Удаление winmon.sys

[scrict]

Заметил, что на пк файлы стали меняться местами, позже, что моим компьютером управляют на рассстоянии. Сразу же отключил пк от сети и проверил на наличие вирусов.

Нашлись:

Trojan.Agent, C:\Windows\windefender.exe

Trijan.Agent, C:\Windows\Sysnative\drivers\WinmonProcessMonitor.sys

Trojan.Agent, C:\Windows\Sysnative\drivers\winmonFs.sys

Trojan.Agent, C:\Windows\Sysnative\drivers\winmon.sys

 

Антивирус видит их, но не удаляет.

Попытался удалить их вручную,но по указанному пути их просто напросто нет..

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[scrict]

AutoLogger

CollectionLog-2019.02.20-21.50.zip

[thyrex]

Сделайте лог такой версией Autologger

[scrict]

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

{Исправление в службах в реестре, значения ImagePath.
Данный скрипт распространяется свободно и может быть модицифирован по согласованию с авторами - представителями SafeZone.cc
При публикации скрипта данный комментарий и ссылка на VirusNet.Info обязателена. }
var DescriptionTextWuauServ, DispayNameTextWuauServ, DescriptionTextBITS: String;
 DispayNameTextBITS, FullPathSystem32, NameFolderSystem32, FileServiceDll: String;
 ImagePathStr, RootStr, SubRootStr, LangID: string;
 AllRoots, AllKeys, RootsRestored, KeysRestored, KeysFixed: integer;
 FinishMsg, RestoreMsg, FixMsg, CheckMsg: String;
 RegSectMsg, ParamMsg, ParamValueMsg, InRegSectMsg, CorrectMsg, RestMsg: String;

procedure CheckAndRestoreSection(Root: String);
begin
 Inc(AllRoots);
 if RegKeyExistsEx('HKLM', Root) then
   RegKeyResetSecurity('HKLM', Root)
 else
  begin
    Inc(RootsRestored);
    RegKeyCreate('HKLM', Root);
    AddToLog(RegSectMsg + Root + RestMsg);
   end;
end;

procedure CheckAndRestoreSubSection;
begin
  CheckAndRestoreSection(SubRootStr);
end;

procedure RestoredMsg(Root, Param: String);
begin
  AddToLog(ParamMsg + Param + InRegSectMsg + Root + RestMsg);
  Inc(KeysRestored);
end;

procedure FixedMsg(Root, Param: String);
begin
  AddToLog(ParamValueMsg + Param + InRegSectMsg + Root + CorrectMsg);
  Inc(KeysFixed);
end;

procedure RestoreStrParam(Root, Param, Value: String);
begin
  RegKeyStrParamWrite('HKLM', Root, Param, Value);
  RestoredMsg(Root, Param);
end;

procedure CheckAndRestoreStrParam(Root, Param, Value: String);
begin
  Inc(AllKeys);
  if not RegKeyParamExists('HKLM', Root, Param) then
    RestoreStrParam(Root, Param, Value);
end;

procedure CheckAndRestoreIntParam(Root, Param: String; Value: Integer);
begin
 Inc(AllKeys);
 if not RegKeyParamExists('HKLM', Root, Param) then
  begin
    RegKeyIntParamWrite('HKLM', Root, Param, Value);
    RestoredMsg(Root, Param);
  end;
end;

procedure CheckAndRestoreMultiSZParam(Param, Value: String);
begin
 Inc(AllKeys);
 if not RegKeyParamExists('HKLM', RootStr, Param) then
  begin
    ExecuteFile('REG ADD HKLM\' + RootStr + ' /v ' + Param + Value, '', 0, 10000, true);
    RestoredMsg(RootStr, Param);
  end;
end;

