Не могу удалить Trojan.Multi.GenAutorunBITS.a

[spaispower]

Не удаляется Trojan.Multi.GenAutorunBITS.a. Лечение с перезагрузкой по предложению Касперского не помогает

забыл логи в первом собщении

CollectionLog-2018.01.15-08.27.zip

[Sandor]

Здравствуйте!

 

Архив с логами неполный. Для выяснения причин сбоя:

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

var PathAutoLogger, CMDLine : string;

 begin
 clearlog;
 PathAutoLogger := Copy(GetAVZDirectory, 0, (Length(GetAVZDirectory)-4));
 AddToLog('start time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now)+#13#10+ PathAutoLogger);
 SaveLog(PathAutoLogger+'report3.log');
 if FolderIsEmpty(PathAutoLogger+'CrashDumps')
    then CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log" "' + PathAutoLogger + 'HiJackThis\HiJackThis*.log"'
    else CMDLine := 'a "' + PathAutoLogger + 'Report.7z" "' + PathAutoLogger + '\report*.log" "' + PathAutoLogger + 'CrashDumps\"';
     ExecuteFile('7za.exe', CMDLine, 0, 180000, false);
 AddLineToTxtFile(PathAutoLogger+'report3.log', '7z ReturnCode ' + IntToStr(GetLastExitCode)+#13#10+'end time ' + FormatDateTime('yyyy.mm.dd-hh:mm:ss', now));
 end.

архив Report.7z из папки с AutoLogger, пожалуйста, прикрепите к своему сообщению.

Утилиту запускайте ту, которая находится в папке ...\Autologger\AVZ

[spaispower]

прикрепляю архив с результатами скрипта

Report.7z

[regist]

Антивирус отключали? Попробуйте ещё раз собрать логи.

И по отчётам похоже, что вы одновременно два экземпляра сборщика логов запустили.

И лучше соберите этой версией Автологера.

[spaispower]

Антивирус выгрузил как написано в рекомендациях. Собрал логи вашей версией

CollectionLog-2018.01.15-17.46.zip

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\Intel\SUR\QUEENCREEK\task.vbs', '');
 QuarantineFile('C:\Users\spaispower\appdata\local\yc\application\yc.exe', '');
 QuarantineFileF('C:\Program Files\Intel\SUR\QUEENCREEK', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\users\spaispower\appdata\local\yc', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Users\spaispower\appdata\local\yc\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Users\spaispower\appdata\local\yc\application\yc.exe', '32');
 DeleteFileMask('c:\users\spaispower\appdata\local\yc', '*', true);
 DeleteFileMask('C:\Users\spaispower\appdata\local\yc\', '*', true);
 DeleteDirectory('C:\Users\spaispower\appdata\local\yc\');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

 

 

• Скачайте AdwCleaner и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

Изменено 15 января, 2018 пользователем regist

[spaispower]

 результаты анализа архива virusinfo - https://virusinfo.info/virusdetector/report.php?md5=C9E0DED567B6A070EC95F49079C7BA2A

 

файл quarantine.zip отправил на почту
 

также прикрепляю повторные логи и отчет AdwCleaner

CollectionLog-2018.01.15-19.59.zip

AdwCleanerS5.txt

[Sandor]

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Инструменты - Настройки отметьте дополнительно в разделе Сбросить:
  • Политики IE
  • Политики Chrome

    и нажмите Ok.

• Нажмите кнопку "Clean" ("Очистить") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[Cx].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[spaispower]

выполнил все рекомендации

AdwCleanerC4.txt

FRST.txt

Addition.txt

Shortcut.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  ProxyServer: [S-1-5-21-2125552753-4240433559-673886268-1001] => http=127.0.0.1:8888
  SearchScopes: HKU\S-1-5-21-2125552753-4240433559-673886268-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B9A248B59-A896-4C1F-A482-9F6D3616381B%7D&gp=811142
  SearchScopes: HKU\S-1-5-21-2125552753-4240433559-673886268-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B9A248B59-A896-4C1F-A482-9F6D3616381B%7D&gp=811142
  FF Homepage: Mozilla\Firefox\Profiles\pdrpo2vx.default-1497288070728 -> hxxp://mail.ru/cnt/10445?gp=811141
  FF Extension: (Домашняя страница Mail.Ru) - C:\Users\spaispower\AppData\Roaming\Mozilla\Firefox\Profiles\pdrpo2vx.default-1497288070728\Extensions\homepage@mail.ru.xpi [2017-12-12]
  FF Extension: (Mail.Ru) - C:\Users\spaispower\AppData\Roaming\Mozilla\Firefox\Profiles\pdrpo2vx.default-1497288070728\Extensions\search@mail.ru.xpi [2017-12-12]
  FF Extension: (Пульт) - C:\Users\spaispower\AppData\Roaming\Mozilla\Firefox\Profiles\pdrpo2vx.default-1497288070728\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7}.xpi [2017-12-12]
  CHR HomePage: Default -> inline.go.mail.ru
  Task: {AEC72437-EA30-42DC-86F8-262EE3B46C0F} - System32\Tasks\EZaaQSKZLYv => C:\Users\Алексей\AppData\Local\qFOAxrP.bat <==== ATTENTION
  Task: {F2912BEE-B4FC-4DEF-9F86-6194FD9322EC} - System32\Tasks\LQbRzjIMqN => C:\Users\Алексей\AppData\Local\tEbhgP.bat <==== ATTENTION
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[spaispower]

прикрепляю файл

Fixlog.txt

[Sandor]

Фикс достаточно было выполнить один раз. Что сейчас с проблемой?

[spaispower]

я сначала просто фикс сделал,а потом вспомнил что не от имени администратора выполнял его. Пока что вроде бы все нормально, антивирус не возмущается) благодарю)

[Sandor]

В завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню File (Файл) - выберите Uninstall (Деинсталлировать).
• Подтвердите удаление, нажав кнопку: Да.

Остальные утилиты лечения и папки, включая C:\FRST, можно просто удалить.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[spaispower]

держите

SecurityCheck.txt