Необработанный объект cryptoloot.pro

[Injector14]

Добрый день.

 

На рабочем месте установлен агент v.10.5.1781 и Kaspersky Endpoint Security для Windows 11.0.0.6499

После проверке компьютера, Kaspersy Security Center 10 выдаёт сообщение в отчёте о необработанном объекте:     http://  cryptoloot.pro/lib/crlt.js

 

 

К тому же на проблемной машине не отображается в трее значок KES. Хотя на сервере в свойствах данного ПК в разделе Программы отображаются установленные и агент и kes.

Во вложении файл от AutoLogger.

CollectionLog-2018.11.12-11.16.zip

[SQ]

Здравствуйте,

 

AVZ выполнить следующий скрипт.

Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 QuarantineFile('c:\windows\system32\iwdeployagent.exe','');
 QuarantineFile('C:\Windows\SYSTEM32\iwprn_x86.dll','');
 QuarantineFile('C:\Program Files\HashTab Shell Extension\HashTab64-6.0.0.34.dll','');
 QuarantineFile('C:\Windows\System32\Drivers\iwwfp.sys','');
 QuarantineFile('C:\Windows\system32\drivers\stnetflt.sys','');
 QuarantineFile('C:\Windows\System32\stkhcl32.dll','');
 QuarantineFile('C:\Users\BUIKO_~1.NPF\AppData\Local\Temp\lynchlp.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 

После перезагрузки:

- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

quarantine.zip из папки AVZ загрузите этот архив через данную форму

 

 

 

- Подготовьте лог AdwCleaner и приложите его в теме.

[Injector14]

Добрый день.

 

quarantine.zip загрузил через форму.

Во вложении лог AdwCleaner.

AdwCleanerS00.txt

[SQ]

- Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

 

 

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

  

• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Injector14]

Добрый день.

 

Во вложении необходимые файлы. Про удаление в AdwCleaner не совсем понятно. Оставил в логе упоминания про Chrome.

AdwCleanerS00.txt

Addition.txt

FRST.txt

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  Start::
  CreateRestorePoint:
  CloseProcesses:
  File: C:\Users\BUIKO_~1.NPF\AppData\Local\Temp\lynchlp.exe
  Virustotal: C:\Users\BUIKO_~1.NPF\AppData\Local\Temp\lynchlp.exe
  HKLM-x32\...\Run: [] => [X]
  File: C:\Windows\System32\appdrvrem01.exe
  File: C:\Windows\SysWOW64\PQCore.exe
  File: C:\Windows\SysWOW64\PQService.exe
  2018-10-01 13:41 - 2018-10-01 13:41 - 001906040 _____ (Oracle Corporation) C:\Users\buiko_kv.NPFAO\AppData\Local\Temp\jre-8u181-windows-au.exe
  2018-10-23 16:46 - 2018-10-23 16:46 - 001892728 _____ (Oracle Corporation) C:\Users\buiko_kv.NPFAO\AppData\Local\Temp\jre-8u191-windows-au.exe
  2018-10-12 17:17 - 2018-11-13 18:10 - 000681112 _____ () C:\Users\buiko_kv.NPFAO\AppData\Local\Temp\lynchlp.exe
  CustomCLSID: HKU\S-1-5-21-1787521789-3508721831-4223434181-1653_Classes\CLSID\{84B5A313-CD5D-4904-8BA2-AFDC81C1B309}\InprocServer32 -> C:\Users\buiko_kv.NPFAO\AppData\Local\GoToMeeting\9250\G2MOutlookAddin64.dll => No File
  CustomCLSID: HKU\S-1-5-21-1787521789-3508721831-4223434181-1653_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> no filepath
  ShellIconOverlayIdentifiers: [    YndCase0Sync] -> {63D48440-63AB-44D0-B323-4731DFCDE9E9} => C:\Users\buiko_kv.NPFAO\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ShellIconOverlayIdentifiers: [    YndCase1Modified] -> {7E7DC279-E6BE-4D57-9DEC-14FA0339DBC0} => C:\Users\buiko_kv.NPFAO\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ShellIconOverlayIdentifiers: [    YndCase2Error] -> {FB2FE984-05F5-4512-9D9B-69D3DE61F6D9} => C:\Users\buiko_kv.NPFAO\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  ShellIconOverlayIdentifiers: [    YndCase3Shared] -> {AF8D197E-7022-4c3d-BD88-68AD35C9C169} => C:\Users\buiko_kv.NPFAO\AppData\Roaming\Yandex\YandexDisk\YandexDiskOverlays-2398.dll -> No File
  Reboot:
  End::
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

Обратите внимания используемый вами антивирус имеет биттые ссылки, попробуйте его переустановить.

ContextMenuHandlers1: [Kaspersky Anti-Virus] -> {dd230880-495a-11d1-b064-008048ec2fc5} => C:\Program Files (x86)\Kaspersky Lab\Kaspersky Endpoint Security for Windows\x64\ShellEx.dll -> No File
ContextMenuHandlers2: [Kaspersky Anti-Virus] -> {dd230880-495a-11d1-b064-008048ec2fc5} => C:\Program Files (x86)\Kaspersky Lab\Kaspersky Endpoint Security for Windows\x64\ShellEx.dll -> No File
ContextMenuHandlers4: [Kaspersky Anti-Virus] -> {dd230880-495a-11d1-b064-008048ec2fc5} => C:\Program Files (x86)\Kaspersky Lab\Kaspersky Endpoint Security for Windows\x64\ShellEx.dll -> No File
ContextMenuHandlers6: [Kaspersky Anti-Virus] -> {dd230880-495a-11d1-b064-008048ec2fc5} => C:\Program Files (x86)\Kaspersky Lab\Kaspersky Endpoint Security for Windows\x64\ShellEx.dll -> No File

[Injector14]

Добрый день.

 

Во вложении требуемый файл лога.

 

 

KES переустановил через Kaspersky Security Center 10. Через управляемые устройства отображается, что агент установлен и статус постоянной защиты - выполняется.

На самом ПК агент и клиент отображается в установленных программах, в трее иконки KES нет.

Fixlog.txt

[SQ]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Injector14]

Добрый день.

 

Прикрепил необходимый отчёт.

MIR-WS-48_2018-11-26_08-50-08_v4.1.1.7z

[SQ]

 

Выполните скрипт в uVS:

;uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v400c
OFFSGNSAVE
BREG
zoo %SystemDrive%\DEBUG\DIADOC.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\OCAM\OCAM.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
restart

Заархивируйте папку ZOO с паролем virus и отправьте на newvirus@kaspersky.com

 

Уточните пожалуйста проблема началась после установки CryptoPro(Крипто Про)?

[Injector14]

Доброе утро.

 

Отработать скрип не получилось. Скрин ошибки во вложении.

 

На ПК проблем не наблюдается.

После установки KES и сканирования компьютера, Kaspersky Security Center выдаёт результат, что есть необработанные файлы.

И в трее не отображается ярлык KES.

Ошибка при выполнении скрипта.rar

[SQ]

Касаемо скрипта uVS, в тексте не увидел ошибок, возможно что-то скопировалось лишнее. Вы его тогда не выполняйте, чтобы не нарушить работу ПК.

Могли бы временно удалить Крипто Про, далее проверить если KES виден в трее, если нет, то переустановить KES?

P.S. В случае если KES  будет функционировать нормально, пробуйте установить Крипто Про заново.