Не удаляется trojan.multi.genautoruntask.a

[Meffistoffel89]

Здравствуйте! Я столкнулся со следующей проблемой, мой антивирус Kaspersky Total Security начал обнаруживать угрозы, но не может с ними справиться (trojan.multi.genautoruntask.a, trojan.multi.genautoruntask. . Вирусы не удаляются не при лечении без перезагрузки, не при лечении с перезагрузкой компьютера, но при попытке вылечить с перезагрузкой выскакивают ошибки "dll" и происходит перезагрузка ПК. Так же когда антивирус начал обнаруживать угрозы у меня перестал работать диспетчер задач, при попытке запустить диспетчер выскакивает ошибка "Windows не удается получить доступ к указанному устройству, пути или файлу. Возможно, у вас нет нужных разрешений для доступа к этому объекту." В остальном система пока работает нормально, других ошибок/сбоев не замечал.

 

P.S. У меня уже был установлен AVZ поэтому предоставляю логи с него, но если надо могу переделать другой программой.

KL_syscure.zip

Изменено 22 сентября, 2017 пользователем Meffistoffel89

[kmscom]

 

 

если надо могу переделать другой программой.

внимательно прочитайте и аккуратно выполните указания в теме «Порядок оформления запроса о помощи».

[Meffistoffel89]

Готово

 

 

 

CollectionLog-2017.09.22-21.33.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Advanced SystemCare 10 [20170811]-->"C:\Program Files (x86)\IObit\Advanced SystemCare\unins000.exe"

Это нежелательное ПО, деинсталируйте.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\fcbd.bat', '');
 QuarantineFile('C:\Users\meffi\AppData\Local\Temp\2229.tmp.node', '');
 QuarantineFile('C:\Users\meffi\Favorites\Links\Интернет.url', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\fcbd.bat', '32');
 DeleteFile('C:\Users\meffi\AppData\Local\Temp\2229.tmp.node', '32');
 DeleteFile('C:\Users\meffi\Favorites\Links\Интернет.url');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

[Meffistoffel89]

Ответ "newvirus@kaspersky.com" [KLAN-6855372560]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
fcbd.bat
2229.tmp.node
Интернет.url
Почта.url
Яндекс.url

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700 
http://www.kaspersky.com https://www.securelist.com"

 

 

Ссылка проверки http://virusinfo.info/virusdetector/report.php?md5=B26344A9EE8203299A85F80186A6E2E9

 

 

Новые логи

 

 

 

CollectionLog-2017.09.23-00.26.zip

[regist]

1) Эта папка вам знакома?

c:\programdata\cefunpacked\

2)
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ

begin
 ClearQuarantineEx(true);
 QuarantineFileF('c:\programdata\cefunpacked\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.

- Файл quarantine.zip из папки AVZ пришлите на почту , укажите  в письме ссылку на тему, в которой просили прислать файлы.

 

3) - Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Warcraft Public Test\World of Warcraft Public Test.lnk"        -> ["D:\System\Program Files\World of Warcraft Public Test\World of Warcraft Public Test Launcher.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Heroes of the Storm\Heroes of the Storm.lnk"        -> ["D:\System\Program Files\Heroes of the Storm\Heroes of the Storm.exe"]
>>>  "C:\Users\Default\AppData\Roaming\Microsoft\Windows\SendTo\TeamViewer.lnk"  -> ["C:\Program Files (x86)\TeamViewer\TeamViewer.exe"  =>> --sendto]
>>>  "C:\Users\meffi\AppData\Roaming\Microsoft\Windows\SendTo\TeamViewer.lnk"    -> ["C:\Program Files (x86)\TeamViewer\TeamViewer.exe"  =>> --sendto]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Sniper Elite Nazi Zombie Army 2\Открыть Coop-Land.ru.lnk"     -> ["D:\System\Program Files\Sniper Elite Nazi Zombie Army 2\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Sniper Elite Nazi Zombie Army 2\Руководство запуска по сети - Sniper Elite Nazi Zombie Army 2.lnk"    -> ["D:\System\Program Files\Sniper Elite Nazi Zombie Army 2\Site.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Sniper Elite Nazi Zombie Army 2\Открыть REVOLT.lnk"           -> ["D:\System\Program Files\Sniper Elite Nazi Zombie Army 2\Посетить REVOLT.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StarCraft\StarCraft.lnk"        -> ["D:\System\Program Files\StarCraft\StarCraft.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Zombie Army Trilogy\Открыть Coop-Land.ru.lnk"       -> ["D:\System\Program Files\Zombie Army Trilogy\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Zombie Army Trilogy\Руководство запуска по сети - Zombie Army Trilogy.lnk"        -> ["D:\System\Program Files\Zombie Army Trilogy\Site.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Zombie Army Trilogy\Открыть REVOLT.lnk"   -> ["D:\System\Program Files\Zombie Army Trilogy\Посетить REVOLT.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Dead Island GOTY Edition\Открыть Coop-Land.ru.lnk"  -> ["D:\System\Program Files\Dead Island GOTY Edition\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Dead Island GOTY Edition\Руководство запуска по сети - Dead Island GOTY Edition.lnk"        -> ["D:\System\Program Files\Dead Island GOTY Edition\Site.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Dead Island GOTY Edition\Открыть REVOLT.lnk"        -> ["D:\System\Program Files\Dead Island GOTY Edition\Посетить REVOLT.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Resident Evil 5 Gold Edition\Открыть Coop-Land.ru.lnk"        -> ["D:\System\Program Files\Resident Evil 5 Gold Edition\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Resident Evil 5 Gold Edition\Руководство запуска по сети - Resident Evil 5 Gold Edition.lnk"          -> ["D:\System\Program Files\Resident Evil 5 Gold Edition\Site.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Resident Evil 5 Gold Edition\Открыть REVOLT.lnk"    -> ["D:\System\Program Files\Resident Evil 5 Gold Edition\Посетить REVOLT.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Project Cars\Открыть Coop-Land.ru.lnk"    -> ["D:\System\Program Files\Project Cars\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Project Cars\Руководство запуска по сети - Project Cars.lnk"  -> ["D:\System\Program Files\Project Cars\Site.url"]
>>>  "C:\Users\meffi\Documents\American Truck Simulator\readme.rtf.lnk"          -> ["D:\System\Program Files\American Truck Simulator\readme.rtf"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Spintires\Открыть Coop-Land.ru.lnk"       -> ["D:\System\Program Files\Spintires\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Spintires\Руководство запуска по сети - Spintires.lnk"        -> ["D:\System\Program Files\Spintires\Site.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Trine - Enchanted Edition\Открыть Coop-Land.ru.lnk"           -> ["D:\System\Program Files\Trine - Enchanted Edition\Посетить Coop-Land.ru.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Coop-Land\Trine - Enchanted Edition\Руководство запуска по сети - Trine - Enchanted Edition.lnk"      -> ["D:\System\Program Files\Trine - Enchanted Edition\Site.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Movavi Video Editor 12\Movavi Video Editor 12.lnk"  -> ["C:\Program Files (x86)\Movavi Video Editor 12\VideoEditor.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Movavi Video Editor 12\Сайт Movavi Video Editor.lnk"          -> ["C:\Program Files (x86)\Movavi Video Editor 12\Movavi Video Editor 12.url"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Movavi Video Editor 12\Удалить Movavi Video Editor 12.lnk"    -> ["C:\Program Files (x86)\Movavi Video Editor 12\uninst.exe"]

