Перейти к содержанию
Правила раздела
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

подозрение на mirai

abonchak

Автор abonchak
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

abonchak Постоялец

abonchak

Опубликовано
Опубликовано

Стоял антивирус касперского. Частично, некоторые файлы зловреда он удалял, но тот восстанавливался. Примерно через неделю касперкий перестал работать, предполагаю, что каким-то образом был заблокирован запуск процесса avp. Решил перустановить... Но во время установки антивирус ругается на вирус, который якобы мешает ему запустить процесс avp. AVZ, кстати, файлы вируса не видит в упор. В sql насоздавал кучу заданий, удалил их, удалил пользователя, от имени которого, как я думаю, он их создавал. Пока тихо, но постоянно идут запросы на авторизацию в sql с разных айпи. Собственно нужна помощь в уничтожении вируса.

CollectionLog-2018.08.14-08.01.zip

Ссылка на комментарий
Поделиться на другие сайты
  • Ответов 49
  • Создана
  • Последний ответ

Топ авторов темы

  • abonchak

    26

  • regist

    17

  • Sandor

    7

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

regist
regist

Вы обращались сюда https://my.kaspersky.com/ ? Удаление вирусов насколько знаю входит в их обязанности.   ------------------------------------------- по логам чуть позже дам ответ. У меня есть под

Изображения в теме

Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Здравствуйте!

 

Файлы

c:\windows\system\my1.bat

C:\Veda3000\update.cmd

Вам известны?

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 StopService('xWinWpdSrv');
 QuarantineFile('c:\windows\system\msinfo.exe', '');
 DeleteFile('c:\windows\system\msinfo.exe', '64');
 DeleteService('xWinWpdSrv');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

"Пофиксите" в HijackThis:

 

O4 - MSConfig\startupreg: BGClients [command] = C:\Windows\system32\cmd.exe /c start /min c:\windows\system32\wbem\123.bat (HKLM) (2018/07/30)
O4 - MSConfig\startupreg: NiceHashMinerLegacy [command] = C:\Users\Администратор\Desktop\NHML-1.8.0.0\NiceHashMinerLegacy.exe  (file missing) (HKCU) (2017/12/28)
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано (изменено)

c:\windows\system\my1.bat C:\Veda3000\update.cmd

Известны. C:\Veda3000\update.cmd это моё, Консультант плюс обновление. А вот my1.bat это вирусняк как раз.

Дополню ещё:

C:\Windows\system\cabs.exe

c:\Windows\Tasks\my1.job

c:\Windows\Temp\v.exe это тоже зловреды

Сегодня еще обнаружил в c:\Windows\Temp файлы ups2.exe,ntuser.dat, conhost.exe подозреваю, что это тоже проделки вируса. До этого их там не было.

c:\Windows\debug\lsmose.exe так же что-то новое. До этого в этой папке тоже был элемент вируса, но сейчас его нет, зато появился этот.

Логи прикрепил. 

Kaspersky Virus Removal Tool не сканировал. Нужно было?

файлы карантина отправил. ответа пока нет.

CollectionLog-2018.08.15-09.58.zip

Изменено пользователем abonchak
Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

[KLAN-8556643910]

В следующих файлах обнаружен вредоносный код:

msinfo.exe - HEUR:Trojan.Win32.Generic

 

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files (x86)\common files\conime.exe');
 StopService('Windows Audio Control');
 QuarantineFile('c:\program files (x86)\common files\conime.exe', '');
 QuarantineFile('C:\Windows\help\lsmosee.exe', '');
 QuarantineFile('c:\windows\system\my1.bat', '');
 ExecuteFile('schtasks.exe', '/delete /TN "my1" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "my1.job" /F', 0, 15000, true);
 DeleteFile('c:\program files (x86)\common files\conime.exe', '32');
 DeleteFile('C:\Windows\help\lsmosee.exe', '32');
 DeleteFile('c:\windows\system\my1.bat', '32');
 DeleteFile('c:\windows\system\my1.bat', '64');
 DeleteFile('C:\Windows\Tasks\my1.job', '64');
 DeleteService('Windows Audio Control');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

 

Повторите еще раз логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано (изменено)

[KLAN-8561765208]

В следующих файлах обнаружен вредоносный код:
conime.exe - Trojan.Win32.Miner.tvnc
lsmosee.exe - Trojan.Win32.Ukpa.a
my1.bat - Trojan-Downloader.BAT.Agent.sk

 

После перезагрузки всё это дело снова восстановилось.

CollectionLog-2018.08.16-08.20.zip

Изменено пользователем abonchak
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,

  • Скачайте Universal Virus Sniffer (uVS)
  • Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.

    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

  • Дождитесь окончания работы программы и прикрепите лог к посту в теме.

    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробнее читайте в руководстве Как подготовить лог UVS.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:

    ;uVS v4.0.13 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CONIME.EXE
bl C50BB65871B46075AEB0D035671FFBBF 894464
addsgn 1B141E9B55BD1C9DDEE57DB89128EF36AC39D30CD04D3A717F236A7778D37C1EEBB0FB825856097847F298CAE78C59D1A9D34511329C4C3BB87C0A62AFA6345E 8 Trojan.Win32.Miner.tvnc [Kaspersky] 7

zoo %SystemRoot%\SYSTEM\MSINFO.EXE
bl 06E94BB4A3DB98858AAB1353DC7F39AA 5080576
addsgn 9A2FE3E51782CEA1F42B25FD41C89941008E1503F107E02F460205BEB97FEBBEDC9C06AFB3F863B6D47FE2160233493B955A8EF9935B5E282D77A4DA46FFFF4F 8 Trojan.Win32.Generic [Kaspersky] 7

chklst
delvir

;---------command-block---------
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref WMI_.[FUCKYOUMM2_FILTER]
delref WMI_.[FUCKYOUMM_FILTER]
apply

czoo
  • В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  • Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Компьютер следует перезагрузить вручную.
  • После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.