// Исправление значения параметра ImagePath для служб 'wuauserv' и 'BITS'
procedure ImagePathFix(Node, Srv: String);
var RegStr: String;
begin
 RegStr := 'SYSTEM\' + Node + '\Services\' + Srv;
 if RegKeyExistsEx('HKLM', RegStr) then
  begin
    Inc(AllKeys);
    RegKeyResetSecurity('HKLM', RegStr);
    RegKeyStrParamWrite('HKLM', RegStr, 'ImagePath', ImagePathStr);
    FixedMsg(RegStr, 'ImagePath');
  end;
end;

{ Выполнение исправление всех ключей в ветках -
   'HKLM\SYSTEM\CurrentControlSet\Services\BITS' и 'HKLM\SYSTEM\CurrentControlSet\Services\wuauserv'}
procedure CorrectRegistryRoot(DescriptionText, DisplayNameText, Srv: String);
var FileServiceDll, CCSNumber: string;
     i : integer;
begin
 if Srv = 'BITS' then
   FileServiceDll := FullPathSystem32 + 'qmgr.dll'
 else
   FileServiceDll := FullPathSystem32 + 'wuauserv.dll';
 RootStr:= 'SYSTEM\CurrentControlSet\Services\' + Srv;

 CheckAndRestoreSection(RootStr);

 CheckAndRestoreStrParam(RootStr, 'Description', DescriptionText);
 CheckAndRestoreStrParam(RootStr, 'DisplayName', DisplayNameText);
 CheckAndRestoreStrParam(RootStr, 'ObjectName', 'LocalSystem');

 Inc(AllKeys);
 if not RegKeyParamExists('HKLM', RootStr, 'ImagePath') then
   RestoreStrParam(RootStr, 'ImagePath', ImagePathStr)
 else
  begin
    Dec(AllKeys);
    if LowerCase(RegKeyStrParamRead('HKLM', RootStr, 'ImagePath')) <> LowerCase(ImagePathStr) then
      for i:= 0 to 999 do
       begin
         if i > 0 then
           CCSNumber := FormatFloat('ControlSet000', i)
         else
           CCSNumber := 'CurrentControlSet';
         ImagePathFix(CCSNumber, Srv);
      end;
   end;

 CheckAndRestoreIntParam(RootStr, 'ErrorControl', 1);
 CheckAndRestoreIntParam(RootStr, 'Start', 2);
 CheckAndRestoreIntParam(RootStr, 'Type', 32);

 if Srv = 'BITS' then
  begin
    CheckAndRestoreMultiSZParam('DependOnService', ' /t REG_MULTI_SZ /d RpcSs');
    CheckAndRestoreMultiSZParam('DependOnGroup', ' /t REG_MULTI_SZ');
  end;

 SubRootStr:= RootStr + '\Enum';
 CheckAndRestoreSubSection;

 CheckAndRestoreStrParam(SubRootStr, '0', 'Root\LEGACY_' + UpperCase(Srv) + '\0000');
 CheckAndRestoreIntParam(SubRootStr, 'Count', 1);
 CheckAndRestoreIntParam(SubRootStr, 'NextInstance', 1);

 SubRootStr := RootStr + '\Security';
 CheckAndRestoreSubSection;

 Inc(AllKeys);
 if not RegKeyParamExists('HKLM', SubRootStr, 'Security') then
  begin
    RegKeyBinParamWrite('HKLM', SubRootStr, 'Security', '01,00,14,80,78,00,00,00,84,00,00,00,14,00,00,00,30,00,00,00,02,00,1c,00,01,00,00,00,02,80,14,00,ff,00,0f,00,01,01,00,00,00,00,00,01,00,00,00,00,02,00,48,00,03,00,00,00,00,00,14,00,9d,00,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,ff,01,0f,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00');
    RestoredMsg(SubRootStr, 'Security');
  end;

 SubRootStr:= RootStr + '\Parameters';
 CheckAndRestoreSubSection;

