Вирус

[Алексей Литвиненко]

1) Проведена проверка Kaspersky Virus Removal Tool 2015 - 8 объектов заражения. Ничего не дало, после перезагрузки все тоже самое.

2) Скачал, проверку AutoLogger`ом провел, архив прикрепил.
3) После установки скачанной мной программы (под видом той что мне была нужна) произошла установка различного вредоносного и рекламного обеспечения. Подручными средствами удалил все что мог. На данный момент мучает одна проблема (что реально мешает, возможны и скрытые), в диспетчере висят 2 процесса (без имени). Они не позволяют скачивать антивирусы, заходить на сайты антивирусных программ, а так же их устанавливать. После того как их выбиваешь из диспетчера, все работает (после завершения этих двух задач в диспетчере, запускаются сами по себе раза 2-3, потом перестают).

CollectionLog-2019.01.18-14.11.zip

Изменено 18 января, 2019 пользователем Алексей Литвиненко

[regist]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\Bounty\AppData\Local\hcEZ.exe', '');
 QuarantineFile('C:\Users\Bounty\AppData\Local\Temp\ACD465C501B19E11AB908742FA440D0E\setup.dll', '');
 DeleteFile('C:\Users\Bounty\AppData\Local\hcEZ.exe');
 DeleteFile('C:\Users\Bounty\AppData\Local\Temp\ACD465C501B19E11AB908742FA440D0E\setup.dll', '');
 DeleteSchedulerTask('{F1D84526-CC1A-8D11-3CAA-065D3FC858C2}');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

[Алексей Литвиненко]

1) Файл quarantine.zip из папки AVZ отправил, ответ получил:

 

[KLAN-9470844851]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
setup.dll

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700
http://www.kaspersky.comhttps://www.securelist.com"

--------------------------------------------------------------------------------
From: Алексей Литвиненко
Sent: 1/18/2019 3:25:00 PM
To: newvirus@kaspersky.com
Subject: quarantine.

 

 

2) Отчет прикрепил.

ClearLNK-2019.01.18_15.28.40.log

[regist]

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

[Алексей Литвиненко]

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

CollectionLog-2019.01.18-15.56.zip

[regist]

1) "Пофиксите" в HijackThis:

O4 - HKCU\..\Run: [OPENVPN-GUI] = D:\Program Files\OpenVPN\bin\openvpn-gui.exe (file missing)
O4 - HKCU\..\StartupApproved\Run: [Overwolf] = C:\Program Files (x86)\Overwolf\OverwolfLauncher.exe -overwolfsilent (file missing) (2018/01/19)
O22 - Task: (telemetry) \Microsoft\Office\Office 15 Subscription Heartbeat - C:\Program Files\Common Files\Microsoft Shared\Office16\OLicenseHeartbeat.exe (file missing)
O22 - Task: Overwolf Updater Task - C:\Program Files (x86)\Overwolf\OverwolfUpdater.exe /RunningFrom Schedule (file missing)
O22 - Task: \Microsoft\Windows\rempl\shell - C:\Program Files\rempl\sedlauncher.exe (file missing)
O23 - Service S3: EasyAntiCheat - C:\WINDOWS\system32\EasyAntiCheat.exe  (file missing)
O23 - Service S3: OpenVPNService - D:\Program Files\OpenVPN\bin\openvpnserv2.exe  (file missing)
O23 - Service S3: Overwolf Updater Windows SCM - (OverwolfUpdater) - C:\Program Files (x86)\Overwolf\OverwolfUpdater.exe /RunningFrom SCM (file missing)

 

2) Проверьте, что с проблемой?

[Алексей Литвиненко]

1) Пофиксил.
2) При перезапуске системы ничего из того что было не обнаружено.
Есть вопрос, не особо обращал внимание, но после всего произошедшего в автозагрузке появилось это:  скрин прикрепил.

Что это может быть?

Изменено 18 января, 2019 пользователем Алексей Литвиненко

[regist]

сделайте свежие логи.

[Алексей Литвиненко]

сделайте свежие логи.

 

Возможно остался "ярлык" после чистки?

CollectionLog-2019.01.18-16.55.zip

Изменено 18 января, 2019 пользователем Алексей Литвиненко

[regist]

 

 

Что это может быть?

Похоже это от этого

O4 - HKCU\..\StartupApproved\StartupFolder: C:\Users\Bounty\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Shortcut to Primary output from Start (Active).lnk    ->    C:\Users\Bounty\AppData\Roaming\Microsoft\Installer\{50DE66C7-0333-46C3-B574-D81DC1B10524}\_9B4BB2DC2C4C9E422C778A.exe (2019/01/18)

оно в принципе отключено из автозапуска, но если вам не знакомо то можно пофиксить.

 

+ пофиксьте

O22 - Task (.job): (Not scheduled) SOVqgpLsuXhFCxp.job - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\fHDlqDVwU\tflSGu.dll",#1

Проблема решена?

[Алексей Литвиненко]

Пофиксил.

Спасибо огромное, Вы мне очень помогли. Тему можно закрывать.

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.