4)

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание.
   Если у вас установлены архиваторы
   WinRAR
   или
   7-Zip
   , то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание
   , что утилиты необходимо запускать от имени Администратора. По умолчанию в
   Windows XP
   так и есть. В
   Windows Vista
   и
   Windows 7
   администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать
   Запуск от имени Администратора
   , при необходимости укажите пароль администратора и нажмите
   "Да"
   .

   
   

Подробнее читайте в руководстве Как подготовить лог UVS.

 

[Meffistoffel89]

Нет папка "c:\programdata\cefunpacked\" мне не знакома.

Файл "quarantine.zip" отправил, ссылку на тему указал.

 

Отчет о работе "ClearLNK"

 

Лог "UVS"

 

ClearLNK-23.09.2017_13-48.log

DESKTOP-8PU3PHT_2017-09-23_13-51-43.7z

[regist]

1) FREECODECPACK, Zona, DVDVideoSoft - деинсталируйте (попробуйте удалить своим IObit Uninstaller, а вообще не будее не советую продукты от IObit использовать).

2)

• Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
• Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
  

  ;uVS v4.0.10 [http://dsrt.dyndns.org]
  ;Target OS: NTv10.0
  v400c
  BREG
  dirzooex %SystemDrive%\PROGRAMDATA\CEFUNPACKED
  zoo %SystemDrive%\USERS\MEFFI\APPDATA\LOCAL\TEMP\CHROME_BITS_7412_13282\482_ALL_STHSET.CRX3
  delall %SystemDrive%\USERS\MEFFI\APPDATA\LOCAL\TEMP\CHROME_BITS_7412_13282\482_ALL_STHSET.CRX3
  deldir %SystemDrive%\PROGRAMDATA\CEFUNPACKED
  zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\DVDVIDEOSOFT\LIB\APP_UPDATER.EXE
  delref %SystemDrive%\USERS\MEFFI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\ENAFHPJMLNPMBDNBPJKIHMADNKFNPIIM\12.0.38_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
  delref %SystemDrive%\USERS\MEFFI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\HCADGIJMEDBFGCIEGJOMFPJCDCHLHNIF\12.0.28_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
  delref %SystemDrive%\USERS\MEFFI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BHJHNAFPIILPFFHGLAJCAEPJBNBJEMCI\12.0.23_0\ПОИСК MAIL.RU
  delref %SystemDrive%\USERS\MEFFI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\AOJOECKCMJGHLCHNNENFKBFLNDBEPJPK\8.22.5_0\ПОИСК И СТАРТОВАЯ — ЯНДЕКС
  delref HTTP://MAIL.RU/CNT/10445?GP=789106
  delref HTTP://GO.MAIL.RU/DISTIB/EP/?Q={SEARCHTERMS}&FR=NTG&PRODUCT_ID={C21F2191-B6FE-4DCC-B759-93116F7CC5BB}&GP=811142
  delref HTTP://MAIL.RU/CNT/10445?GP=811138
  delref HTTP://MAIL.RU/CNT/10445?GP=811141
  delref %SystemRoot%\SYSWOW64\MAPSUPDATETASK.DLL
  chklst
  delvir
  
  czoo
  restart
   

• В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
• Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
• После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
  

  Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.

• Полученный архив отправьте по адресу newvirus@kaspersky.com
  Полученный ответ сообщите здесь (с указанием номера KLAN).

3) Отпишитесь, что с проблемой?

[Meffistoffel89]

Ответ "newvirus@kaspersky.com" 

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
mail_ru_attachments.htm

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700 
http://www.kaspersky.com https://www.securelist.com"

 

 

Антивирус вроде перестал находить вредоносные программы и Диспетчер задач после запуска вашего скрипта и перезагрузки ПК запустился.

Я думаю что проблема была решена. На всякий случай проведу полную проверку антивирусом

Спасибо за помощь

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

[Meffistoffel89]

Хорошо, спасибо.