 Inc(AllKeys);
 if not RegKeyParamExists('HKLM', SubRootStr, 'ServiceDll') then
  begin
    RegKeyParamWrite('HKLM', SubRootStr, 'ServiceDll', 'REG_EXPAND_SZ', FileServiceDll);
    RestoredMsg(SubRootStr, 'ServiceDll');
  end
 else if LowerCase(RegKeyStrParamRead('HKLM', SubRootStr, 'ServiceDll')) <> LowerCase(FileServiceDll) then
  begin
    RegKeyParamWrite('HKLM', SubRootStr, 'ServiceDll', 'REG_EXPAND_SZ', FileServiceDll);
    FixedMsg(SubRootStr, 'ServiceDll');
  end
end;

{ Главное выполнение }
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\windows\rss\csrss.exe');
 TerminateProcessByName('C:\Users\тёма\AppData\Roaming\GoogleUpdater.exe');
 QuarantineFile('c:\windows\rss\csrss.exe', '');
 QuarantineFile('C:\Users\тёма\AppData\Roaming\GoogleUpdater.exe', '');
 QuarantineFile('C:\Program Files (x86)\Xvid\CheckUpdateLauncher.vbs', '');
 QuarantineFile('C:\Program Files (x86)\Xvid\CheckUpdate.ps1', '');
 QuarantineFile('C:\Users\тёма\AppData\Local\Temp\csrss\scheduled.exe', '');
 DeleteFile('c:\windows\rss\csrss.exe', '');
 DeleteFile('C:\Users\тёма\AppData\Roaming\GoogleUpdater.exe', '');
 DeleteFile('C:\Program Files (x86)\Xvid\CheckUpdateLauncher.vbs', '64');
 DeleteFile('C:\Windows\rss\csrss.exe', '64');
 DeleteFile('C:\Users\тёма\AppData\Roaming\GoogleUpdater.exe', '64');
 DeleteFile('C:\Users\тёма\AppData\Local\Temp\csrss\scheduled.exe', '64');
 ClearLog;
 ExpRegKey('HKLM', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'wuauserv.reg');
 ExpRegKey('HKLM', 'SYSTEM\CurrentControlSet\Services\BITS', 'BITS.reg');
 LangID:= RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Control\Nls\Language', 'InstallLanguage');
 if LangID = '0419' then
  begin
    DescriptionTextWuauServ := 'Включает загрузку и установку обновлений Windows. Если служба отключена, то на этом компьютере нельзя будет использовать возможности автоматического обновления или веб-узел Центра обновления Windows.';
    DispayNameTextWuauServ := 'Автоматическое обновление';
    DescriptionTextBITS := 'Обеспечивает передачу данных между клиентами и серверами в фоновом режиме. Если служба BITS отключена, такие возможности, как Windows Update, не могут правильно работать.';
    DispayNameTextBITS := 'Фоновая интеллектуальная служба передачи (BITS)';
    AddToLog('Операционная система - русская');
    FinishMsg := '–––– Восстановление завершено ––––';
    RestoreMsg := 'Восстановлено разделов\параметров: ';
    FixMsg := 'Исправлено параметров: ';
    CheckMsg := 'Проверено разделов\параметров: ';
    RegSectMsg := 'Раздел реестра HKLM\';
    ParamMsg := 'Параметр ';
    ParamValueMsg := 'Значение параметра ';
    InRegSectMsg := ' в разделе реестра HKLM\';
    CorrectMsg := ' исправлено на оригинальное.';
    RestMsg := 'восстановлен.';
  end
 else if LangID = '0409' then
  begin
    DescriptionTextWuauServ := 'Enables the download and installation of Windows updates. If this service is disabled, this computer will not be able to use the Automatic Updates feature or the Windows Update Web site.';
    DispayNameTextWuauServ := 'Automatic Updates';
    DescriptionTextBITS := 'Transfers data between clients and servers in the background. If BITS is disabled, features such as Windows Update will not work correctly.';
    DispayNameTextBITS := 'Background Intelligent Transfer Service';
    AddToLog('Operation system - english');
    FinishMsg := '–––– Restoration finished ––––';
    RestoreMsg := 'Sections\parameters restored: ';
    FixMsg := 'Parameters corrected: ';
    CheckMsg := 'Sections\parameters checked: ';
    RegSectMsg := 'Registry section HKLM\';
    ParamMsg := 'Parameter ';
    ParamValueMsg := 'Value of parameter ';
    InRegSectMsg := ' in registry section HKLM\';
    CorrectMsg := ' corrected on original.';
    RestMsg := ' restored.';
  end;
 AddToLog('');

