Перейти к содержанию

Скомпрометированный Yandexbrowser


Руслан Исхаков

Рекомендуемые сообщения

Руслан Исхаков

 На протяжении около месяца слушал как мой компьютер издает адский шум, списывал все на пыль и обещал себе убраться) Спустя месяц наконец почистил его, шум не пропал. Решил проверить на вирусы, для начала проверил через Drwebcureit он ничего не нашел. Далее скачал Kasperskyfreeantivirus провел полную проверку, он тоже ничего не нашел, но спустя день использования заметил, что Kaspersky блокирует веб адрес s3.amazonaws.com, который запускал Yandexbrowser . Решил покопаться на форумах, порекомендовали проверить через adwcleaner он нашел пару файлов в реестре,связанные с Яндексбраузером, которые я в дальнейшем удалил(После многочисленных удалений, эти файлы пропали, но периодически, после перезагрузки, он находит какие-то файлы, ниже скрин) . После этого удалил браузер через Revouninstaller, перезагрузил систему, все показатели быстродействия были в порядке. Решил снова скачать Yandexbrowser с официального сайта, и опять... Компьютер издает странные звуки, цп загружено на 40-80%(Время от времени спадает, озу 3-7гб от 8 максимальных), при этом запущен был только браузер. В это время Kaspersky снова блокировал s3.amazonaws.com. Система нагружается даже тогда, когда браузер выключен, в диспетчере он то включатся, то выключается, при этом он жрет много озу.Как его полностью удалить?

 

Примечание:Спустя день удалений и перезагрузок, вирус затих, но убрать браузер из автозагрузки пока не представляется возможным. Уже после всех действий, описанных вверху, adwcleaner 

 все еще находит подозрительный файлы(ниже скрин).

 

Логи прикрепить не смог, не нашел актуальную версию программы, ниже скрин.

post-47991-0-60136500-1543840526_thumb.png

post-47991-0-97193400-1543841319_thumb.png

Ссылка на сообщение
Поделиться на другие сайты
Руслан Исхаков

Видимо я скачивал его, когда его еще не обновили. Хотя странно, что дата последнего обновления у них совпадает

CollectionLog-2018.12.03-20.28.zip

post-47991-0-49239900-1543851342_thumb.png

post-47991-0-60766000-1543851345_thumb.png

Изменено пользователем Руслан Исхаков
Ссылка на сообщение
Поделиться на другие сайты

дата последнего обновления у них совпадает

это дата обновления баз AVZ (с этим уже к Зайцеву Олегу почему он так редко его обновляет). Собственно если бы обновлял он чаще, то этого казуса у вас и не было бы. А дата/версия Автологера там разная, если заглянете в репорты предыдущей и этой версии увидите разницу.

 

1) "Пофиксите" в HijackThis:

O2 - HKLM\..\BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre-9.0.4\bin\ssv.dll (file missing)
O4 - MSConfig\startupfolder: C:^Users^Lock^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OrbitumUpdate.lnk [backup] => C:\Users\Lock\AppData\Local\Orbitum\Application\OrbitumUpdater\OrbitumUpdater.exe (2017/08/07) (file missing)
O4 - MSConfig\startupreg: DSATray [command] = C:\Program Files (x86)\Intel Driver and Support Assistant\DsaTray.exe (HKLM) (2017/11/25) (file missing)
O4 - MSConfig\startupreg: Discord [command] = C:\Users\Lock\AppData\Local\Discord\app-0.0.297\Discord.exe (HKCU) (2017/07/22) (file missing)
O4 - MSConfig\startupreg: Orbitum Update [command] = C:\Users\Lock\AppData\Local\Orbitum\Update\GoogleUpdate.exe /c (HKCU) (2017/08/07) (file missing)
O4 - MSConfig\startupreg: SunJavaUpdateSched [command] = C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe (HKLM) (2018/01/20) (file missing)
O4 - MSConfig\startupreg: World of Tanks [command] = C:\Games\World_of_Tanks\WargamingGameUpdater.exe (HKCU) (2017/07/11) (file missing)
O4 - MSConfig\startupreg: winhost [command] = C:\Windows\SysWOW64\4.exe (HKLM) (2017/11/02) (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\E&xport to Microsoft Excel: (default) = C:\Program Files\Microsoft Office\Root\Office16\EXCEL.EXE (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\Se&nd to OneNote: (default) = C:\Program Files\Microsoft Office\Root\Office16\ONBttnIE.dll (file missing)
O23 - Service S2: S2Gvc32 - C:\Program Files (x86)\Speech2Go Voice Package\IvonaVoiceService_x86.exe  (file missing)

2) - Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

 

3)

Google Update Helper [20180927]-->MsiExec.exe /I{60EC980A-BDA2-4CB6-A427-B07A5498B4CA}
Google Update Helper [20180927]-->MsiExec.exe /I{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}

советую деинсталировать.

Java 8 Update 131 [20170619]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F32180131F0}
Java 8 Update 161 (64-bit) [20180211]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F64180161F0}

устаревшая/уязвимая версиия, тоже деинсталируйте.

 

4) Свежий лог сканирования AdwCleaner-а покажите.

Изменено пользователем regist
Ссылка на сообщение
Поделиться на другие сайты
Руслан Исхаков

Все сделал. Только не смог удалить:

 

Google Update Helper [20180927]-->MsiExec.exe /I{60EC980A-BDA2-4CB6-A427-B07A5498B4CA}
Google Update Helper [20180927]-->MsiExec.exe /I{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}

 

Нужно было через панель управления удалять? Если да, то этих файлов там нет. Также прикрепил скрин карантина Adwcleanera.

