Перейти к содержанию
Правила раздела

Trojan.DownLoader11.24035 | Trojan.DownLoader11.22983

Stas Ukolov

Автор Stas Ukolov,
в Помощь в удалении вирусов

 Share Подписчики 1

Рекомендуемые сообщения

Stas Ukolov

Stas Ukolov 0

Опубликовано
Опубликовано (изменено)

Словил, видимо, из AOMEI Partition Assistant
Все началось с того, что svchost.exe (netsvcs) очень сильно грузит процессор, начал разбираться, лазить по службам и т.д, в итоге включил показ скрытых файлов виндовс и обнаружил на диске С файл "AMTAG.BIN"
Загуглил и доктор Веб выдал мне две ссылки :
 

Trojan.DownLoader11.22983:

Изменения в файловой системе:
Создает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__
<SYSTEM32>\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__
%WINDIR%\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\log\ampa1.log
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
Присваивает атрибут 'скрытый' для следующих файлов:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
Удаляет следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
Перемещает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
Сетевая активность:
Подключается к:
'localhost':1039
'st###.spoon.net':443
UDP:
DNS ASK www.di####artition.com
DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: '(null)'



Trojan.DownLoader11.24035:


 
Изменения в файловой системе:
Создает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__
<SYSTEM32>\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__
%WINDIR%\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\log\ampa1.log
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
Присваивает атрибут 'скрытый' для следующих файлов:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSDRIVE@\AMTAG.BIN
Удаляет следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@SYSWOW64@\ampa.sys
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\modified\@WINDIR@\ampa.exe
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
Перемещает следующие файлы:
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSDRIVE@\AMTAG.BIN.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\wnd.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@PROGRAMFILESX86@\AOMEI Partition Assistant Pro Edition 5.5\cfg.ini.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\xsandbox.bin
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@WINDIR@\ampa.exe.__meta__
<Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__.__tmp__ в <Текущая директория>\Data\AOMEI Partition Assistant\roaming\meta\@SYSWOW64@\ampa.sys.__meta__
Сетевая активность:
Подключается к:
'localhost':1039
'st###.spoon.net':443
UDP:
DNS ASK www.di####artition.com
DNS ASK st###.spoon.net
Другое:
Ищет следующие окна:
ClassName: 'Shell_TrayWnd' WindowName: '(null)'



 
Окей, думаю я, скачаю куреит и проведу полные обследования в сейф-моде.
Провел три вида : смарт, какие то непонятные системные штуки(аля загрузочные сектора и т.д, соре я ламер) и скан самих дисков.
В итоге вирусы нашел только скан дисков, и то, ни одного принадлежащего к этому трояну. Я делитнул .бин файл с диска С и попытался сам порыскать в директориях, тоже ничего не нашел, возможно из за того, что TEMP я уже чистил пару дней назад.
Но остается вопрос реестра,подключений и "поиска окон".
Как вылечить модифицированный вирусом реестр, как убрать вирусные подключения, и что значит "ищет следующие окна"?
Очень нужна помощь, комп и так работает на последнем дыхании, а тут еще и вирусы.
Извиняюсь за черный фон, скопировал с другого форума, где мне не помогли.

Изменено пользователем thyrex
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Здравствуйте!

 

скопировал с другого форума, где мне не помогли

Ссылку покажите.

 

А здесь выполните Порядок оформления запроса о помощи

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Важно, если это другой форум лечения. При одновременном лечении рискуете навредить системе, а также путаете консультантов.

 

В логах ничего подозрительного (вирусоподобного).

  • Согласен 1
Ссылка на сообщение
Поделиться на другие сайты
Stas Ukolov

Stas Ukolov 0

Опубликовано
  • Автор
Опубликовано (изменено)

А можете помочь с :

Как вылечить модифицированный вирусом реестр, т.к. по дрВебу он вписал там его автозагрузку и т.п(если он не вылечен), как убрать вирусные подключения(если они остались), и что значит "ищет следующие окна"?

Изменено пользователем Stas Ukolov
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

То, что Вы нагуглили, не обязательно относится к именно этому удаленному файлу.

Внешне как-то проявляется ненормальная работа компьютера или программ?

Ссылка на сообщение
Поделиться на другие сайты
Stas Ukolov

Stas Ukolov 0

Опубликовано
  • Автор
Опубликовано (изменено)

С хромом как будто что-то не то. Когда открываешь вкладки, она открывается не мгновенно, а на мгновение появляется белый фон, в целом стала долгая загрузка страниц( хотя из всего, требующего интернет, работает только аудио ВК) . Сам ВК стал себя странно вести, может, это проблемы с ним, но может и нет. При нажатии на "Мой профиль" ничего не происходит, можно нажимать бесконечно(компьютер перезагружался, кэш чистился). Прямо во время написания этого заметил, что не только "мой профиль". Иногда могут рандомные разделы не открываться(аудиозаписи,сообщения) с первых нескольких кликов.

Пока что вроде бы ничего больше не заметил.

P.S.Может быть, большое кол-во svchost.exe (кстати, появилось после переустановки виндовс, до этого их не было почти), но они все относятся к system/ local service. Да и вообще, после переустановки виндовс стало слишком много процессов, они вроде бы как системные, но почему тогда их не было в прошлой винде?

