Перейти к содержанию
Правила раздела

подозрение на mirai

abonchak

От abonchak
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

abonchak Постоялец

abonchak

Опубликовано
Опубликовано

Стоял антивирус касперского. Частично, некоторые файлы зловреда он удалял, но тот восстанавливался. Примерно через неделю касперкий перестал работать, предполагаю, что каким-то образом был заблокирован запуск процесса avp. Решил перустановить... Но во время установки антивирус ругается на вирус, который якобы мешает ему запустить процесс avp. AVZ, кстати, файлы вируса не видит в упор. В sql насоздавал кучу заданий, удалил их, удалил пользователя, от имени которого, как я думаю, он их создавал. Пока тихо, но постоянно идут запросы на авторизацию в sql с разных айпи. Собственно нужна помощь в уничтожении вируса.

CollectionLog-2018.08.14-08.01.zip

Ссылка на комментарий
Поделиться на другие сайты
  • Ответов 49
  • Created
  • Последний ответ

Top Posters In This Topic

  • abonchak

    26

  • regist

    17

  • Sandor

    7

Popular Days

Top Posters In This Topic

Popular Days

Popular Posts

regist
regist

Вы обращались сюда https://my.kaspersky.com/ ? Удаление вирусов насколько знаю входит в их обязанности.   ------------------------------------------- по логам чуть позже дам ответ. У меня есть под

Posted Images

Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Здравствуйте!

 

Файлы

c:\windows\system\my1.bat

C:\Veda3000\update.cmd

Вам известны?

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 StopService('xWinWpdSrv');
 QuarantineFile('c:\windows\system\msinfo.exe', '');
 DeleteFile('c:\windows\system\msinfo.exe', '64');
 DeleteService('xWinWpdSrv');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

"Пофиксите" в HijackThis:

 

O4 - MSConfig\startupreg: BGClients [command] = C:\Windows\system32\cmd.exe /c start /min c:\windows\system32\wbem\123.bat (HKLM) (2018/07/30)
O4 - MSConfig\startupreg: NiceHashMinerLegacy [command] = C:\Users\Администратор\Desktop\NHML-1.8.0.0\NiceHashMinerLegacy.exe  (file missing) (HKCU) (2017/12/28)
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано (изменено)

c:\windows\system\my1.bat C:\Veda3000\update.cmd

Известны. C:\Veda3000\update.cmd это моё, Консультант плюс обновление. А вот my1.bat это вирусняк как раз.

Дополню ещё:

C:\Windows\system\cabs.exe

c:\Windows\Tasks\my1.job

c:\Windows\Temp\v.exe это тоже зловреды

Сегодня еще обнаружил в c:\Windows\Temp файлы ups2.exe,ntuser.dat, conhost.exe подозреваю, что это тоже проделки вируса. До этого их там не было.

c:\Windows\debug\lsmose.exe так же что-то новое. До этого в этой папке тоже был элемент вируса, но сейчас его нет, зато появился этот.

Логи прикрепил. 

Kaspersky Virus Removal Tool не сканировал. Нужно было?

файлы карантина отправил. ответа пока нет.

CollectionLog-2018.08.15-09.58.zip

Изменено пользователем abonchak
Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

[KLAN-8556643910]

В следующих файлах обнаружен вредоносный код:

msinfo.exe - HEUR:Trojan.Win32.Generic

 

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files (x86)\common files\conime.exe');
 StopService('Windows Audio Control');
 QuarantineFile('c:\program files (x86)\common files\conime.exe', '');
 QuarantineFile('C:\Windows\help\lsmosee.exe', '');
 QuarantineFile('c:\windows\system\my1.bat', '');
 ExecuteFile('schtasks.exe', '/delete /TN "my1" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "my1.job" /F', 0, 15000, true);
 DeleteFile('c:\program files (x86)\common files\conime.exe', '32');
 DeleteFile('C:\Windows\help\lsmosee.exe', '32');
 DeleteFile('c:\windows\system\my1.bat', '32');
 DeleteFile('c:\windows\system\my1.bat', '64');
 DeleteFile('C:\Windows\Tasks\my1.job', '64');
 DeleteService('Windows Audio Control');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

 

Повторите еще раз логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано (изменено)

[KLAN-8561765208]

В следующих файлах обнаружен вредоносный код:
conime.exe - Trojan.Win32.Miner.tvnc
lsmosee.exe - Trojan.Win32.Ukpa.a
my1.bat - Trojan-Downloader.BAT.Agent.sk

 

После перезагрузки всё это дело снова восстановилось.

CollectionLog-2018.08.16-08.20.zip

Изменено пользователем abonchak
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте AutorunsVTchecker. Распакуйте и запустите. Не дожидаясь окончания сканирования,

  • Скачайте Universal Virus Sniffer (uVS)
  • Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.

    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.

  • Дождитесь окончания работы программы и прикрепите лог к посту в теме.

    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробнее читайте в руководстве Как подготовить лог UVS.
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:

    ;uVS v4.0.13 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CONIME.EXE
bl C50BB65871B46075AEB0D035671FFBBF 894464
addsgn 1B141E9B55BD1C9DDEE57DB89128EF36AC39D30CD04D3A717F236A7778D37C1EEBB0FB825856097847F298CAE78C59D1A9D34511329C4C3BB87C0A62AFA6345E 8 Trojan.Win32.Miner.tvnc [Kaspersky] 7

zoo %SystemRoot%\SYSTEM\MSINFO.EXE
bl 06E94BB4A3DB98858AAB1353DC7F39AA 5080576
addsgn 9A2FE3E51782CEA1F42B25FD41C89941008E1503F107E02F460205BEB97FEBBEDC9C06AFB3F863B6D47FE2160233493B955A8EF9935B5E282D77A4DA46FFFF4F 8 Trojan.Win32.Generic [Kaspersky] 7

chklst
delvir

;---------command-block---------
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref WMI_.[FUCKYOUMM2_FILTER]
delref WMI_.[FUCKYOUMM_FILTER]
apply

czoo
  • В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  • Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Компьютер следует перезагрузить вручную.
  • После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.