ClearLNK-2018.12.04_15.04.23.log

AdwCleanerS16.txt

post-47991-0-07968800-1543918959_thumb.png

Ссылка на сообщение
Поделиться на другие сайты
Руслан Исхаков

Проблема решилась, большое спасибо! Но все таки интересно, как удалить эти файлы:

 

 

Google Update Helper [20180927]-->MsiExec.exe /I{60EC980A-BDA2-4CB6-A427-B07A5498B4CA}
Google Update Helper [20180927]-->MsiExec.exe /I{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}

Изменено пользователем Руслан Исхаков
Ссылка на сообщение
Поделиться на другие сайты

 

 


как удалить эти файлы:
это не файлы. а программы. Удалять их надо через панель управления - установка и удаление программ.

Но я так понимаю там вы их не видите?

Можно ещё нажать windows + R -> вставить туда

MsiExec.exe /I{60EC980A-BDA2-4CB6-A427-B07A5498B4CA}

должна запуститься деинсталяция. Попробуйте так и сообщите результат.

Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Pupsik228
      От Pupsik228
      Здравствуйте.
      Недавно столкнулся с проблемой. После перезагрузки компьютера касперский жалуется на файл, файл находится в папке ProgramData там он не отображается(но если ввести в поиск название вируса то он виден) я пробовал удалить его антивирусом. и удалить саму папку с вирусом. и в обоих случаях это помогает, но после перезагрузки компьютера вирус восстанавливается, и антивирус снова жалуется на него.
      это будет видно на скриншотах. Надеюсь на вашу помощь)
      P.S. Я смотрел и вроде вирус не нагружает видеокарту и компьютер работает быстро, но все равно волнуюсь.


      CollectionLog-2024.03.25-15.50.zip
    • ryckovry
      От ryckovry
      Здравствуйте!

      Вчера заразила ноут троянами. Просканировала его утилитой Касперского, было найдено 13 вирусов, нажала «Лечить с перезагрузкой». Сканирование после лечения нашло ещё 3 трояна, которых до этого не было в отчёте, и 2 других опасных файла (на фото). Но ноут хотя бы перестал греться и шуметь как сумасшедший, и проц не разгоняется больше до 100. 

      Сегодня просканировала второй раз, Касперский ничего не нашёл. Но я сомневаюсь, что все трояны удалены и обезврежены. Хочу убедиться в этом, но сама не понимаю, как. Скажите, пожалуйста, что нужно сделать?

      Точку восстановления ОС пока не создавала.

      CollectionLog-2024.03.22-12.58.zip
    • grafbender
      От grafbender
      Доброго времени суток. Мой пк тормозит уже продолжительное время. Какого-либо внимания я этому не уделял, так как пользуюсь им редко. Однако, пару дней назад я совершая пробную операцию по покупке крипты, скопировал номер своего кошелька и направил на него деньги. Как оказалось каким то неведомым образом номер кошелька менялся прямо при копировании. Тут я и начал что то подозревать. Просканировав пк утилитой от Dr.Web, мне выдало целый список вирусов среди которых были трояны и btcmine. Только после удаления всех этих файлов, я решился посмотреть в интернете как с этим бороться, и понял что не все так просто. При повторном сканировании как Dr.Web так и Касперским более никаких вирусов не обнаруживается, однако полной уверенности от избавления у меня нету. Подсобите пожалуйста, какие шаги мне необходимо проделать  еще
      P.S. Нельзя назвать меня осторожным пользователем пользователем интернета, поэтому пиратского контента употребляется и употреблялось очень много, то есть торренты в моей жизни присутствуют.
      AV_block_remove_2024.03.12-20.03.log
    • Камиль Махмутянов
      От Камиль Махмутянов
      Доброго дня, антивирус обнаружил вирус HEUR:Trojan.Win64.Miner.gen. несколько раз удалял, но вирус каждый раз восстанавливается, а антивирус его удалить не может. Подскажите пожалуйста как можно решить эту проблему? Большо спасибо!!
      CollectionLog-2024.03.09-00.19.zip
    • Borova
      От Borova
      Прошу помощи , на виндовс 7 пк заразился трояном RenderCraft а также неправильно ведет себя утилита fc.exe , оба процесса запускаются после 30 секунд от включения пк и начинают грузить систему ( и ОЗУ и ЦП )  , RenderCraft работает пару десятков секунд ( примерно 40) и исчезает из процессов ,  а fc.exe стабильно грузит систему никуда не уходит. изначально попробовал решить проблему самостоятельно с помощью KVRT и AV BR ,  но ничего не помогло , в итоге начал искать решение в интернете , нашел только один сайт на этом же форуме где было предоставлено решение от господина Sandor . Начал делать все как в случае с Дамир 95 . 
      Но к сожелению ничего не помогло , (  строго додерживался всех инструкций  ) но без положительного результата. Ни один процес не ушел . ПРОШУ ПОМОГИТЕ !
      Все максимально подробно описать не могу ( имеется в виду мое полное исполнение действий и рекомендаций от Sandor  , не все получалось так как в писал Sandor , к примеру так не вышло если в Farbar Recovery Scan Tool я нажал кнопку исправить и в человека вышло все нормально а в меня выдало ошибку " не удается найти файл fixlist.txt " а автоматически у меня ничего не создало . если сам создам текстовый файл напишу то понятно , что там начнет исправлять и исправит пустоту , ведь там в списке ничего нет , а я не знаю что туда вводить , в итоге исправить ничего не вышло . помогите пожалуйста . 
×
×
  • Создать...