{ Определение папки X:\Windows\System32\ }
 NameFolderSystem32 := RegKeyStrParamRead('HKLM', 'SYSTEM\CurrentControlSet\Control\Windows', 'SystemDirectory');
 ImagePathStr := NameFolderSystem32 + '\svchost.exe -k netsvcs';
 Delete(NameFolderSystem32, 1, pos('\', NameFolderSystem32) - 1);
 FullPathSystem32 := GetEnvironmentVariable('WinDir') + NameFolderSystem32 + '\';

 AllRoots := 0;
 AllKeys := 0;
 RootsRestored := 0;
 KeysRestored := 0;
 KeysFixed := 0;

 CorrectRegistryRoot(DescriptionTextBITS, DispayNameTextBITS, 'BITS');
 CorrectRegistryRoot(DescriptionTextWuauServ, DispayNameTextWuauServ, 'wuauserv');

 AddToLog('');
 AddToLog(FinishMsg);
 AddToLog('');
 AddToLog(RestoreMsg + IntToStr(RootsRestored) + ' \ ' + IntToStr(KeysRestored));
 AddToLog(FixMsg + IntToStr(KeysFixed));
 AddToLog(CheckMsg + IntToStr(AllRoots) + ' \ ' + IntToStr(AllKeys));
 SaveLog(RegKeyStrParamRead('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders', 'Desktop') + '\Correct_wuauserv&BITS.log');
 DeleteSchedulerTask('csrss');
 DeleteSchedulerTask('GoogleUpdateServices');
 DeleteSchedulerTask('ScheduledUpdate');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

CloudNet [2019/02/20 20:45:43]-->"C:\Users\тёма\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe" /uninstall

деинсталируйте.

 

Скачайте Автологер отсюда https://safezone.cc:443/resources/autologger-regist-drongo.59/

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Изменено 20 февраля, 2019 пользователем regist

[scrict]

1

Не понял :
CloudNet [2019/02/20 20:45:43]-->"C:\Users\тёма\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe" /uninstall

деинсталируйте.

[KLAN-9651863291]

virusinfo_auto_ТЁМА-ПК.zip

Изменено 21 февраля, 2019 пользователем scrict

[thyrex]

CloudNet [2019/02/20 20:45:43]-->"C:\Users\тёма\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe" /uninstall деинсталируйте.

удалите CloudNet через Установку программ

 

Не сделали

Для повторной диагностики запустите снова Autologger.

Только придется Autologger заново скачать

[scrict]

1

CollectionLog-2019.02.21-17.44.zip

[thyrex]

Выполните еще написанное в сообщении №6, пожалуйста

[scrict]

.

