Как удалить MEM:Trojan-Spy.Win32.Agent.gen.

[Doblovod]

Лог

CollectionLog-2018.02.26-12.25.zip

[Sandor]

Настройки антивируса сделайте так, как описано в этой статье - https://support.kaspersky.ru/13639Затем обновите базы продукта и запустите Быструю проверку. Найденные угрозы удалите (лечение активного заражения с перезагрузкой).

Это еще не делали?

[Doblovod]

Сейчас этим занимаюсь

Быстрая проверка показала что угроз нет

[Sandor]

Еще раз, пожалуйста, соберите CollectionLog.

[Doblovod]

Лог

CollectionLog-2018.02.26-13.24.zip

[Sandor]

Быстрая проверка показала что угроз нет

Через час-полтора еще раз обновите базы антивируса и сделайте полную проверку.

Результат сообщите.

[regist]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v4.0.10 [http://dsrt.dyndns.org]
   ;Target OS: NTv10.0
   v400c
   BREG
   ;---------command-block---------
   bl 44E5F236E1850924B331080A67E09D0B 196520
   zoo %Sys32%\DRIVERS\CFIDSK.SYS
   delall %Sys32%\DRIVERS\CFIDSK.SYS
   delref %SystemDrive%\USERS\￐ﾚ￑ﾀ￐ﾰ￐ﾲ￑ﾇ￐ﾵ￐ﾽ￐ﾺ￐ﾾ\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\BROWSER.EXE
   bl B5EF8DC1FB7026FB4EB0E6477452BC61 505856
   zoo %SystemDrive%\USERS\КРАВЧЕНКО\APPDATA\LOCAL\TEMP\FCYCDDIG.EXE
   delall %SystemDrive%\USERS\КРАВЧЕНКО\APPDATA\LOCAL\TEMP\FCYCDDIG.EXE
   bl 12F076B223960034B10BDF28AF61EC1E 570960
   zoo %SystemDrive%\TIEM.TXT
   delall %SystemDrive%\TIEM.TXT
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\ASUS SMART GESTURE\ASTPCENTER\X64\ASUSTPCONFIGURE64.EXE
   delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\ASUS SMART GESTURE\INSTALL\X64\ASUSSGPLUSWMPPLUGIN64.DLL
   delref %SystemDrive%\PROGRAM FILES (X86)\ASUS\ASUS SMART GESTURE\INSTALL\X86\ASUSSGPLUSWMPPLUGIN.DLL
   delref {19916E01-B44E-4E31-94A4-4696DF46157B}\[CLSID]
   delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
   delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
   delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
   delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
   delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
   apply
   
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
   
   Если архив отсутствует, то
   заархивруйте папку ZOO
   с паролем
   virus
   .

7. Полученный архив отправьте на почту , укажите  в письме ссылку на тему, в которой просили прислать файлы.
   

 

+ сделайте свежий образ автозапуска.

[Doblovod]

Что такое свежий образ автозапуска?

[Sandor]

Лог uVS заново соберите.

[Doblovod]

Лог

DESKTOP-OB8QFI9_2018-02-26_16-22-36.7z

[regist]

что с проблемой?

 

+

• Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО
• Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
• Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:

  ;uVS v4.0.10 [http://dsrt.dyndns.org]
  ;Target OS: NTv10.0
  v400c
  BREG
  zoo %Sys32%\DRIVERS\ADHGQAWBX.SYS
  zoo %Sys32%\DRIVERS\KFKIGNMWU.SYS
  zoo %Sys32%\DRIVERS\CRBKMOFFX.SYS
  zoo %Sys32%\DRIVERS\LJIQKMEL.SYS
  zoo %Sys32%\DRIVERS\XCTPISDRS.SYS
  zoo %Sys32%\DRIVERS\ZELJBDOTY.SYS
  zoo %Sys32%\DRIVERS\KMJYSFUZO.SYS
  bl B5EF8DC1FB7026FB4EB0E6477452BC61 505856
  zoo %SystemDrive%\USERS\КРАВЧЕНКО\APPDATA\LOCAL\TEMP\AABXOTBY.EXE
  delall %SystemDrive%\USERS\КРАВЧЕНКО\APPDATA\LOCAL\TEMP\AABXOTBY.EXE
  czoo
  restart

• В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
• Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
• После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

  Если архив отсутствует, то заархивруйте папку ZOO

  с паролем virus.
• Полученный архив отправьте на почту , укажите  в письме ссылку на тему, в которой просили прислать файлы.

Изменено 26 февраля, 2018 пользователем regist

[Doblovod]

Обновил базы касперского, выполняю полную проверку

 

 

[regist]

 

 

Обновил базы касперского, выполняю полную проверку

Достачно быстрой проверки. Если что найдёт, то выполните лечение с перезагрузкой.

 

И в любом случае даже если поможет выполните скрипт и пришлите карантин.

[regist]

@Doblovod, карантин выкладывать в теме запрещено. Я не просто так его удалил.

Достачно, что вы его прислали на почту.

 

И про результаты проверки вы не написали. Касперский по прежнему не может справиться с вирусом?

[Doblovod]

Извините, а я думаю, вроде же прикрепил, а он исчез.

 

Касперский обнаруживает trojan-downloader.win32.agent.hhqm.

Лечит с перезагрузкой, но он опять появляется.