Вирус Trojan.Multi.GenAutorunReg.a

[Зингер]

Помогите пож-та справиться с вирусом Trojan.Multi.GenAutorunReg.a. Kaspersky Endpoint Security 10 не справляется. Лог прилагаю.

CollectionLog-2017.10.25-14.02.zip

[Sandor]

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

MediaGet

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\fupdate\fupdate.exe', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\Host Service\launchall.js', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\PowerMonitor\PowerMonitor.exe', '');
 QuarantineFile('C:\Users\Таисия\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFileF('c:\users\таисия\appdata\local\fupdate', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\таисия\appdata\local\host service', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\таисия\appdata\local\powermonitor', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\таисия\appdata\local\searchgo', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\iexplore.bat', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\fupdate\fupdate.exe', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\Host Service\launchall.js', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\PowerMonitor\PowerMonitor.exe', '32');
 DeleteFile('C:\Users\Таисия\AppData\Local\SearchGo\searchgo.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "PowerMonitor" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 DeleteFileMask('c:\users\таисия\appdata\local\fupdate', '*', true);
 DeleteFileMask('c:\users\таисия\appdata\local\host service', '*', true);
 DeleteFileMask('c:\users\таисия\appdata\local\powermonitor', '*', true);
 DeleteFileMask('c:\users\таисия\appdata\local\searchgo', '*', true);
 DeleteDirectory('c:\users\таисия\appdata\local\fupdate');
 DeleteDirectory('c:\users\таисия\appdata\local\host service');
 DeleteDirectory('c:\users\таисия\appdata\local\powermonitor');
 DeleteDirectory('c:\users\таисия\appdata\local\searchgo');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1922737816-938393194-3929228230-1001\Software\Microsoft\Windows\CurrentVersion\Run', 'Host Service');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1922737816-938393194-3929228230-1001\Software\Microsoft\Windows\CurrentVersion\Run', 'slrhhhfrad');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Ярлыки

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr.lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnеt Ехplоrеr Вrоwsеr.lnk

C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndех.lnk

исправьте с помощью утилиты ClearLNK.

Отчет в виде файла ClearLNK-<Дата>.log прикрепите к следующему сообщению.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

[Зингер]

1. Ответ

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
launchall.js
launchall_0.js
localconfig.json
uninstall.exe
python.exe
python27.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

[KLAN-7035968105]

 

2. Отчет с логом от ClearLNK ClearLNK-25.10.2017_14-26.log

3. Была произведена повторный запуск Autologger, логи прилагаются - CollectionLog-2017.10.25-14.43.zip

4. Повторная проверка важных областей проблем не выявила.

Спасибо, огромное за помощь.

[Sandor]

Не спешите.

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Зингер]

Сделано.  AdwCleanerS0.txt

[Sandor]

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
  • Политики IE
  • Политики Chrome

    и нажмите Ok.

• Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Зингер]

• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
  • Политики IE
  • Политики Chrome

    и нажмите Ok.

• Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.

После Ок нет кнопки "Clean". Версия 7.0.3.1.

После установок соответствующих настроек, еще раз просканировал. AdwCleanerS2.txt

[Sandor]

После Ок нет кнопки "Clean".

Нажимаете кнопку Ок, окно закрывается и в главном окне большая кнопка Clean (Очистить).

 

Вы прикрепили отчет повторного сканирования. Отчет об очистке содержит символ [C] в имени файла.

 

Делайте логи п.2

[Зингер]

Шаг 1. 

 

Шаг 2. 

Логи от  FRST

1. FRST.txt

2. Addition.txt

3. Shortcut.txt

[Sandor]

Вы упустили ключевое:

Запустите повторно AdwCleaner

По окончании повторного сканирования кнопка Сканировать меняется на Очистить.

[Зингер]

Вот я балбес!.

Сделал AdwCleanerC0.txt

[Sandor]

Продолжайте, логи FRST.

[Зингер]

Продолжайте, логи FRST.

В сообщении 9.

[Sandor]

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Host Service

MediaGet

Далее:

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  GroupPolicy\User: Restriction <==== ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  CHR HKU\S-1-5-21-1922737816-938393194-3929228230-1000\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  SearchScopes: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
  SearchScopes: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
  SearchScopes: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BF525E9A9-3A90-4B16-B768-482A3047B52F%7D&gp=811014
  Toolbar: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  No File
  Toolbar: HKU\S-1-5-21-1922737816-938393194-3929228230-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
  FF Extension: (Ask Toolbar) - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\fkdma48u.default\Extensions\toolbar@ask.com [2015-10-15] [not signed]
  FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\fkdma48u.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2015-01-22] [not signed]
  2015-04-13 13:17 - 2014-12-22 21:16 - 000104776 ____H () C:\Users\Admin\AppData\Local\Yаndех.bаt.exe
  2015-04-13 13:17 - 2014-07-22 14:00 - 000876328 ____H (Yandex LLC) C:\Users\Admin\AppData\Local\ВrоwsеrМаnаgеr.bаt.exe
  ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
  ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
  Task: {3CC255F2-0747-452C-95FD-2ACC7CC66A58} - \Driver Booster SkipUAC (Admin) -> No File <==== ATTENTION
  Task: {57E3BDAD-829A-4235-A481-24754A68270F} - \GameNet -> No File <==== ATTENTION
  Task: {B3BBA90F-7BA8-4A57-9AD1-8D6BBAF1A355} - \{B8D2FDB4-CDD4-4874-9974-8DD9251C6EC0} -> No File <==== ATTENTION
  Task: {B4A1993A-F6AE-480F-A11F-0C37E99A607A} - \{6845A7AF-B1E7-4F6C-91F3-54E03E2136CC} -> No File <==== ATTENTION
  Task: {DAF9C7B6-3B71-4EB7-B2D6-245CB2152EC0} - \Uninstaller_SkipUac_Таисия -> No File <==== ATTENTION
  AlternateDataStreams: C:\Windows:nlsPreferences [386]
  AlternateDataStreams: C:\Users\Admin\AppData\Local\Temp:v0McsXsFdIEj2BFQk [2082]
  AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [165]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [165]
  AlternateDataStreams: C:\Users\Таисия\AppData\Local\Temp:v0McsXsFdIEj2BFQk [1946]
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Зингер]

Сделано. Fixlog.txt