Перейти к содержанию
Правила раздела

Вирус создающий много файлов в папке tmp

vitek43

От vitek43
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

vitek43 Новичок

vitek43

Опубликовано
Опубликовано

Добрый день!
Открыл файл exe, скачанный из интернета - стали появляться различные ярлыки на мэйл ру на рабочем столе и на панели задач. Завершил все лишние процессы и удалил их - теперь не появляются, но постоянно вылезают новые процессы со странными названиями, например: 19FE.tmp 
В папке tmp появляются всё новые пустые папки с названиями типа "Rar$EXa0.431" Microsoft Security постоянно перемещает на карантин трояны win32/mupad.a и высвечивает окно "действия не требуются". Мэйл.ру становится поиском по умолчанию+раз в 30 минут самопроизвольно открывается ссылка на различную рекламу. Логи от 14.01 во вложении.
Заранее благодарю вас за помощь!

CollectionLog-2017.01.14-22.53.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

ScreenUp

Video and Audio Plugin UBar

Youtube AdBlock

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('d:\tmp\e.exe');
 TerminateProcessByName('C:\Users\Виктор-Анна\AppData\Roaming\System\svchost.exe');
 QuarantineFileF('c:\users\виктор-анна\appdata\local\fupdate', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFileF('c:\users\виктор-анна\appdata\local\filterstart', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFileF('c:\program files (x86)\screenup', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('d:\tmp\e.exe', '');
 QuarantineFile('C:\Users\Виктор-Анна\AppData\Roaming\System\svchost.exe', '');
 QuarantineFile('C:\Users\Виктор-Анна\AppData\Local\fupdate\fupdate.exe', '');
 QuarantineFile('C:\Users\Виктор-Анна\AppData\Local\FilterStart\FilterStart.exe', '');
 QuarantineFile('C:\Users\Виктор-Анна\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFile('C:\Users\Виктор-Анна\AppData\Local\svshost\svshost.exe', '');
 QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe', '');
 QuarantineFile('d:\tmp\1694.tmp.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Language Command Helper" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "svshost" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Trusted Private Helper" /F', 0, 15000, true);
 DeleteFile('d:\tmp\1694.tmp.exe');
 DeleteFile('d:\tmp\e.exe', '32');
 DeleteFile('C:\Users\Виктор-Анна\AppData\Roaming\System\svchost.exe', '32');
 DeleteFile('C:\Users\Виктор-Анна\AppData\Local\fupdate\fupdate.exe', '32');
 DeleteFile('C:\Users\Виктор-Анна\AppData\Local\FilterStart\FilterStart.exe', '32');
 DeleteFile('C:\Users\Виктор-Анна\AppData\Local\SearchGo\searchgo.exe', '32');
 DeleteFile('C:\Users\Виктор-Анна\AppData\Local\svshost\svshost.exe', '32');
 DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe', '32');
 DeleteFileMask('c:\users\виктор-анна\appdata\local\fupdate', '*', true);
 DeleteFileMask('c:\users\виктор-анна\appdata\local\filterstart', '*', true);
 DeleteFileMask('c:\program files (x86)\screenup', '*', true);
 DeleteDirectory('c:\users\виктор-анна\appdata\local\fupdate');
 DeleteDirectory('c:\users\виктор-анна\appdata\local\filterstart');
 DeleteDirectory('c:\program files (x86)\screenup');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mhbpmzrdsa');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','bvbkhyghre');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\NSSM','EventMessageFile');
 DeleteService('clr_optimization_v1.03');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

move.gif

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на комментарий
Поделиться на другие сайты
vitek43 Новичок

vitek43

Опубликовано
  • Автор
Опубликовано

Подскажите пожалуйста после сканирования в AdwCleaner  нужно ли нажимать кнопку очистить?

Все отчеты во вложении. СПАСИБО!

ClearLNK-17.01.2017_19-24.log

AdwCleanerS0.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
vitek43 Новичок

vitek43

Опубликовано
  • Автор
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

 

Отчеты во вложении. На этом все, я так понимаю?

Addition.txt

AdwCleanerC0.txt

FRST.txt

Shortcut.txt

Ссылка на комментарий
Поделиться на другие сайты
vitek43 Новичок

vitek43

Опубликовано
  • Автор
Опубликовано

Что сейчас с проблемой?

 

Пока всё в порядке, реклама больше не выскакивает, лишние процессы вроде тоже исчезли.

Большое спасибо за помощь!!!

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

В завершение:

1.

  • Пожалуйста, запустите adwcleaner.exe
  • В меню File (Файл) - выберите Uninstall (Деинсталлировать).
  • Подтвердите удаление, нажав кнопку: Да.
Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты
vitek43 Новичок

vitek43

Опубликовано
  • Автор
Опубликовано

В завершение:

1.

