Перейти к содержанию
Правила раздела

Что-то пытается закинуть вирусный файл в папку гугл хрома

DeadAgain

Автор DeadAgain
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

DeadAgain Новичок

DeadAgain

Опубликовано
Опубликовано (изменено)

Это происходит уже больше недели, если не меньше. Антивирус удаляет файл, который появляется снова. Путь к этому файлу всегда один: C:\Users\gromerten\AppData\Local\Google\Chrome\User\Data\Default\Cache\f_00456a

Антивирус удаляет именно f_00456a, помечает его как Backdoor.PHP.Ajash.a 

Все предложенные программы я использовал, но так и не нашёл на компьютере то, что отвечает за создание или загрузку этого файла.  :nea:

CollectionLog-2017.01.22-17.15.zip

Изменено пользователем DeadAgain
Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

Драйверы NVidia надо скачивать с официального сайта, а не непонятно какую сборку.
 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 QuarantineFile('C:\Users\gromerten\AppData\Roaming\mystartsearch\UninstallManager.exe','');
 DeleteFile('C:\Windows\system32\Tasks\{7D411C8A-F7A3-4C99-BBE4-0A8DC238F8CC}','64');
 DeleteFile('C:\Users\gromerten\AppData\Roaming\mystartsearch\UninstallManager.exe','32');
  DeleteFile('C:\Windows\SYSWOW64\vulkaninfo.exe ',' ');
 DeleteFile('C:\Windows\SYSWOW64\vulkan-1.dll ',' ');
 DeleteFile('C:\Windows\system32\vulkaninfo.exe ',' ');
 DeleteFile('C:\Windows\system32\vulkan-1.dll',' ');
 DeleteFileMask('C:\Program Files (x86)\VulkanRT/ ','* ',true ,' ');
 DeleteDirectory('C:\Program Files (x86)\VulkanRT ',' ');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Online Scanner.
Порядок действий на портале Kaspersky Online Scanner::

1) Нажмите "Выбрать файл" и укажите путь к архиву.
2) После проверки нажмите на "Не согласиться с результатом", выберите "Получить уведомление о доставке файла" и укажите адрес своей электронной почты.
3) Нажмите "Отправить".

Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2-32 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O3-32 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
 
Сделайте новые логи по правилам (только пункт 2).
+
 
приложите лог FRST и AdwCleaner
 

http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=635158
http://forum.kasperskyclub.ru/index.php?showtopic=7611&do=findComment&comment=647696

Ссылка на комментарий
Поделиться на другие сайты
DeadAgain Новичок

DeadAgain

Опубликовано
  • Автор
Опубликовано (изменено)

Сделал всё по инструкции


Драйверы NVidia надо скачивать с официального сайта, а не непонятно какую сборку.
 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 QuarantineFile('C:\Users\gromerten\AppData\Roaming\mystartsearch\UninstallManager.exe','');
 DeleteFile('C:\Windows\system32\Tasks\{7D411C8A-F7A3-4C99-BBE4-0A8DC238F8CC}','64');
 DeleteFile('C:\Users\gromerten\AppData\Roaming\mystartsearch\UninstallManager.exe','32');
  DeleteFile('C:\Windows\SYSWOW64\vulkaninfo.exe ',' ');
 DeleteFile('C:\Windows\SYSWOW64\vulkan-1.dll ',' ');
 DeleteFile('C:\Windows\system32\vulkaninfo.exe ',' ');
 DeleteFile('C:\Windows\system32\vulkan-1.dll',' ');
 DeleteFileMask('C:\Program Files (x86)\VulkanRT/ ','* ',true ,' ');
 DeleteDirectory('C:\Program Files (x86)\VulkanRT ',' ');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Online Scanner.
Порядок действий на портале Kaspersky Online Scanner::

1) Нажмите "Выбрать файл" и укажите путь к архиву.
2) После проверки нажмите на "Не согласиться с результатом", выберите "Получить уведомление о доставке файла" и укажите адрес своей электронной почты.
3) Нажмите "Отправить".

Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2-32 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O3-32 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
 
Сделайте новые логи по правилам (только пункт 2).
+
 
приложите лог FRST и AdwCleaner
 

http://forum.kasperskyclub.ru/index.php?showtopic=7611#entry635158
http://forum.kasperskyclub.ru/index.php?showtopic=7611#entry647696

Всё сделал

CollectionLog-2017.01.22-22.04.zip

FRST.txt

Addition.txt

AdwCleanerS0.txt

Изменено пользователем DeadAgain
Ссылка на комментарий
Поделиться на другие сайты
DeadAgain Новичок

DeadAgain

Опубликовано
  • Автор
Опубликовано

Драйверы NVidia надо скачивать с официального сайта, а не непонятно какую сборку.

