Перейти к содержанию
Правила раздела
Конкурс по разработке Telegram-бота Kaspersky Club

Поймал трояны на купленный только вчера ноут. Помогите, плс, вылечить

Alexej_p

Автор Alexej_p
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Alexej_p Новичок

Alexej_p

Опубликовано
Опубликовано (изменено)

Уважаемые специалисты и форумчане, наткнуля на этот сайт и решил попросить у вас о помощи)

 

Вчера купил ноут на винде 10, ставил всякие проги и распаковал на ноут папку с троянами. У меня стоит антивирус Мак Афи от производителя ноутов - компании эйсер (пробный период 30 дней). Антивирус мне начал сообщать о тронянах, всего поймал 13 штук. Кроме того, одновременно у меня на ноут стали сами по себе устанавливаться приложения: браузер амиго, еще какая-то ерунда и ярлыки поиска мэйл.ру и мозилы. После удаления этих приложений, некоторые появились вновь.

 

Вся эта вакханалия прекратилась после того, как я через функцию "Уничтожить" на своем антивире удалил папку, куда трояны распаковались. Вручную папка не удалялась. Затем снес всю папку Temp, которая находится по адресу юзер\аппдата\локал (адрес примерный). Ну и судя по всему нормальные приложения типа 3д билдера тоже снес, но фиг с ним). Папку Temp снес, так как все или почти все трояны были в ней.

 

В общем, сейчас при включении ноута майкрософт эдж сам открывается на какой-то рекламной странице. Помогите избавится от этого и подскажите как надежно проверить систему (полная проверка мак афи показала, что все ок). Обидно, ноут то совсем новый!

 

Кстати трояны были с названиями Артемис и Дженерик .

 

UPD: доктор вэб проблем не обнаружил, логи прикладываю.

 

UPD 2: логи после удаления App Explorer .

CollectionLog-2016.08.08-21.12.zip

CollectionLog-2016.08.08-22.53.zip

Изменено пользователем Alexej_p
  • Нет слов 1
Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано

Увидел, делаю

Доктор вэб проблем не обнаружил.

 

Логи прикладываю.

CollectionLog-2016.08.08-21.12.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Деинсталлируйте App Explorer.

 

 

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 


 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 




begin

 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xtpmmgcnyq');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');

 DeleteFile('C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432\F6A15261-7DFE-4DC5-B961-B3A56FA9DA3F.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','B501CA6A-DA32-4BE1-BBE3-552404E22432');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');

 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');

 DeleteFile('C:\Users\Alexey\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe','32');

 DeleteFile('C:\Windows\system32\Tasks\App Explorer','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432','64');

ExecuteSysClean;

RebootWindows(true);

end.


 

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером. 

Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

Деинсталлируйте App Explorer.
 
 
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xtpmmgcnyq');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');
 DeleteFile('C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432\F6A15261-7DFE-4DC5-B961-B3A56FA9DA3F.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','B501CA6A-DA32-4BE1-BBE3-552404E22432');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
 DeleteFile('C:\Users\Alexey\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\App Explorer','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432','64');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера.
 
Сделайте новые логи Автологгером. 

 

 

Здравствуйте!

 

Удалил App Explorer. Новые логи прикладываю.

 

После перезагрузки перестал запускаться эдж с рекламной страницей.

CollectionLog-2016.08.08-22.53.zip

Изменено пользователем Alexej_p
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

Прикрепите отчет к своему следующему сообщению.


 

Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

  •  
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.

 

 

Отчет AdwCleaner во вложении. Цифра в названии файла 2, так как первую проверку проводил, когда AdwCleaner был размещен не на рабочем столе, поэтому сделал вторую.

 

Нужно ли удалять те файлы, который нашел AdwCleaner?

 

Что там с логами после удаления App Exporer?

AdwCleanerS2.txt

Изменено пользователем Alexej_p
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

Удалил. Отчет после удаления во вложении (C1).