  • Полученный архив отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Подробнее читайте в этом руководстве.

 

 

Соберите и прикрепите контрольный лог uVS.

Ссылка на комментарий
Поделиться на другие сайты
abonchak Постоялец

abonchak

Опубликовано
  • Автор
Опубликовано (изменено)

Еще при запуске виндовс появляется окно conhost в нем написано get url(дальше ип адрес), потом закрывается. Conhost, кстати, имеется в папке  temp, что подозрительно.

я когда сам пытался разобраться заархивировал с паролем батники от зловреда, если в них заглянуть, это нам ничем не поможет? не нужны? я смотрел, но особо не разобрался, там он меняет права доступа к папкам, насколько я понял...

 

лог собрал

SERVER_2018-08-17_08-23-51.7z

Изменено пользователем abonchak
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

это нам ничем не поможет?

Упакуйте в архив с паролем и отправьте мне в ЛС.
  • Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:

    ;uVS v4.0.13 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\CONIME.EXE
bl C50BB65871B46075AEB0D035671FFBBF 894464
addsgn 1B141E9B55BD1C9DDEE57DB89128EF36AC39D30CD04D3A717F236A7778D37C1EEBB0FB825856097847F298CAE78C59D1A9D34511329C4C3BB87C0A62AFA6345E 8 Trojan.Win32.Miner.tvnc [Kaspersky] 7

zoo %SystemRoot%\DEBUG\LSMOSE.EXE
bl D8AABED51E33BCE278EBD9DAC7903264 3387392
addsgn 19E4FBDD5D6A4C720BD4473C0626EDE7B18CCAC31793E64E35CFAC4566D9F725DAA1745657AC2B0CB2E97D29C96C20034B890229ACEC7D007A8EED2F339F24BA 8 Trojan.Win32.Ukpa.a [Kaspersky] 7

chklst
delvir

czoo
restart
  • В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  • Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  • После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.

  • Полученный архив отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Подробнее читайте в этом руководстве.

 

 

Еще один контрольный лог uVS сделайте.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Давайте-ка проверим уязвимые места системы:

 

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Сам файл avz_log.txt покажите.

 

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

 

После этого будет еще скрипт для uVS.

+

D:\FILESERVER\PUBL\ADMIN\AA_V3.5.EXE

C:\USERS\АДМИНИСТРАТОР\DESKTOP\AA_V3.5.EXE

Ammy Admin - ваше?
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Flawor_Swift
      [РЕШЕНО] Подозрение на майнер
      От Flawor_Swift
      Доброго времени суток! В состоянии покоя через некоторое время ноутбук начинает сильно шуметь, как будто бы я на нем активно активно работаю. Из необычного еще  окно "Безопасность  Windows" При открытии фризит и выдает черный экран на пару минут. Другие проявления типичные майнеру, по типу невозможности зайти на сайты, создавать папки или запускать антивирусы отсутствуют.  KVRT и Cureit  не нашли ничего вредоносного

      CollectionLog-2024.11.14-01.14.zip
    • Salieri
      Подозрения на вирусы, помощь. Торможения
      От Salieri
      Здравствуйте, столкнулся с такой проблемой что у меня начали вылазить окна cmd, долгая перезагрузка, обновления какие-то, проблемы с производительностью. Нужна ваша помощь, антивирусы не дают ничего.CollectionLog-2024.11.17-12.39.zip
    • kostyan2008
      Подозрение на вирусы, майнер
      От kostyan2008
      В журнале служб windows часто выскакивает ошибка "Сбой при запуске службы "Служба Google Update (gupdate)" из-за ошибки 
      Служба не ответила на запрос своевременно."
      Сбой при запуске службы "WinRing0_1_2_0" из-за ошибки 
      Системе не удается найти указанный путь.
      В автозагрузке присутствуют непонятные сервисы, включая непонятный google update
      CollectionLog-2024.09.18-20.26.zip
    • iLuminate
      Подозрение на взлом сервера
      От iLuminate
      Есть подозрение на взлом, так как при переходе C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Administrative Tools\Администрирование - Ярлык появляется ярлык которые указан на скриншоте.

      FRST.txt Addition.txt
    • Gramm
      Ограниченые права windows + подозрение на вирус
      От Gramm
      Здраствуйте, может я параною, но сегодня я узнал, что я не могу на диске C или D, создавать какие либо файлы, кроме папки.


       
      1)До этого, часто отключал антивирус, что бы найти читы на любимую игру.
      Вроде как пару недель назад, заметил как быстро открылась консоль и закрылась
      2) 
      Еще постояно выскакивает 2 процес браузера с рекламой, хотя стоит adblocker
       
      Один из них вот этот: https://www.virustotal.com/gui/file/b3988010d5fee487462c96dd3d457af96c4caccb52d0dc9d2b7a9c1e414ba683/detection
      Можете помочь глянуть, что там слышно в логах
      CollectionLog-2024.08.22-13.45.zip
×
×
  • Создать...