Не удаляется Trojan.Multi.GenAutorunTask.a

[MiklV]

Здравствуйте.
Стоит CRSYTAL 13.0.2.558(h). Начал находить в System Memory     "Trojan.Multi.GenAutorunTask.a".     После лечения и перезагрузки троян так же обнаруживается.  Как избавиться ?

Прикрепленные файлы:

 

CollectionLog-2017.06.07-09.43.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\globalUpdate\Update\Install\{07D327C8-4628-4942-9746-9767252D8950}\setup.exe','');
 QuarantineFile('C:\Documents and Settings\MiklV\Local Settings\Application Data\syslog\syslog.exe','');
 QuarantineFile('C:\Documents and Settings\MiklV\Local Settings\Application Data\svshost\svshost.exe','');
 QuarantineFile('C:\Program Files\Gherkadomijly\samerle.exe','');
 DeleteFile('C:\Program Files\Gherkadomijly\samerle.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\Grazerent Configuration.job','32');
 DeleteFile('C:\Documents and Settings\MiklV\Local Settings\Application Data\svshost\svshost.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\svshost.job','32');
 DeleteFile('C:\WINDOWS\Tasks\syslog.job','32');
 DeleteFile('C:\Documents and Settings\MiklV\Local Settings\Application Data\syslog\syslog.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\SystemSockets.job','32');
 DeleteFile('C:\Program Files\globalUpdate\Update\Install\{07D327C8-4628-4942-9746-9767252D8950}\setup.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\OOLnTjP824x.job','32');
 DeleteFile('C:\WINDOWS\Tasks\Update Service for VK OK AdBlock.job','32');
 DeleteFile('C:\WINDOWS\Tasks\Update Service for VK OK AdBlock2.job','32');
 DeleteFile('C:\WINDOWS\Tasks\Viqoght.job','
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[MiklV]

KLAN-6371425577

 

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
samerle.exe

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700
http://www.kaspersky.com http://www.viruslist.com"

 

Новые логи :

 

CollectionLog-2017.06.07-20.39.zip

 

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[MiklV]

Отчёты:

 

Отчёты.zip

[thyrex]

SpyHunter удалите через Установку программ

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
Task: C:\WINDOWS\Tasks\One System Care Task.job => C:\PROGRA~1\ONESYS~1\SystemConsole.exe <==== ATTENTION
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:44504F07 [122]
AlternateDataStreams: C:\Documents and Settings\MiklV\Рабочий стол\ru_01.pdf:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Documents and Settings\MiklV\Local Settings\Application Data\сhrоmе.bаt.exe:SummaryInformation [43]
AlternateDataStreams: C:\Documents and Settings\MiklV\Local Settings\Application Data\сhrоmе.bаt.exe:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
ShellExecuteHooks: No Name - {B1B972FE-F1AE-11E6-B4E5-64006A5CFC23} - C:\Documents and Settings\MiklV\Application Data\Herley\Plqerle.dll -> No File
ShellIconOverlayIdentifiers: [ DropboxExt10] -> {FB314EE2-A251-47B7-93E1-CDD82E34AF8B} => C:\Program Files\Dropbox\Client\DropboxExt.3.0.dll -> No File
ShellIconOverlayIdentifiers: [ DropboxExt9] -> {FB314EE1-A251-47B7-93E1-CDD82E34AF8B} => C:\Program Files\Dropbox\Client\DropboxExt.3.0.dll -> No File
Toolbar: HKLM - No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKLM - No Name - {95d44554-ceae-414b-80d5-464285c38738} -  No File
Toolbar: HKLM - Bing Bar - {8dcb7100-df86-4384-8842-8fa844297b3f} - "C:\Program Files\Microsoft\BingBar\7.1.355.0\BingExt.dll" No File
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO: No Name -> {95d44554-ceae-414b-80d5-464285c38738} -> No File
OPR Extension: (PhoenixGuard v2.0 - бесплатный антивирус) - C:\Documents and Settings\MiklV\Application Data\Opera Software\Opera Stable\Extensions\nkooappjeoniffjmoplbagpngedkckpl [2016-03-05]
OPR Extension: (__MSG_appName__) - C:\Documents and Settings\MiklV\Application Data\Opera Software\Opera Stable\Extensions\kbmbmoljonchdkbjgkioneippcfpnpmp [2016-09-01]
2017-06-07 00:13 - 2017-06-07 00:13 - 0000001 _RHOT () C:\Program Files\MPC Cleaner
2017-03-18 22:06 - 2017-03-18 22:06 - 0000001 _RHOT () C:\Program Files\OneSystemCare
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Program Files\OneSystemCare(2)
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Program Files\ScreenUp(2)
2016-04-26 16:08 - 2016-04-26 16:08 - 0000001 _RHOT () C:\Program Files\SpaceSoundPro
2016-04-26 16:08 - 2016-04-26 16:08 - 0000001 _RHOT () C:\Program Files\Twilight Tech
2016-09-24 03:22 - 2016-09-24 03:22 - 0000001 _RHOT () C:\Program Files\VK OK AdBlock
2016-09-24 03:22 - 2016-09-24 03:22 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Application Data\MCorp
2017-01-20 11:40 - 2017-01-20 11:40 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Application Data\Neiron
2017-03-18 22:06 - 2017-03-18 22:06 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Application Data\One System Care
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Application Data\One System Care(2)
2017-01-20 11:40 - 2017-01-20 11:40 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Application Data\phoenixguard
2014-09-01 12:18 - 2014-09-01 12:18 - 0001248 _____ () C:\Documents and Settings\MiklV\Application Data\QYKYJ
2013-04-05 03:04 - 2017-02-06 23:56 - 0014848 _____ () C:\Documents and Settings\MiklV\Local Settings\Application Data\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Local Settings\Application Data\FilterStart(2)
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Local Settings\Application Data\fupdate(2)
2013-04-18 22:56 - 2013-04-18 22:56 - 0000128 _____ () C:\Documents and Settings\MiklV\Local Settings\Application Data\fusioncache.dat
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Local Settings\Application Data\Kometa(2)
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Local Settings\Application Data\PowerMonitor(2)
2016-09-01 00:33 - 2016-09-01 00:33 - 0000001 _RHOT () C:\Documents and Settings\MiklV\Local Settings\Application Data\SearchGo(2)
2014-12-24 22:51 - 2015-04-05 00:54 - 0779792 ____H (The Chromium Authors) C:\Documents and Settings\MiklV\Local Settings\Application Data\сhrоmе.bаt.exe
2015-03-04 17:07 - 2015-11-24 20:05 - 0000018 ____H () C:\Documents and Settings\All Users\cVD
2015-03-10 03:02 - 2015-12-22 21:00 - 0000016 ____H () C:\Documents and Settings\All Users\iUt
2015-03-04 17:05 - 2017-03-12 22:33 - 0000024 ____H () C:\Documents and Settings\All Users\kjGfd
2015-03-04 17:20 - 2015-12-22 20:59 - 0000034 ____H () C:\Documents and Settings\All Users\klJhgf
2015-03-04 17:19 - 2015-12-22 20:58 - 0000019 ____H () C:\Documents and Settings\All Users\QwcR
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[MiklV]

