий день также повреждаются. Могу ли я решить проблему действуя по представленным здесь шагам или требуется индивидуальное решение?
      Сканирование проводилось с помощью встроенного в майкрософт 11 антивируса. Он ничего не обнаружил ни при полной проверке, ни при быстрой, ни при автономной проверке (Microsoft Defender).

       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • composer1995
      Автор composer1995
      Добрый день!

      Столкнулся с вирусом CAAServices.exe. Изложу последовательно события и свои действия:

      1. Центр обновления Windows установил обновления (не знаю, связано ли это с дальнейшей проблемой)
      - Накопительное обновление для Windows 11 Version 24H2 для систем на базе процессоров x64, 2025 07 (KB5062553)
      - 2025-07 Накопительное обновление .NET Framework 3.5 и 4.8.1 для Windows 11, version 24H2 для x64-разрядных систем (KB5056579)

      2. После обновления комп перезагрузился и в простое на рабочем столе начал сильно шуметь. Я решил проверить диспетчер задач и заглянуть в автозагрузки. В этот момент комп уже остыл и вернулся к нормальному уровню шума. В списке автозагрузок обнаружил файл CAAServices.exe, расположение файла C:\ProgramData\CAAService

      3. Нагуглил, что это майнер, провёл проверку защитником Windows, обнаружил вирус:
      - Trojan:Win64/DisguisedXMRigMiner!rfn, затронутые элементы C:\ProgramData\CAAService\Microsoft Network Realtime lnspection Service.exe

      Далее, в исключениях обнаружил CAAServices.exe, убрал его из списка исключений. Вручную указал папку CAAService, и в ней он нашёл:
      - Trojan:Win32/Wacatac.H!ml, затронутые элементы C:\ProgramData\CAAService\CAAServices.exe

      Защитник удалил оба вируса. После рестарта компа в автозагрузках снова обнаружил этот CAAServices.exe. Повторил процедуру по поиску и удалению вируса, комп не перезагружал.

      4. Пришёл сюда на сайт, провёл проверку Kaspersky Virus Removal Tool, обнаружил два вируса (прикладываю скрин). После проверки данной утилитой и рестарта компа в автозагрузке майнер не появляется. В папке C:\ProgramData\CAAService исчез файл CAAServices.exe. Остались только файлы CAAServices.vdr и OpenCL.dll.

      5. Собрал логи с помощью AutoLogger, прикладываю архив.

      Скажите, пожалуйста, избавился ли я от майнера, или нужно предпринять ещё какие-то меры?

      CollectionLog-2025.07.10-12.42.zip
    • Aleks yakov
      Автор Aleks yakov
      Здравствуйте  шифровальщик заразил 2 пк в локальной сети (kozanostra)
      Новая папка.zip
×
×
  • Создать...