Перейти к содержанию
Правила раздела

Вирус Trojan.Multi.GenAutorunReg.a

Зингер

Автор Зингер
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

MediaGet

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\fupdate\fupdate.exe', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\Host Service\launchall.js', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\PowerMonitor\PowerMonitor.exe', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFileF('c:\users\таисия\appdata\local\fupdate', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\таисия\appdata\local\host service', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\таисия\appdata\local\powermonitor', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\таисия\appdata\local\searchgo', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\iexplore.bat', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\fupdate\fupdate.exe', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\Host Service\launchall.js', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\PowerMonitor\PowerMonitor.exe', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\SearchGo\searchgo.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "PowerMonitor" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 DeleteFileMask('c:\users\таисия\appdata\local\fupdate', '*', true);
 DeleteFileMask('c:\users\таисия\appdata\local\host service', '*', true);
 DeleteFileMask('c:\users\таисия\appdata\local\powermonitor', '*', true);
 DeleteFileMask('c:\users\таисия\appdata\local\searchgo', '*', true);
 DeleteDirectory('c:\users\таисия\appdata\local\fupdate');
 DeleteDirectory('c:\users\таисия\appdata\local\host service');
 DeleteDirectory('c:\users\таисия\appdata\local\powermonitor');
 DeleteDirectory('c:\users\таисия\appdata\local\searchgo');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1922737816-938393194-3929228230-1001\Software\Microsoft\Windows\CurrentVersion\Run', 'Host Service');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1922737816-938393194-3929228230-1001\Software\Microsoft\Windows\CurrentVersion\Run', 'slrhhhfrad');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr.lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnеt Ехplоrеr Вrоwsеr.lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndех.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Зингер

Зингер

Опубликовано
  • Автор
Опубликовано

1. Ответ

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
launchall.js
launchall_0.js
localconfig.json
uninstall.exe
python.exe
python27.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

[KLAN-7035968105]

 

2. Отчет с логом от ClearLNK ClearLNK-25.10.2017_14-26.log

3. Была произведена повторный запуск Autologger, логи прилагаются - CollectionLog-2017.10.25-14.43.zip

4. Повторная проверка важных областей проблем не выявила.

Спасибо, огромное за помощь.

Sandor

Sandor

Опубликовано
Опубликовано

Не спешите.

  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Sandor

Sandor

Опубликовано
Опубликовано

1.

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • Нажмите кнопку "Scan" ("Сканировать").
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Зингер

Зингер

Опубликовано
  • Автор
Опубликовано
  • По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
    • Политики IE
    • Политики Chrome

      и нажмите Ok.

  • Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.

После Ок нет кнопки "Clean". Версия 7.0.3.1.

После установок соответствующих настроек, еще раз просканировал. AdwCleanerS2.txt

Sandor

Sandor

Опубликовано
Опубликовано

После Ок нет кнопки "Clean".

Нажимаете кнопку Ок, окно закрывается и в главном окне большая кнопка Clean (Очистить).

 

Вы прикрепили отчет повторного сканирования. Отчет об очистке содержит символ [C] в имени файла.

 

Делайте логи п.2

Sandor

Sandor

Опубликовано
Опубликовано

Вы упустили ключевое:

Запустите повторно AdwCleaner

По окончании повторного сканирования кнопка Сканировать меняется на Очистить.
Sandor

Sandor

Опубликовано
Опубликовано

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Host Service

MediaGet

Далее:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy\User: Restriction <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-1922737816-938393194-3929228230-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
SearchScopes: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BF525E9A9-3A90-4B16-B768-482A3047B52F%7D&gp=811014
Toolbar: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  No File
Toolbar: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF Extension: (Ask Toolbar) - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\fkdma48u.default\Extensions\toolbar@ask.com [2015-10-15] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\fkdma48u.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2015-01-22] [not signed]
2015-04-13 13:17 - 2014-12-22 21:16 - 000104776 ____H () C:\Users\Admin\AppData\Local\Yаndех.bаt.exe
2015-04-13 13:17 - 2014-07-22 14:00 - 000876328 ____H (Yandex LLC) C:\Users\Admin\AppData\Local\ВrоwsеrМаnаgеr.bаt.exe
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
Task: {3CC255F2-0747-452C-95FD-2ACC7CC66A58} - \Driver Booster SkipUAC (Admin) -> No File <==== ATTENTION
Task: {57E3BDAD-829A-4235-A481-24754A68270F} - \GameNet -> No File <==== ATTENTION
Task: {B3BBA90F-7BA8-4A57-9AD1-8D6BBAF1A355} - \{B8D2FDB4-CDD4-4874-9974-8DD9251C6EC0} -> No File <==== ATTENTION
Task: {B4A1993A-F6AE-480F-A11F-0C37E99A607A} - \{6845A7AF-B1E7-4F6C-91F3-54E03E2136CC} -> No File <==== ATTENTION
Task: {DAF9C7B6-3B71-4EB7-B2D6-245CB2152EC0} - \Uninstaller_SkipUac_Таисия -> No File <==== ATTENTION
AlternateDataStreams: C:\Windows:nlsPreferences [386]
AlternateDataStreams: C:\Users\Admin\AppData\Local\Temp:v0McsXsFdIEj2BFQk [2082]
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [165]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [165]
AlternateDataStreams: C:\Users\Таисия\AppData\Local\Temp:v0McsXsFdIEj2BFQk [1946]
EmptyTemp:
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...