Лог-файл :

 

Fixlog.txt

 

 

А что не так с SpyHunter ? Вчера только установил. Проблемная ?

[thyrex]

SpyHunter - полная чушь.

 

Что с проблемой?

[MiklV]

С Вашей помощью проблема исчезла !

Благодарю

[thyrex]

Загрузите SecurityCheck by glax24 и сохраните утилиту на Рабочем столе

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Скопируйте содержимое файла в свое следующее сообщение.

[MiklV]

SpyHunter удалил, видимо надо ещё что-то почистить.

 

SecurityCheck.txt

 

[thyrex]

--------------------------- [ OtherUtilities ] ----------------------------

Foxit Reader v.6.0.4.719 Внимание! Скачать обновления

^Локализованные версии могут обновляться позже англоязычных!^

TeamViewer 12 v.12.0.71503 Внимание! Скачать обновления

VLC media player v.2.2.4 Внимание! Скачать обновления

Microsoft Silverlight v.4.0.60310.0 Внимание! Скачать обновления

--------------------------- [ AdobeProduction ] ---------------------------

Adobe AIR v.3.8.0.870 Внимание! Скачать обновления

Adobe Flash Player 23 ActiveX v.23.0.0.205 Внимание! Скачать обновления

Adobe Reader XI (11.0.08) - Russian v.11.0.08 Внимание! Скачать обновления

^Проверьте обновления через меню Справка - Проверить обновления!^

---------------------------- [ UnwantedApps ] -----------------------------

One System Care v.4.4.0.3 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Элементы Яндекса 8.4 для Internet Explorer v.8.4.0.9140 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Чистилка v.2.16.141 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

 

выполните рекомендованное

[MiklV]

Ваши рекомендации выполнил, но, кроме:

AdobeReader - нет более новой версии для WinXP SP3,

а с Microsoft Silverlight американец что-то перемудрил (см. скрин).

 

 

Новый лог :

 

SecurityCheck.txt

[MiklV]

И вот что хочу добавить к выше сказанному :

что-то пошло не так с Malwarebytes AdwCleaner.

Находит несколько папок, предлагает удалить - соглашаюсь, после перезагрузки выдаёт лог с сообщением успешного удаления ...

Проверяю, - а папки не удалены.

Снова запускаю Malwarebytes AdwCleaner, - находит те же папки. "Удаляет", перезагрузка, отчёт и ... папки не удалены.

Если удалять вручную - нет проблем.

[regist]

Отчёт об удаление прикрепите.