Архив ZIP - WinRAR.zip

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
2019-01-21 18:31 - 2019-01-22 21:02 - 000000832 _____ () C:\ProgramData\appdata.dat
2019-01-21 18:31 - 2019-01-22 21:02 - 000000832 _____ () C:\Users\Все пользователи\appdata.dat
2019-01-19 18:51 - 2019-01-19 18:51 - 000621928 _____ (VideoDriver) C:\Windows\32B73B8F97CC.sys
2019-01-19 18:50 - 2019-02-20 22:40 - 000000000 ___HD C:\Windows\rss
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
S3 EsgScanner; system32\DRIVERS\EsgScanner.sys [X]
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Task: {63CB393E-5F5A-4E18-90BB-F250EC7D894E} - \lsa64 -> No File <==== ATTENTION
Task: {68955A21-87CD-4955-B404-04E0A2495799} - System32\Tasks\Red Giant Link => C:\Program Files (x86)\Red Giant Link\Red Giant Link.exe (Red Giant Software  LLC -> ) <==== ATTENTION
Task: {6F24A37B-0C60-4F58-B0B1-B80C39374758} - \{E68191A3-6CFE-44D3-9657-6FC9B258CE12} -> No File <==== ATTENTION
Task: {875F4727-C106-4574-9080-575BC8F14795} - \csrss -> No File <==== ATTENTION
Task: {C31F198C-95E3-4F58-A460-0D4D6622860E} - \{9347AF2F-503E-41FC-B583-E476A2CE7B78} -> No File <==== ATTENTION
Task: {D4F1DC15-C34D-49A9-B56F-67294B6FF7F5} - \UpdateService -> No File <==== ATTENTION
Task: {E121009C-F26B-4911-B182-54C5124FD2D3} - \{B82C4803-C7C0-43B5-928C-250EE7FB4A55} -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [678]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [678]
AlternateDataStreams: C:\Users\Все пользователи:NT [40]
AlternateDataStreams: C:\Users\Все пользователи:NT2 [678]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [678]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT [40]
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:NT2 [678]
AlternateDataStreams: C:\Users\Все пользователи\Application Data:NT [40]
AlternateDataStreams: C:\Users\Все пользователи\Application Data:NT2 [678]
AlternateDataStreams: C:\Users\Все пользователи\MTA San Andreas All:NT [40]
AlternateDataStreams: C:\Users\Все пользователи\MTA San Andreas All:NT2 [678]
AlternateDataStreams: C:\Users\тёма\Application Data:NT [40]
AlternateDataStreams: C:\Users\тёма\Application Data:NT2 [678]
AlternateDataStreams: C:\Users\тёма\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\тёма\AppData\Roaming:NT2 [678]
FirewallRules: [{98F194EF-34A3-4699-A5ED-E462183EDF63}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe No File
FirewallRules: [{C6035C2F-E621-49E1-B028-5CD457365FAD}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe No File
FirewallRules: [TCP Query User{6A91D5C2-92EE-40F9-8B51-77E5D5312B9E}C:\games\counter-strike 1.6\hl.exe] => (Block) C:\games\counter-strike 1.6\hl.exe No File
FirewallRules: [UDP Query User{72A87ED1-F479-4555-90BF-F83B5D3741B1}C:\games\counter-strike 1.6\hl.exe] => (Block) C:\games\counter-strike 1.6\hl.exe No File
FirewallRules: [TCP Query User{0C827693-DF90-4545-A522-2851A6FBDED7}C:\users\тёма\appdata\roaming\tencent\txgameassistant\gamedownload\teniodl.exe] => (Allow) C:\users\тёма\appdata\roaming\tencent\txgameassistant\gamedownload\teniodl.exe No File
FirewallRules: [UDP Query User{34E186E2-C0E0-4BDE-9DF5-20F7B0F698F2}C:\users\тёма\appdata\roaming\tencent\txgameassistant\gamedownload\teniodl.exe] => (Allow) C:\users\тёма\appdata\roaming\tencent\txgameassistant\gamedownload\teniodl.exe No File
FirewallRules: [{03BA3252-CA16-47A0-8DF5-97617C565A5B}] => (Allow) C:\Users\тёма\AppData\Local\Temp\csrss\lsa64.exe No File
FirewallRules: [{EFD63720-DB5D-49B8-A48A-E314D75E4169}] => (Allow) C:\Users\тёма\AppData\Local\Temp\csrss\lsa64.exe No File
FirewallRules: [{D7E7517F-4524-4C6D-90FE-64C8AFC63999}] => (Allow) C:\Users\тёма\AppData\Local\Temp\csrss\lsa64.exe No File
C:\Users\тёма\AppData\Local\Temp\csrss
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[scrict]

.

Fixlog.txt

[thyrex]

Проблема решена?