Также провел сканирование после удаления. Отчет также прилагаю (S4).

 

Провел дополнительную проверку автологером на всякий случай. Прикладываю.

Что дльше?

AdwCleanerC1.txt

AdwCleanerS4.txt

CollectionLog-2016.08.10-00.46.zip

Изменено пользователем Alexej_p
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

 

Готово. Отчеты прикладываю.

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

CloseProcesses:

Task: {149B90FC-9F7E-47BE-BB58-378E0593B74A} - \Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432 -> No File <==== ATTENTION

C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:CloseProcesses:Task: {149B90FC-9F7E-47BE-BB58-378E0593B74A} - \Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432 -> No File <==== ATTENTIONC:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

Готово. Архива не было.

 

Еще хочу добавить, что с определенного момента ноутбук начал не всегда с первого раза уходить в сон (то есть, я отправляю его в сон, а он выключается и тут же включается). Это наблюдается не всегда, но уже порядка 3-4 раз сегодня было. Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы? Ранее такой проблемы не наблюдалось.

 

При этом заметил такую закономерность (хотя выводы делать нельзя, наверное, но все же): если отправляю ноут в сон с тачпада, то он уходит нормально, а если с мышки беспроводной, то не нормально, а так, как я писал выше. Проверял раз 5-7.

Fixlog.txt

Изменено пользователем Alexej_p
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

 

Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы?

Не думаю. Настройки электропитания проверьте. 

Ссылка на комментарий
Поделиться на другие сайты
Alexej_p Новичок

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

 

 

Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы?

Не думаю. Настройки электропитания проверьте. 

 

 

Хорошо.

Скажите, пожалуйста, а что в итоге с системой, чистая?) Нужно ли что-то еще делать?

Изменено пользователем Alexej_p
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Kashey
      Поймал шифровальщик LoKi Locker помогите пожалуйста
      Автор Kashey
      Добрый день только поставил чистый сервер 2012 r2, и в течении полу дня поймали шифровальщика, "Loki Locker", по неопытности просканил KRD и удалил все намеки на вирус, но проблема соответственно не решилась, переустановил ОС и опять ничего ))) Как бы и было это и было ясно с самого начало, но попытка не пытка ))) На других локальных дисках была очень важная информация.
      Помогите пожалуйста.
      ОС Переустанавливал
      Зашифрованные файлы.7z Far Bar result files.7z Файл с требованиями.7z
    • besdelnick
      Добрый день. Поймали шифровальщика по RDP. Помогите пожалуйста
      Автор besdelnick
      MS_AgentSigningCertificate.cer.rar
    • Namnayshka
      [РЕШЕНО] Помогите, пожалуйста удалить троян или составить fixlog
      Автор Namnayshka
      Помогите, пожалуйста, поймал где-то heur trojan multi genbadur и касперский не справляется сам. Говорит что для лечения надо перезагрузка и после нее опять через 5 минут выдает предлагаемое лечение, и так по кругу. 
      Addition.txt Fixlog.txt FRST.txt
    • miziios
      Помогите. Удалить троян
      Автор miziios
      Здрастуйте у меня проблема касперски видет троян и лежить иво потом через нескокдо времени он опять поевлятся иво
      названий trojan.multi.genautorunreg.a как удалить и он в System memory
    • qaee
      поймал троян на компьютер
      Автор qaee
      пытался скачать пиратскую игрушку в итоге скачал и забил через три дня виндовс дефендер пишет об угрозе в каратнтине я сразу удалил файл скачал касперский и проверил компьютер что дефендер что касперский говорят что все в норме угроз нет и все чисто признаков каких либо вирусов вообще не наблюдается просто начитался всяких форумов начал загоняться про скрытые вирусы,ратники и тд помогите пожалуйста,постоянная паранойя по этому поводу(( троян назывался trojan:Win32/Wacatac.!ml
      очень сильно загоняюсь что он остался в памяти или вовсе скрыт
×
×
  • Создать...