  • Пожалуйста, запустите adwcleaner.exe
  • В меню File (Файл) - выберите Uninstall (Деинсталлировать).
  • Подтвердите удаление, нажав кнопку: Да.
Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

 

SecurityCheck.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------

Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Автоматическое обновление отключено

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.4.9.43085 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

-------------------------------- [ Java ] ---------------------------------

Java 8 Update 111 (64-bit) v.8.0.1110.14 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u121-windows-x64.exe)^

------------------------------- [ Browser ] -------------------------------

Tor Browser 5.5.8 v.5.5.8 Внимание! Скачать обновления

 

 

Прочтите и выполните Рекомендации после удаления вредоносного ПО

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • shinra
      Вирус-майнер который создал, заблокировал и скрыл папки всех существующих антивирусников по типу Malwarebytes, RogueKiller и т.д.
      От shinra
      Здравствуйте! Очень нужна помощь. 
      adw не сканит, dr веб утиль тоже не находит. 
      Rouge Killer последняя надежда но не могу его установить по ошибке 5 отказ в доступе. Прилагаю логи от FRST  но совсем не разбираюсь что вносить.
      FRST.txt Addition.txt
    • Ammorf
      Kaspersky Security Center: Не создается файл отчета в PDF
      От Ammorf
      OS - Windows Server 2012, установлены .NET Framework 3.5 и 4.8
      KSC - 14.2.0.26967

      При попытке выгрузки отчета в формате pdf возникает ошибка "Не удалось создать отчет. Unspecified error".
      Ошибка возникает только при попытке выгрузки на самом сервере, если делать через консоль на обычной win 10 машине - все ок.
      Однако из-за того, что он не может делать это на сервере - он так же не может их отправлять по почте или класть в папку в соответствии с расписанием. 
      В логах "Kaspersky Event log", "Kaspersky Security" и системных логах не создается ничего при воспроизведении такой ошибки.
      Правка реестра (HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Nls\CodePage) со сменой локализации не помогает, к тому же изначально была установлена правильная  1251.
      .NET Framework 3.5 и 4.8 - установлен

    • Freudis
      Вирусы под систем файлами
      От Freudis
      После недавно установленного zip файла компьютер начал тупить, нагреваться и шуметь. Данный файл не запрашивал права администратора да и сам файл я не запускал. Проверял компьютер куреитами, ничего не нашли. Один касперский обнаружил 1 файл, но этот файл был под именем систем файла, точный файл не знаю, но в процессе лечения после перезагрузки я решил открыть диспетчер задач, выявило ошибку "нет доступа или администратор запретил доступ". Решил запустить хоть гугл, та же ошибка. Перевзловнованный выдернул из розетки включатель компьютера, доступ ко всему вернулся, касперский ничего не сделал, но после этого компьютер начал нагреваться и в один момент очень сильно зашумел, я начал подозревать что есть вирусы под именем системных файлов, ведь зная касперский, лишь он нашёл 1 вирус и именно при его удалении с перезагрузкой доступ пропал к приложениям. Перерыл интернет, ноль информации. Но и заканчивать работу каких нибудь svchost.exe или подобное я очень боюсь. Решил обратиться за помощью к единственному кто нашёл этот вирус. Помогите, пожалуйста.
      У меня windows 10
       
    • Сергѣй
      Как удалить/исцелить файлы в корневой папке андроида 13?
      От Сергѣй
      Использую сбербанк онлайн с встроенным антивирусом Касперского, который находит 2 файла с троянами в корневой папке, но удалить их не может, как решить эту задачу?





    • Mrak
      Как с помощью Siri создать задачи в Google tasks
      От Mrak
      Всем привет!
       
      Подскажите пожалуйста, как с помощью Siri создать задачу в Google tasks?
       
      Мотивировка:
      Голосовой помощник идеально справляется с добавлением задач (напоминаний) во встроенные напоминания. Говоришь: привет сири, напомни мне завтра сходить за хлебом в 14 часов. Будет создано напоминание. Можно сказать "добавь в семейные напоминания на завтра сходить за хлебом". И он добавит в синхронизируемые общие напоминания семьи, чтобы кто-то сходил. В мире обеспеченных людей всё это должно работать идеально, ведь напоминания синхронизируются на всех устройствах эпл. Но на работе комп с виндой. Нет на нём эпловских напоминаний. Зато есть гугловый календарь и задачи. Они работают и на айфоне. И календарь идеально синхронизируется с айфоном (просто пользуешься учёткой гугла во встроенном календаре). Однако, с задачами так не выйдет. Ручками добавляются. Через гугл календарь добавляются. А голосом по любому быстрее. Прям намного. Раз этак в 10. Поэтому хочется научиться голосом на айфоне создавать задачи в гугл календаре. Если это технически возможно, конечно. Прошу помощи. 
       
×
×
  • Создать...