Перейти к содержанию

Это проблема с вирусом VAULT?


Рекомендуемые сообщения

На рабочем столе начали появляться красные баннеры с предупреждением о малом количестве места для записи на жёсткий диск C:. После этого, открыв диспетчер задач, я обнаружил три активных процесса mshta.exe. Я завершил эти процессы в диспетчере задач. Потом просканировал компьютер программой Kaspersky Virus Removal Tool 2015. Затем записал программой AutoLogger журналы событий (логи). Далее просканировал компьютер программой Farbar Recovery Scan Tool. Получившиеся файлы результатов FRST.txt и Addition.txt заархивировал в файл FRST.txt and Addition.txt.rar. Был ли это вирус VAULT? Нужно ли запускать функцию Fix в программе Farbar Recovery Scan Tool, и с каким текстом алгоритма в файле fixlist.txt? Файлы архивов результатов работы программ: FRST.txt and Addition.txt.rar и CollectionLog-2016.10.26-20.47.zip я прикрепил к этому сообщению.

Ссылка на комментарий
Поделиться на другие сайты

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера.
 

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
 
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{1DADCF17-3807-4EF4-9F84-57194A52DE97}: NameServer = 37.10.116.203
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{3EC290EF-2B75-43F8-B0AB-5051AFF98DF6}: NameServer = 37.10.116.203
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{1DADCF17-3807-4EF4-9F84-57194A52DE97}: NameServer = 37.10.116.203
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{3EC290EF-2B75-43F8-B0AB-5051AFF98DF6}: NameServer = 37.10.116.203
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{533ECCAB-39FC-400D-8762-71858B036D6B}: NameServer = 37.10.116.203

 

 
Сделайте новые логи Автологгером.
Ссылка на комментарий
Поделиться на другие сайты

Текстовые логи не пакуйте в архив. 

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Ссылка на комментарий
Поделиться на другие сайты

Извините. Упустил о нежелательности архивировать лог-файлы. Прикрепил неархивированные лог-файлы к данному сообщению. Ответьте, пожалйста, если можете, это был вирус VAULT или нет?

Ссылка на комментарий
Поделиться на другие сайты

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:



CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
CloseProcesses:
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=128&systemid=488&v=n12521-397&apn_uid=1763121401534005&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1229272821-484763869-515967899-500 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=128&systemid=488&v=n12521-397&apn_uid=1763121401534005&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
OPR Extension: (CinemaLoad) - C:\Documents and Settings\Admin\Application Data\Opera Software\Opera Stable\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb [2014-05-11]
2015-08-15 14:54 - 2015-08-15 14:55 - 0138576 _____ () C:\Documents and Settings\Admin\Application Data\PnkBstrK.sys



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

Ссылка на комментарий
Поделиться на другие сайты

Восстановление системы включите. Смените все пароли. Данные восстанавливайте из резервных копий.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • svnfei
      Автор svnfei
      Вечером пришлось лечиться от вируса, все было сделано правильно и после перезагрузки возникли проблемы с отображением ярлыков на панели задач. Это касалось только телеграмма и параметры. И если телеграм удалось починить, то с параметрами до сих пор такие вот проблемы. 
      Главное в панели задач параметры - черный квадрат, но если смотреть через пуск, то там стандартная иконка шестеренки.
       
    • Вадим666
      Автор Вадим666
      По рдп не пускает на сервер пишет Попытка входа неудачна
      это с компа на котором делали чистку с других пк на него заходит без проблем, с этого же компа на котором проводилась чистка на другие сервера заходит проблема
      Также при копировании пароля и вставки его в пароль РДП сам текст задваивается. Пример копируем пароль 123456 вставляем его в место пароля для рдп получаем 123456123456  
    • Seiku2812
      Автор Seiku2812
      началось все с того что я скачал новые драйвера от нвидиа очень сильно снизилась производительность и я откатил на старые , на следующий день была опять проблема с производительностью как будто видеокарта не хочет работать на 100 процентов , в той же доте в лобби всегда было 240 стабильно сейчас 180(в игре падает фпс с 180 до 80) перепробовал много каких способов ничего не помогает , помогите решить проблему 
    • sasaks11
      Автор sasaks11
      Добрый день! Аналогичная ситуация с человеком в теме... Ещё было замечено что скачиваемые файлы на следующий день также повреждаются. Могу ли я решить проблему действуя по представленным здесь шагам или требуется индивидуальное решение?
      Сканирование проводилось с помощью встроенного в майкрософт 11 антивируса. Он ничего не обнаружил ни при полной проверке, ни при быстрой, ни при автономной проверке (Microsoft Defender).

       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Nickopol
      Автор Nickopol
      HEUR:Trojan.Win64.Miner.gen (так определил касперский). Как избавиться без переустановки винды? Создаёт папку в ProgramData типа paperprotector-1c42cf80-e801-4c6e-8375-3b7be1b4649c. paperprotector.exe - запускаемый файл 
×
×
  • Создать...