Изменено пользователем Stas Ukolov
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Сам ВК стал себя странно вести

Сегодня у них вроде есть проблемы.

 

Проверим еще так:

  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на сообщение
Поделиться на другие сайты
Stas Ukolov

Stas Ukolov 0

Опубликовано
  • Автор
Опубликовано

 

Сам ВК стал себя странно вести

Сегодня у них вроде есть проблемы.

 

Проверим еще так:

  • Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

Спасибо за информацию, пик лагов я, наверное, пропустил)

Сейчас сделаю скан.

Вот.

AdwCleanerS1.txt

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Настройки и отметьте дополнительно:
    • Сброс политик IE
    • Сброс политик Chrome
  • Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

  • Согласен 1
Ссылка на сообщение
Поделиться на другие сайты
Stas Ukolov

Stas Ukolov 0

Опубликовано
  • Автор
Опубликовано (изменено)

Сейчас буду делать следующее.


Следующее


Как обычно, я сначала сделал, а потом прочитал подробнее.

Т.к.Вы не написали,я не поставил галочки Lisc BCD и Drivers MD5.(только последних две) 

Переделать?


Вот новые(последние 3), с четырьмя галочками + запуск от имени адм.

но файл FRST по сравнению с первым пустой.

AdwCleanerC1.txt

Addition.txt

FRST.txt

Shortcut.txt

Addition.txt

FRST.txt

Shortcut.txt

Изменено пользователем Stas Ukolov
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Больше придраться не к чему. Кроме, разве что, кое-каких уязвимостей.

  • Пожалуйста, запустите adwcleaner.exe
  • Нажмите Uninstall (Деинсталлировать).
  • Подтвердите удаление, нажав кнопку: Да.
Подробнее читайте в этом руководстве.

 

Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
  • Согласен 1
Ссылка на сообщение
Поделиться на другие сайты
Stas Ukolov

Stas Ukolov 0

Опубликовано
  • Автор
Опубликовано (изменено)

Больше придраться не к чему. Кроме, разве что, кое-каких уязвимостей.

  • Пожалуйста, запустите adwcleaner.exe
  • Нажмите Uninstall (Деинсталлировать).
  • Подтвердите удаление, нажав кнопку: Да.
Подробнее читайте в этом руководстве.

 

Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

 

Вот файл. А что на счет тех "уязвимостей"?

SecurityCheck.txt

Изменено пользователем Stas Ukolov
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • larmaswed
      самовосстанавливающийся вирус
      От larmaswed
      Недавно обнаружил на ПК вирус updater.exe, путь: C:\Program Files\Google\Chrome\updater.exe. При попытке удалить, он сразу восстанавливается, перепробовал много способов, скачивал различные программы анти-вирусы, копался в реестре, ничего не помогло. Сканировался через malwarebytes, UnHuckMe, 360 total security.  

    • Roman9876
      kasperky обнаружил Trojan.Win64.Agent.qwjsmv
      От Roman9876
      Скачал пиратский PowerPoint (не проверив сайт, торопился).
      После этого некоторые приложения перестали отрываться, говоря, что у меня нет прав Администратора. 

      Лечил с перезагрузкой уже несколько раз, не уходит.
       
       
      CollectionLog-2024.04.11-12.35.zip
    • kptsv
      HEUR:Trojan.MSIL.Inject.gen и HEUR:Trojan.Win32.Strab.gen
      От kptsv
      Добрый день.
      Kaspersky Security для Windows Server 10.1.2.996 выдает сообщение, что обнаружены троянские программы HEUR:Trojan.MSIL.Inject.gen и HEUR:Trojan.Win32.Strab.gen. Проверка kvrt ничего не нашла. Dr.Web CureIt тоже ничего не нашел.
      Сообщение заносится в журнал каждый час. Как избавиться от напасти?
      CollectionLog-2024.02.29-08.17.zip kaspersky_log.csv.zip
    • bon1kk
      Trojan.Multi.GenAutorunProc.a
      От bon1kk
      Здравствуйте! Столкнулся с проблемой..на компьютер попал троян...несколько дней назад он появился, я сразу же с помощью антивируса Касперского вроде как удалил его вместе с перезагрузкой компьютера. Через 2 дня вирус снова был обнаружен на компьютере. Как он попадает? И как избавиться от него навсегда? Касперский помогает лишь на несколько дней...работаю с ADS browser, в подобной теме видел что у ребят это вылезает из-за перехода по ссылке которую касперский метит, и не значит что файл в системе, верно!? В последний раз заходил на этот сайт, и сейчас снова показывает как подозрительный, может быть ли это из-за него?


    • Shkine
      [РЕШЕНО] Trojan:Win32/Malgent!MTB
      От Shkine
      Доброго времени суток на днях заметил что защитник обнаружил троян. Но при попытке удалить его - ничего не происходит он снова появляется. Находил похожие от части темы, где использовали Farbar Recovery Scan Tool. Так что ко всем файлам прикладываю и его результаты. Буду благодарен за помощь.


      Addition.txt FRST.txt
×
×
  • Создать...