ContentProtector самовосстановление

[Romani]

Всем здравствуйте.
1. Программой adwcleaner_6.046 нашел два подозрительных файла-папки 
C:\Program Files\ContentProtector (такой папки нет, смотрел через проводник) и C:\WINDOWS\SysNative\drivers\ContentProtectorDrv.sys. Очистил с помощью этой же программы (лог прилагаю). После перезагрузки компа, опять она их находит.
2. Проверил комп Касперским сервис скан: нашел два трояна в опер памяти Trojan.Multi.GenAutorunTask.a и еще один в менеджере задач виндоус (Task32) примерно такое-же наименование, не записал.
3. Сделал лог программой AutoLogger с включением настроек по Методу лечения (лог прилагаю).
4. Проверил программой Kaspersky Virus Removal Tool - все чисто.
5. Прошелся adwcleaner_6.046 и опять эти два файла-папки C:\Program Files\ContentProtector и C:\WINDOWS\SysNative\drivers\ContentProtectorDrv.sys, причем в программах ничего подозрительного нет.
Помогите пожалуйста их удалить.
 

 

CollectionLog-2017.05.17-15.13.zip

AdwCleanerS2.rar

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\contentprotector\condefclean.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotector.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorupdate.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\libeay32.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nfregdrv.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\nspr4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\nss3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\plc4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\plds4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\smime3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\softokn3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\ssleay32.dll', '');
 QuarantineFileF('c:\program files\contentprotector', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\Program Files\contentprotector\condefclean.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotector.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorupdate.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\libeay32.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nfregdrv.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\ssleay32.dll', '32');
 DeleteFileMask('c:\program files\contentprotector', '*', true);
 DeleteDirectory('c:\program files\contentprotector');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

[Romani]

Ссылка на результаты анализа virusinfo

http://virusinfo.info/virusdetector/report.php?md5=EA6813B4E1C90E73E3B366DB7F20021F

 

Тема для обсуждения результатов анализа

http://virusinfo.info/showthread.php?t=212176

 

Получен ответ с номером: KLAN-6255185651

Повторный лог загрузил.

Спасибо за пояснения, я не очень сильный спец в этом.

CollectionLog-2017.05.17-17.20.zip

Изменено 17 мая, 2017 пользователем Romani

[regist]

Сделайте свежий лог adwcleaner-а.

[Romani]

Свежий лог adwcleane 

Файл с индексом С2

После перезагрузки компа опять запустил, файлы не удаляются

Лог с индексом С3

 

Сделайте свежий лог adwcleaner-а.

 

Подскажите пожалуйста, пришло письмо от Касперского, они не могут открыть архив карантина. Почему-то AVZ паролит все архивы?

Ссылка на результаты анализа virusinfo

http://virusinfo.info/virusdetector/report.php?md5=EA6813B4E1C90E73E3B366DB7F20021F

Переслал заново архив, т.к. первый почему-то был запаролен

 

Повторно не получается сделать скрипт, который вы написали. Вот лог ошибки

AdwCleanerC2.rar

AdwCleanerC3.rar

avz_log.txt

Изменено 17 мая, 2017 пользователем Romani

[regist]

 

 

Почему-то AVZ паролит все архивы?

Он паролит, но они его знают и прекрасно всегда распаковывают. Попробуйте ещё раз послать архив, либо через эту форму попробуйте virusdesk.kaspersky.ru/

 

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание.
   Если у вас установлены архиваторы
   WinRAR
   или
   7-Zip
   , то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание
   , что утилиты необходимо запускать от имени Администратора. По умолчанию в
   Windows XP
   так и есть. В
   Windows Vista
   и
   Windows 7
   администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать
   Запуск от имени Администратора
   , при необходимости укажите пароль администратора и нажмите
   "Да"
   .

5. Подробнее читайте в руководстве Как подготовить лог UVS.

 

[Romani]

Ответ по архиву от касперского

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В ходе проверки в автоматическом режиме не удалось распаковать архив. Пожалуйста, пришлите нам пароль, которым защищен ваш архив или создайте новый архив с паролем "infected" (без кавычек).
quarantine.zip
 

 

Лог uVS приложил.

А вы не смотрели файл отчет от virusinfo? Я ссылку прикреплял.

 

DESKTOP-7EGQF52_2017-05-17_19-11-15.7z

[regist]

 

 

создайте новый архив с паролем "infected" (без кавычек).

Попробуйте тогда папку Quarantine внутри папки AVZ заархивировать и отправить.

[Romani]

По вашей ссылке (virusdesk.kaspersky.ru/) проверил файл карантина, который отправлял по почте newvirus@kaspersky.com.

Отчет все чисто, ниже скрин приложен

[regist]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v4.0.4 [http://dsrt.dyndns.org]
   ;Target OS: NTv10.0
   v400c
   BREG
   ;---------command-block---------
   zoo %SystemDrive%\PROGRAM FILES (X86)\TORRENT SEARCH\IEEF\TNLSFMKPJXBX.DLL
   delall %SystemDrive%\PROGRAM FILES (X86)\TORRENT SEARCH\IEEF\TNLSFMKPJXBX.DLL
   delref %SystemDrive%\USERS\ROMA\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\17.3.6816.0313\FILESYNCSHELL.DLL
   delref %SystemDrive%\USERS\ROMA\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\17.3.6816.0313\AMD64\FILESYNCSHELL64.DLL
   delref %SystemDrive%\USERS\ROMA\APPDATA\LOCAL\TEMP\CHROME_BITS_5628_469\17.97.3_WIN_SOFTWAREREPORTER.CRX
   delref %SystemDrive%\USERS\ROMA\APPDATA\LOCAL\TEMP\HYD3B40.TMP.1484952165\HTA\3RDPARTY\FS.OCX
   delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\OFFICE16\OLICENSEHEARTBEAT.EXE
   apply
   
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
   

 

что с проблемой?
 

 

 

По вашей ссылке (virusdesk.kaspersky.ru/) проверил файл карантина, который отправлял по почте newvirus@kaspersky.com. Отчет все чисто, ниже скрин приложен

похоже и тут не смогли распаковать, попробуйте сами запаковать с указанным паролем, если опять не получится, то не надо .

Зараза в общем-то не новая и популярная.

[Romani]

 

создайте новый архив с паролем "infected" (без кавычек).

Попробуйте тогда папку Quarantine внутри папки AVZ заархивировать и отправить.

 

Не получается повторно сделать ваш скрипт, след папка карантин пустая. Лог ошибки добавил

 

 

что с проблемой?

После этого скрипта adwcleane показал, что все чисто. Спасибо большое вам.

Еще по наблюдаю

Спасибо вам большое

avz_log.txt

Изменено 17 мая, 2017 пользователем Romani

[regist]

 

 

Не получается повторно сделать ваш скрипт, след папка карантин пустая.

Наверно в карантин файлы не попали, тогда понятно почему они его смогли распаковать. Там просто нечего было распаковывать ))).

 

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

[Romani]

Все выполнил. пишет уязвимостей нет (кроме одной, которую знаю). рекомендации сделал. ещё раз спасибо.

Изменено 18 мая, 2017 пользователем Romani