Найден вирус MEM:Trojan.Win32.Cometer.gen

[Ospeed]

Доброго времени суток.

 

Сегодня был найден в системе MEM:Trojan.Win32.Cometer.gen, была произведена попытка лечения с перезагрузкой системы. В итоге вирус не удален и в ОС выдало ошибка для нескольких файлов *.dll. Был создан файл отчета с помощью AVZ. Просьба подсказать, что делать с данной находкой?

 

Спасибо. С уважением Юрий.

KL_syscure.htm

KL_syscure.xml

KL_syscure.zip

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[Ospeed]

Выполнил.

CollectionLog-2016.10.27-13.08.zip

[Sandor]

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files (x86)\816F08E0-1451243105-11B2-8000-C898001D8EF0\knsj8ABD.tmpfs', '');
 DeleteFile('C:\Program Files (x86)\816F08E0-1451243105-11B2-8000-C898001D8EF0\knsj8ABD.tmpfs', '32');
 DeleteService('kykyjeky');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

• Скачайте AdwCleaner (by ToolsLib) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Ospeed]

Re: quarantine.zip [KLAN-5247759895]

 

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

quarantine.zip

Вредоносный код в файле не обнаружен.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

quarantine.zip

No malicious code was found in this file.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"


--------------------------------------------------------------------------------
From:
Sent: 10/27/2016 10:21:00 AM
To: newvirus@kaspersky.com
Subject: quarantine.zip




C уважением Юрий!

AdwCleanerS0.txt

Изменено 27 октября, 2016 пользователем mike 1
Почта пользователя удалена

[Sandor]

1.

• Запустите повторно AdwCleaner (by ToolsLib) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
  • Прокси
  • Политики IE
  • Политики Chrome

    и нажмите Ok.

• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Ospeed]