  • Полученный архив отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Подробнее читайте в этом руководстве.

 

 

Соберите и прикрепите контрольный лог uVS.

Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано (изменено)

Еще при запуске виндовс появляется окно conhost в нем написано get url(дальше ип адрес), потом закрывается. Conhost, кстати, имеется в папке  temp, что подозрительно.

я когда сам пытался разобраться заархивировал с паролем батники от зловреда, если в них заглянуть, это нам ничем не поможет? не нужны? я смотрел, но особо не разобрался, там он меняет права доступа к папкам, насколько я понял...

 

лог собрал

SERVER_2018-08-17_08-23-51.7z

Изменено пользователем abonchak
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

это нам ничем не поможет?

Упакуйте в архив с паролем и отправьте мне в ЛС.
  • Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:

    ;uVS v4.0.13 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CONIME.EXE
bl C50BB65871B46075AEB0D035671FFBBF 894464
addsgn 1B141E9B55BD1C9DDEE57DB89128EF36AC39D30CD04D3A717F236A7778D37C1EEBB0FB825856097847F298CAE78C59D1A9D34511329C4C3BB87C0A62AFA6345E 8 Trojan.Win32.Miner.tvnc [Kaspersky] 7

zoo %SystemRoot%\DEBUG\LSMOSE.EXE
bl D8AABED51E33BCE278EBD9DAC7903264 3387392
addsgn 19E4FBDD5D6A4C720BD4473C0626EDE7B18CCAC31793E64E35CFAC4566D9F725DAA1745657AC2B0CB2E97D29C96C20034B890229ACEC7D007A8EED2F339F24BA 8 Trojan.Win32.Ukpa.a [Kaspersky] 7

chklst
delvir

czoo
restart
  • В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  • Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  • После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.

  • Полученный архив отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Подробнее читайте в этом руководстве.

 

 

Еще один контрольный лог uVS сделайте.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Давайте-ка проверим уязвимые места системы:

 

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Сам файл avz_log.txt покажите.

 

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

 

После этого будет еще скрипт для uVS.

+

D:\FILESERVER\PUBL\ADMIN\AA_V3.5.EXE

C:\USERS\АДМИНИСТРАТОР\DESKTOP\AA_V3.5.EXE

Ammy Admin - ваше?
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Milink
      [РЕШЕНО] Подозрение на майнер
      Автор Milink
      скачал игру с торрента, после чего в браузере Chrome после каждого перезапуска пк начало устанавливаться левое расширение якобы Adblock. Так же в temp появляется папка 2xzjMMUGjeobOYtjoc0gOuMKKHC. Пробовал чистить антивирусами - не помогло.
      Нашел решение, avz скачал, Autologger я так понимаю тоже надо качать: 
      Актуально ли оно?
       
    • FMEKLW
      [РЕШЕНО] Подозрение на майнер
      Автор FMEKLW
      Как-то просто решил зайти в диспетчер задач и посмотреть процессы, и увидел 3 процесса Setup, которые ведут к папке 2xzjMMUGjeobOYtjoc0gOuMKKHC в Temp. Сам просто решил пока ничего не делать, а поискать информации об этой теме. И вот я здесь нашёл обсуждения с помощью по данной теме. Честно не знаю, что мог скачать, из-за чего это появилось: либо игры, либо русификаторы, либо что-то другое. Все скачивал по прямой ссылке, с облаков, с MediaGet и uTorrent. Никаких проблем я особо не увидел, как у других. Т.е. люди писали про проблемы с расширениями в Chrome, коих у себя я не обнаружил, ведь я пользуюсь из браузеров только Яндексом, в котором ничего странного тоже нету.CollectionLog-2025.07.11-23.07.zip
    • Vovkaproshka
      Подозрение на майнер
      Автор Vovkaproshka
      После установки лоадера впнов появился процесс setup нагружает только оперативку.
      Doctor  web antivirus удаляет три трояна, после сетап пропадает из процессов, после перезагрузки процесс снова появляется, думаю прикрепился к какому-то приложению, через безопасный режим также после удаления и перезагрузки загружается,  находится по пути AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC
    • sekvoya
      [РЕШЕНО] Подозрение на ВИРУС
      Автор sekvoya
      В браузере появляется расширение AdBlock, которое ломает разметку. При удалении расширения все становится нормально. Однако, после перезапуска ПК, расширение появляется в браузере вновь. Также в папке Temp появляется папка, которую нельзя удалить "2xzjmmugjeoboytjoc0goumkkhc"
      CollectionLog-2025.07.05-18.18.zip
    • searing
      [РЕШЕНО] Подозрение на майнер
      Автор searing
      скачал игру с торрента, после чего в браузере Chrome после каждого перезапуска пк начало устанавливаться левое расширение якобы Adblock, с обфусцированным js кодом. Так же в temp появляется папка 2xzjMMUGjeobOYtjoc0gOuMKKHC. Пробовал чистить антивирусами doctor web cureit и malwarebytes - не помогло. CollectionLog-2025.07.04-05.50.zip
×
×
  • Создать...