 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantine;
 QuarantineFile('C:\Users\gromerten\AppData\Roaming\mystartsearch\UninstallManager.exe','');
 DeleteFile('C:\Windows\system32\Tasks\{7D411C8A-F7A3-4C99-BBE4-0A8DC238F8CC}','64');
 DeleteFile('C:\Users\gromerten\AppData\Roaming\mystartsearch\UninstallManager.exe','32');
  DeleteFile('C:\Windows\SYSWOW64\vulkaninfo.exe ',' ');
 DeleteFile('C:\Windows\SYSWOW64\vulkan-1.dll ',' ');
 DeleteFile('C:\Windows\system32\vulkaninfo.exe ',' ');
 DeleteFile('C:\Windows\system32\vulkan-1.dll',' ');
 DeleteFileMask('C:\Program Files (x86)\VulkanRT/ ','* ',true ,' ');
 DeleteDirectory('C:\Program Files (x86)\VulkanRT ',' ');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7za.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал Kaspersky Online Scanner.
Порядок действий на портале Kaspersky Online Scanner::

1) Нажмите "Выбрать файл" и укажите путь к архиву.
2) После проверки нажмите на "Не согласиться с результатом", выберите "Получить уведомление о доставке файла" и укажите адрес своей электронной почты.
3) Нажмите "Отправить".

Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2-32 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O3-32 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
 
Сделайте новые логи по правилам (только пункт 2).
+
 
приложите лог FRST и AdwCleaner

 

http://forum.kasperskyclub.ru/index.php?showtopic=7611#entry635158

http://forum.kasperskyclub.ru/index.php?showtopic=7611#entry647696

Нужно ждать ответа от лаборатории, или есть ещё рекомендации?

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Nikita Paramonov
      [РЕШЕНО] Вирусный CAAService - Spyware.RedLineStealer
      Автор Nikita Paramonov
      Windows Defender обнаружил вирус CAAService (C:\ProgramData\CAAService\CAAService.exe), другой антивирус распознал это как Spyware.RedLineStealer.
      Я уже удалял его, он появился опять, хотелось бы максимально защититься от его выполнения и понять, что его создаёт, помогите, пожалуйста.
       
      Обычно вновь появляется при перезагрузке системы, в автозапуске подозрительного не нашел, разве что какой-то "LM", его отключил.
    • rancol347
      [РЕШЕНО] Появляются рекламные вирусы по мнению КВРТ в файлах расширений для хрома и называются bg.js. Хром не использую
      Автор rancol347
      Иногда проверяю компьютер КВРТ и он выдал 2 рекламных вируса/расширения. После лечения с перезагрузкой всё вроде нормально, но если через 2-3 дня проверить снова появляется 1-2 расширения (not-a-virus:HEUR:AdWare.js.extredirect.gen и ещё какой-то, но по названию самый обычный адварь). И могу ли запустить автологгер вместе с защитником виндовс? (я не понял как выгрузить) и компьютер теоретически должен выдержать.
    • Shooky27
      [РЕШЕНО] CHROMIUM.PAGE.MALWARE.URL? Хром закрывается сам по себе
      Автор Shooky27
      Заметил что при запуске Google Chrome он грузится ~ 10-15 секунд и закрывается, после повторного запуска браузер открывается без расширений (с предустановленным расширением PDF Viewer?) и из-за синхронизации расширения устанавливаются обратно.
      При сканировании антивирусом PRO32 ничего не выскакивает, сканировал все диски в том числе все папки на рабочем столе и ничего не нашло, Dr.Web Cureit находит упомянутый в заголовке CHROMIUM.PAGE.MALWARE.URL, но при попытке вылечить выскакивает "Ошибка при лечении".
      Пробовал исправить данную проблему с помощью AvBr, ADWcleaner, FRST. Пробовал даже скопировать скрипты с различных тем с такой же проблемой, но ничего не помогло. Также пробовал отключать синхронизацию, поскольку некоторые пользователи сталкивавшиеся с такой же проблемой ссылались на проблему синхронизации, но это тоже не помогло. 
      Логи прикрепляю.
      CollectionLog-2025.06.28-22.48.zip
    • SMyDer
      [РЕШЕНО] Скрытая папка в C:\Windows\Fonts\Mysql
      Автор SMyDer
      Здравствуйте. При запуске инженерного ПО вылетала ошибка (см. картинку).
      Короче говоря, все свелось к тому, что был запущен .bat файл из корневой папки ПО, который выдал в консоли сообщение:
      ****ASSERTION****: Unknown error occured iterating C:\Windows\Fonts\Mysql
      Прошерстил темы на форумах по данному вопросу, но везде понял, что подход индивидуальный. Помогите, пожалуйста. Вот мой лог.

      CollectionLog-2025.05.30-04.47.zip
    • Bionikal
      Вирус зашифровал папки с 1с базами
      Автор Bionikal
      Вирус зашифровал все файлы в папках, кроме файлов с расширением *.exe, в каждой папке создал файл #HowToRecover.txt ;расширение зашифрованных файлов *.1cxz
      #HowToRecover.txt Примеры зашифрованных файлов.rar
×
×
  • Создать...