Готово

AdwCleanerS1.txt

Addition_27-10-2016 14.11.49.txt

FRST_27-10-2016 14.11.49.txt

Shortcut_27-10-2016 14.11.49.txt

AdwCleanerC0.txt

Изменено 27 октября, 2016 пользователем Ospeed

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
HKLM-x32\...\Run: [gmsd_ru_005010189] => [X]
HKLM-x32\...\Run: [rec_en_77] => [X]
HKU\S-1-5-21-1619444962-2728752746-1577978859-1000\...\Run: [pyshare] => regsvr32 /u "C:\Users\112233\AppData\Local\pytonshared\x64\pyshare64.dll" <===== ATTENTION
ShortcutTarget: SRS Premium Sound.lnk -> C:\Windows\Installer\{340BE65B-7621-4B0B-B0F9-DBCCD8D70887}\NewShortcut5_21C7B668029A47458B27645FE6E4A715.exe (No File)
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1619444962-2728752746-1577978859-1000 -> No Name - {3E1201F4-1707-409F-BB45-A5F192381DA0} -  No File
FF user.js: detected! => C:\Users\112233\AppData\Roaming\Mozilla\Firefox\Profiles\y18b1zen.default-1377271748051\user.js [2016-02-08]
FF NewTab: Mozilla\Firefox\Profiles\y18b1zen.default-1377271748051 -> hxxp://www.istartpageing.com/newtab/?type=nt&ts=1451245039&z=a8bfbc5a4a7d806430498b7gezbwdg3oazcw3eazbe&from=cmi&uid=SAMSUNGXHM641JI_S26XJ9BZA00820
FF Extension: (YouTube Video and Audio Downloader) - C:\Users\112233\AppData\Roaming\Mozilla\Firefox\Profiles\y18b1zen.default-1377271748051\Extensions\feca4b87-3be4-43da-a1b1-137c24220968@jetpack.xpi [2016-10-12]
CHR StartupUrls: Profile 1 -> "hxxp://www.istartpageing.com/?type=hp&ts=1451245039&z=a8bfbc5a4a7d806430498b7gezbwdg3oazcw3eazbe&from=cmi&uid=SAMSUNGXHM641JI_S26XJ9BZA00820"
OPR Extension: (Помощник) - C:\Users\112233\AppData\Roaming\Opera Software\Opera Stable\Extensions\cbbpicnbcjaeeenbmilcnaojfgnmlhhb [2016-10-11]
OPR Extension: (Quick Searcher) - C:\Users\112233\AppData\Roaming\Opera Software\Opera Stable\Extensions\ccodghgodlomliflnlkobciodlakmhmp [2015-12-22]
S2 LiveUpdateSvc; C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe [X]
2016-10-05 12:48 - 2016-07-02 13:11 - 00000000 ___HD C:\Users\112233\AppData\Local\1Wwd8BxEhCK8
2016-10-05 12:48 - 2015-11-20 02:34 - 00000000 ___HD C:\Users\112233\AppData\Local\UZtigV0Bn
Task: {A13E36C4-D5F9-4907-BEC7-9EDE395740CD} - System32\Tasks\Uninstaller_SkipUac_112233 => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
AlternateDataStreams: C:\Program Files\Common Files\System:BaJLLpDRYwTHwtfJO7iSwyBLRcABf [2174]
AlternateDataStreams: C:\Program Files\Common Files\System:J4x66Dyw9e0akU1CZhkN [2240]
AlternateDataStreams: C:\Users\112233\Cookies:5Yj6zADrGaERYY7GwhCxViR [1922]
AlternateDataStreams: C:\Users\112233\Local Settings:V1xelU2sFypACdq5CZ0YFLxy [1938]
AlternateDataStreams: C:\Users\112233\Local Settings:wa [146]
AlternateDataStreams: C:\Users\112233\AppData\Local:V1xelU2sFypACdq5CZ0YFLxy [1938]
AlternateDataStreams: C:\Users\112233\AppData\Local:wa [146]
AlternateDataStreams: C:\Users\112233\AppData\Local\1Wwd8BxEhCK8:0W2ainqCCpxK9nETLVuXhU [1964]
AlternateDataStreams: C:\Users\112233\AppData\Local\Application Data:V1xelU2sFypACdq5CZ0YFLxy [1938]
AlternateDataStreams: C:\Users\112233\AppData\Local\Application Data:wa [146]
AlternateDataStreams: C:\ProgramData\Microsoft:JvQYBiTDtv2dOXhsxfyMZA [2228]
AlternateDataStreams: C:\ProgramData\Microsoft:JZfUZtigwSxDJPzNO [2416]
AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxldtlfudivq`qsp`26hfm [0]
AlternateDataStreams: C:\Users\Все пользователи\Microsoft:JvQYBiTDtv2dOXhsxfyMZA [2228]
AlternateDataStreams: C:\Users\Все пользователи\Microsoft:JZfUZtigwSxDJPzNO [2416]
AlternateDataStreams: C:\Users\Все пользователи\Reprise:wupeogjxldtlfudivq`qsp`26hfm [0]
FirewallRules: [{2221D869-C476-4794-945E-7069313501DE}] => (Allow) C:\Users\112233\AppData\Local\Amigo\Application\amigo.exe
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Ospeed]

Готово

Fixlog.txt

[Sandor]

Что сейчас с проблемой?

[Ospeed]

Быстрая проверка проведена - проблем и угроз 0.

 

Сейчас идет полная проверка, она будет около 3-4 часов, по финалу напишу результат.

 

 

(не по теме вопрос: у меня не устанавливается одна программа, на этом форуме могут помочь с чисткой ее хвостов в системе?)

 

Спасибо

[Sandor]

по финалу напишу результат

Хорошо, ждем.

 

на этом форуме могут помочь

Да, в соседней ветке.

[Ospeed]

 

Хорошо, ждем.

Полная проверка показала 0 проблем.

 

Вопрос решен, большое спасибо за работу.

[Sandor]

Завершающие шаги:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню File (Файл) - выберите Uninstall (Деинсталлировать).
• Подтвердите удаление, нажав кнопку: Да.

Подробнее читайте в этом руководстве.

 

Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.