Не удаляется Троянская программа MEM:Trojan.Win32.Adject.gen

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
zip:C:\Windows\System32\Drivers\vcdrom.sys;C:\Windows\system32\drivers\UefGdstor.sys
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. На Рабочем столе будет создан файл вида Дата_Время.zip. Пожалуйста, выложите его на https://sendspace.com и пришлите ссылку мне в личные сообщения.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Valor]

Всё сделал.

[Valor]

Есть ли новости?

[thyrex]

Пока нет

[thyrex]

vcdrom.sys_ - Trojan.Win64.Agent.kxf

UefGdstor.sys_ - Trojan.Win64.Winsecsrv.d

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
R2 UefGdstor; C:\Windows\system32\drivers\UefGdstor.sys [182120 2010-11-21] () [File not signed] <==== ATTENTION
C:\Windows\system32\drivers\UefGdstor.sys
R1 WiserIso; C:\Windows\System32\Drivers\vcdrom.sys [25432 2016-12-27] () <==== ATTENTION
C:\Windows\System32\Drivers\vcdrom.sys
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Valor]

День добрый, всё сделал.

Fixlog.txt

[thyrex]

Что с проблемой?

[Valor]

К моему огромному сожалению KIS все равно видит троян и пытается его убить с перезагрузкой, но результат пока нулевой.

[thyrex]

После очистки отчетов антивируса и повторной проверки ситуация не меняется?

Срабатывание идет даже если браузер не запущен?

[regist]

@Valor, Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,      

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание.
   Если у вас установлены архиваторы
   WinRAR
   или
   7-Zip
   , то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание
   , что утилиты необходимо запускать от имени Администратора. По умолчанию в
   Windows XP
   так и есть. В
   Windows Vista
   и
   Windows 7
   администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать
   Запуск от имени Администратора
   , при необходимости укажите пароль администратора и нажмите
   "Да"
   .

   
   

 

[Valor]

Компьютер недоступен по вечера субботы. Как только получу доступ- отпишу результат.

[Valor]

Так последовательность действий: 

1) Включаем компьютер ( шнур сети вытащен) . KIS видит троян, нажимает лечить - лечит. При повторной проверке не видит.

2) Перезагружаем пк, повторно делаем проверку - ничего не видим. Вставляем шнур сети, через 2 минуты делаем проверку и тут же KIS вновь видит троян. Предлагает лечить с перезагрузкой, после перезагрузки повторяем по кругу.

3) Скачали последний на 30.04 Cure it, AVZ, KVRT.

4) Отключили шнур сети. KIS лечит троян без попытки перезагрузки. повторно поиск ничего не находит. Cure it ничего не находит. Malwarebytes Ничего не находит. KVRT ничего не находит. AVZс тоже самое.

5) Перезагружаем пк. Вновь проверка KIS - Ничего.  вставляем шнур сети. Сразу включаем проверку KIS - вновь троян тут как тут. При этом не браузер , ничего не включаем.

 

 

Проверил все AutorunsVTchecker - ничего. Приложил образ что выдал  Universal Virus Sniffer (uVS)

Все программы запущены от админа.

COMPUTER2_2018-04-30_14-29-03.7z

Изменено 30 апреля, 2018 пользователем Valor

[regist]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v4.0.11 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.1
   v400c
   BREG
   ;---------command-block---------
   zoo %SystemDrive%\PROGRAM FILES (X86)\AMLYRCNLUIE\DBMQYHEMEW.EXE
   delall %SystemDrive%\PROGRAM FILES (X86)\AMLYRCNLUIE\DBMQYHEMEW.EXE
   deldir %SystemDrive%\PROGRAM FILES (X86)\AMLYRCNLUIE
   delref F:\SDI_AUTO.BAT
   delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\YIX1Z5BA.DEFAULT\EXTENSIONS\{A38384B3-2D1D-4F36-BC22-0F7AE402BCD7}
   delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\YIX1Z5BA.DEFAULT\EXTENSIONS\SOVETNIK@METABAR.RU.XPI
   delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\YIX1Z5BA.DEFAULT\EXTENSIONS\HOMEPAGE@MAIL.RU
   delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\YIX1Z5BA.DEFAULT\EXTENSIONS\SEARCH@MAIL.RU
   delref HTTPS://MAIL.RU/CNT/11956636?FR=FFHP1.0.3&GP=811021
   delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MAIL.RU\AGENT\MAGENT.EXE
   delref E:\DISKMENU.EXE
   delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\HELPER@SAVEFROM.NET.CRX
   delref {7558B7E5-7B26-4201-BEDB-00D5FF534523}\[CLSID]
   delref JSZIP SHELL EXTENSION\[CLSID]
   delref {9A0700D2-920A-4E52-8697-9B5230C92612}\[CLSID]
   delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
   delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
   delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
   delref {5C551008-A347-4DB3-AF48-014076FD2B46}\[CLSID]
   delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {8AD9C840-044E-11D1-B3E9-00805F499D93}\[CLSID]
   delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
   delref {C83C8499-99FF-4276-8CFD-6467362F6A1E}\[CLSID]
   delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
   delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
   delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
   delref %Sys32%\DRIVERS\VDIYNJA3.SYS
   apply
   
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
   
   Если архив отсутствует, то
   заархивруйте папку ZOO
   с паролем
   virus
   .

7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

 

 

повторно делаем проверку - ничего не видим. Вставляем шнур сети, через 2 минуты делаем проверку и тут же KIS вновь видит троян. Предлагает лечить с перезагрузкой, после перезагрузки повторяем по кругу.

браузеры или какие-то другие программы при этом вы не открываете?

[Valor]

Всё сделал. Архив отправил в письме на указанный адрес с темой - линком на эту тему.

 

Нет, браузеры или какие-то другие программы при этом не открываются.

 

Примечательно : Полная проверка KIS начала видеть в  recycle диск с

vcdrom.sys_ - Trojan.Win64.Agent.kxf

UefGdstor.sys_ - Trojan.Win64.Winsecsrv.d

[thyrex]

Что в этих папках

C:\Users\User\AppData\Local\IntInfApp
C:\Users\User\AppData\Local\instbr
C:\Users\User\AppData\Local\InternetInformationService

 

?