Подозрение на BitCoinMiner

[rustorkan]

Windows 7 64bit

 

http://rgho.st/private/6qTCkrsHD/10661d2aac52fc6dd0e3cd88cf9976e6

Отчет Dr.Web CureIt

 

P.S. На VirusInfo ответа не дождешься!

[Sandor]

Здравствуйте!

 

Лечение следует проводить в одном месте. Если решите здесь, там попросите тему закрыть.

[rustorkan]

Попросил.

[Sandor]

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Advanced SystemCare 10

Smart Defrag 5

Файл

c:\users\admin\desktop\21kmnjjr.exe

Вам известен?

 

Повторите CollectionLog, только без запущенного CureIt.

[rustorkan]

удалите нежелательное ПО

Удалил.

 

 

 

c:\users\admin\desktop\21kmnjjr.exe

Dr.Web CureIt

...

Изменено 27 июня, 2017 пользователем rustorkan

[Sandor]

Распишите подробнее чем вызвано Ваше подозрение.

 

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[rustorkan]

В диспетчере задач 3 непонятных процесса System.exe

Расположение C:\ProgramData\DirectX11b, C:\ProgramData\WindowsSQL, C:\ProgramData\Framework

На virustotal эти файлы определяются антивирусами Eset Nod 32 и Dr. Web как BitCoin Miner.

...

Изменено 27 июня, 2017 пользователем rustorkan

[Sandor]

На virustotal эти файлы определяются

Покажите ссылки.

 

Далее:

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
  • Политики IE
  • Политики Chrome

    и нажмите Ok.

• Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[rustorkan]

https://www.virustotal.com/ru/file/01c05f769a2018303f99c42ce112d715bfa62990fd4ff656474294f4187f5d41/analysis/1498567937/

https://www.virustotal.com/ru/file/d17ce79808fb6677a526c10a052ae21fafbc81502ffc091e8d039b2104d6bd5e/analysis/1498567960/

Изменено 27 июня, 2017 пользователем rustorkan

[regist]

Политики сами настраивали?

 

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.
 

[rustorkan]

Политики не настраивал.

[regist]

Выполните скрипт в uVS
 

;uVS v4.0.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
dirzooex %SystemDrive%\PROGRAMDATA\WINDOWSSQL
bl 78A0ACD6C99B1B9C70B112018404E2F7 83456
zoo %SystemDrive%\PROGRAMDATA\WINDOWSSQL\COM SURROGATE.EXE
delall %SystemDrive%\PROGRAMDATA\WINDOWSSQL\COM SURROGATE.EXE
deldir %SystemDrive%\PROGRAMDATA\WINDOWSSQL
;---------command-block---------
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\ADVANCED SYSTEMCARE ULTIMATE\ASC.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\DRIVER BOOSTER\4.2.0\DRIVERBOOSTER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\RAIDCALL.RU\RAIDCALL.EXE
bl D506921989872994B9C5615D4761882C 128288
zoo %Sys32%\IOBITSMARTDEFRAGEXTENSION.DLL
delall %Sys32%\IOBITSMARTDEFRAGEXTENSION.DLL
apply

czoo
restart

Установите и сделайте свежий лог сканирования MBAM и прикрепите. Он у вас, кстати, криво удалился. А тут на днях соседняя тема была как раз о том, что из-за криво удалённого MBAM система не загружалась

[rustorkan]

 

 

Выполните скрипт в uVS

Выполнил.

...

[Sandor]

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками все, кроме указанных ниже строк - нажмите "Поместить выделенные объекты в карантин" ("Quarantine Selected") - смотрите, что удаляете.

 

Подробнее читайте в руководстве.

 

Файл:
RiskWare.Tool.HCK, C:\USERS\ADMIN\APPDATA\LOCAL\TEMP\KG.EXE, Проигнорировано пользователем, [2262], [64690],1.0.2247
RiskWare.Tool.HCK, C:\USERS\1\DESKTOP\софтина\KEYMAKER.EXE, Проигнорировано пользователем, [2262], [64690],1.0.2247

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[rustorkan]

Некоторые файлы появляются после перезагрузки снова.