Trojan.DownLoader11.24035 | Trojan.DownLoader11.22983

[Stas Ukolov]

Словил, видимо, из AOMEI Partition Assistant
Все началось с того, что svchost.exe (netsvcs) очень сильно грузит процессор, начал разбираться, лазить по службам и т.д, в итоге включил показ скрытых файлов виндовс и обнаружил на диске С файл "AMTAG.BIN"
Загуглил и доктор Веб выдал мне две ссылки :
 

Trojan.DownLoader11.22983:

Изменения в файловой системе:
Создает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__
<SYSTEM32>\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__
%WINDIR%\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\log\ampa1.log
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
Присваивает атрибут 'скрытый' для следующих файлов:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
Удаляет следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
Перемещает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
Сетевая активность:
Подключается к:
'localhost':1039
'st###.spoon.net':443
UDP:
DNS ASK www.di####artition.com
DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Trojan.DownLoader11.24035:

 
Изменения в файловой системе:
Создает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__
<SYSTEM32>\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__
%WINDIR%\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\log\ampa1.log
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
Присваивает атрибут 'скрытый' для следующих файлов:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
Удаляет следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
Перемещает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
Сетевая активность:
Подключается к:
'localhost':1039
'st###.spoon.net':443
UDP:
DNS ASK www.di####artition.com
DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

 
Окей, думаю я, скачаю куреит и проведу полные обследования в сейф-моде.
Провел три вида : смарт, какие то непонятные системные штуки(аля загрузочные сектора и т.д, соре я ламер) и скан самих дисков.
В итоге вирусы нашел только скан дисков, и то, ни одного принадлежащего к этому трояну. Я делитнул .бин файл с диска С и попытался сам порыскать в директориях, тоже ничего не нашел, возможно из за того, что TEMP я уже чистил пару дней назад.
Но остается вопрос реестра,подключений и "поиска окон".
Как вылечить модифицированный вирусом реестр, как убрать вирусные подключения, и что значит "ищет следующие окна"?
Очень нужна помощь, комп и так работает на последнем дыхании, а тут еще и вирусы.
Извиняюсь за черный фон, скопировал с другого форума, где мне не помогли.

Изменено 30 июня, 2016 пользователем thyrex

[Sandor]

Здравствуйте!

 

скопировал с другого форума, где мне не помогли

Ссылку покажите.

 

А здесь выполните Порядок оформления запроса о помощи

[Stas Ukolov]

Да, простите. Только после создания темы прочитал. Сделал.

 

CollectionLog-2016.06.30-16.03.zip

[Sandor]

Ссылку покажите

Покажете?

[Stas Ukolov]

 

Ссылку покажите

Покажете?

 

Это так важно, О_о.

Геймерский форум.

http://dota2.ru/forum/threads/slovil-virus-ne-znaju-kak-udalit.949491/

[Sandor]

Важно, если это другой форум лечения. При одновременном лечении рискуете навредить системе, а также путаете консультантов.

 

В логах ничего подозрительного (вирусоподобного).

[Stas Ukolov]

А можете помочь с :

Как вылечить модифицированный вирусом реестр, т.к. по дрВебу он вписал там его автозагрузку и т.п(если он не вылечен), как убрать вирусные подключения(если они остались), и что значит "ищет следующие окна"?

Изменено 30 июня, 2016 пользователем Stas Ukolov

[Sandor]

То, что Вы нагуглили, не обязательно относится к именно этому удаленному файлу.

Внешне как-то проявляется ненормальная работа компьютера или программ?

[Stas Ukolov]

С хромом как будто что-то не то. Когда открываешь вкладки, она открывается не мгновенно, а на мгновение появляется белый фон, в целом стала долгая загрузка страниц( хотя из всего, требующего интернет, работает только аудио ВК) . Сам ВК стал себя странно вести, может, это проблемы с ним, но может и нет. При нажатии на "Мой профиль" ничего не происходит, можно нажимать бесконечно(компьютер перезагружался, кэш чистился). Прямо во время написания этого заметил, что не только "мой профиль". Иногда могут рандомные разделы не открываться(аудиозаписи,сообщения) с первых нескольких кликов.

Пока что вроде бы ничего больше не заметил.

P.S.Может быть, большое кол-во svchost.exe (кстати, появилось после переустановки виндовс, до этого их не было почти), но они все относятся к system/ local service. Да и вообще, после переустановки виндовс стало слишком много процессов, они вроде бы как системные, но почему тогда их не было в прошлой винде?

Изменено 30 июня, 2016 пользователем Stas Ukolov

[Sandor]

Сам ВК стал себя странно вести

Сегодня у них вроде есть проблемы.

 

Проверим еще так:

• Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Stas Ukolov]

 

Сам ВК стал себя странно вести

Сегодня у них вроде есть проблемы.

 

Проверим еще так:

• Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Спасибо за информацию, пик лагов я, наверное, пропустил)

Сейчас сделаю скан.

Вот.

AdwCleanerS1.txt

[Sandor]

1.

• Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Настройки и отметьте дополнительно:
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Stas Ukolov]

Сейчас буду делать следующее.

Следующее

Как обычно, я сначала сделал, а потом прочитал подробнее.

Т.к.Вы не написали,я не поставил галочки Lisc BCD и Drivers MD5.(только последних две) 

Переделать?

Вот новые(последние 3), с четырьмя галочками + запуск от имени адм.

но файл FRST по сравнению с первым пустой.

AdwCleanerC1.txt

Addition.txt

FRST.txt

Shortcut.txt

Addition.txt

FRST.txt

Shortcut.txt

Изменено 30 июня, 2016 пользователем Stas Ukolov

[Sandor]

Больше придраться не к чему. Кроме, разве что, кое-каких уязвимостей.

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Деинсталлировать).
• Подтвердите удаление, нажав кнопку: Да.

Подробнее читайте в этом руководстве.

 

Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Stas Ukolov]

Больше придраться не к чему. Кроме, разве что, кое-каких уязвимостей.

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Деинсталлировать).
• Подтвердите удаление, нажав кнопку: Да.

Подробнее читайте в этом руководстве.

 

Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

Вот файл. А что на счет тех "уязвимостей"?

SecurityCheck.txt

Изменено 1 июля, 2016 пользователем Stas Ukolov