Conhost TODO: <文件说明>, Mysa и др.

[Константин Мордвинов]

Добрый день.

Подхватил вирус Conhost TODO c йероглифами, прошёлся Dr.WedCureIt нашел 29 угроз, обезвредил. Но после перезагрузки снова все повторилось с conhost. Так же процесс svchost грузит проц на 25%. В планировщике заданий стоят задачи Mysa, Mysa1, Mysa2,Mysa3 и ok. При их удалении, после перезагрузки, они вновь появляются. Подскажите пожалуйста как быть?

 

CollectionLog-2019.02.28-13.28.zip

cureit.log

[Sandor]

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Служба автоматического обновления программ

Пролечите систему с помощью KVRT. Отчёт об очистке прикрепите в архиве к следующему сообщению.

 

После этого соберите и прикрепите свежий CollectionLog.

[Константин Мордвинов]

Нежалательно ПО удалил. Пролечился KVRT. Ниже прикрепляю новый лог Autologger'a, отчет KVRT и скриншот карантина KVRT

CollectionLog-2019.02.28-17.27.zip

report_20190228_134322.klr.rar

[Sandor]

Проблема решена?

Для верности ещё сделайте:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Константин Мордвинов]

Проблема решена. Спасибо Вам большое. Так же прошелся Adwcleaner'om ниже прикрепляю лог

AdwCleanerS00.txt

[Sandor]

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

[Константин Мордвинов]

Доброе утро. Сделанно, 1 угрозу он не смог устранить.

AdwCleanerC00.txt

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Константин Мордвинов]

Сделанно

Addition.txt

FRST.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{c98b1994-6fa5-47bb-a11a-5f9ffcf6fe7e} <==== ATTENTION (Restriction - IP)
  SearchScopes: HKU\S-1-5-21-3982800637-2827640286-4242222252-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={searchTerms}&utf8in=1&fr=ietb
  CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=custom1","hxxp://www.google.com/ig/redirectdomain?brand=ASUT&bmod=ASUT"
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Default\Extensions\aminlpmkfcdibgpgfajlgnamicjckkjf
  C:\Users\Asus\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi
  CHR HKLM-x32\...\Chrome\Extension: [aminlpmkfcdibgpgfajlgnamicjckkjf] - hxxp://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
  WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"fuckyoumm4\"",Filter="__EventFilter.Name=\"fuckyoumm3\":: <==== ATTENTION
  WMI:subscription\__EventFilter->fuckyoumm3::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 10800 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'] <==== ATTENTION
  HKU\S-1-5-21-3982800637-2827640286-4242222252-1001\Software\Classes\.scr: scrfile =>  <==== ATTENTION
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Константин Мордвинов]

Сделанно

Fixlog.txt

[Sandor]

Завершаем:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.

Компьютер перезагрузится.

 

Остальные утилиты лечения и папки можно просто удалить.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Константин Мордвинов]

по первым пунктам, сделанно, все успешно удалено.

 

По второму прикрепил лог

SecurityCheck.txt

[Sandor]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.18617 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя отключен (Уровень 1)

^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^

Автоматическое обновление отключено

Дата установки обновлений: 2014-10-11 19:02:58

------------------------------- [ HotFix ] --------------------------------

HotFix KB3115858 Внимание! Скачать обновления

HotFix KB3140735 Внимание! Скачать обновления

HotFix KB3138910 Внимание! Скачать обновления

HotFix KB3138962 Внимание! Скачать обновления

HotFix KB3145739 Внимание! Скачать обновления

HotFix KB3146963 Внимание! Скачать обновления

HotFix KB3156013 Внимание! Скачать обновления

HotFix KB3156016 Внимание! Скачать обновления

HotFix KB3155178 Внимание! Скачать обновления

HotFix KB3153171 Внимание! Скачать обновления

HotFix KB3170455 Внимание! Скачать обновления

HotFix KB3178034 Внимание! Скачать обновления

HotFix KB3185911 Внимание! Скачать обновления

HotFix KB3184122 Внимание! Скачать обновления

HotFix KB3192391 Внимание! Скачать обновления

HotFix KB3197867 Внимание! Скачать обновления

HotFix KB3205394 Внимание! Скачать обновления

HotFix KB4019263 Внимание! Скачать обновления

HotFix KB4022722 Внимание! Скачать обновления

HotFix KB4015546 Внимание! Скачать обновления

HotFix KB4025337 Внимание! Скачать обновления

HotFix KB4034679 Внимание! Скачать обновления

HotFix KB4041678 Внимание! Скачать обновления

HotFix KB4056894 Внимание! Скачать обновления

HotFix KB4056897 Внимание! Скачать обновления

HotFix KB4074587 Внимание! Скачать обновления

HotFix KB4103712 Внимание! Скачать обновления

HotFix KB4343899 Внимание! Скачать обновления

HotFix KB4457145 Внимание! Скачать обновления

HotFix KB4462923 Внимание! Скачать обновления

HotFix KB4486563 Внимание! Скачать обновления

--------------------------- [ OtherUtilities ] ----------------------------

VLC media player v.2.1.5 Внимание! Скачать обновления

WinRAR 5.11 (64-разрядная) v.5.11.0 Внимание! Скачать обновления

Microsoft Office Enterprise 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online

Microsoft Silverlight v.4.0.50401.0 Внимание! Скачать обновления

Microsoft Office Excel 2007 Help Обновление (KB963678) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online

Microsoft Office Powerpoint 2007 Help Обновление (KB963669) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online

Microsoft Office Outlook 2007 Help Обновление (KB963677) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online

Microsoft Office Word 2007 Help Обновление (KB963665) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.5.5.44994 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

--------------------------- [ AppleProduction ] ---------------------------

Bonjour v.1.0.106 Внимание! Скачать обновления

^Для проверки новой версии используйте приложение Apple Software Update^

----------------------------- [ EmailClient ] -----------------------------

Windows Live Mesh v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

Windows Live Mail v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

Почта Windows Live v.15.4.3502.0922 Данная программа больше не поддерживается разработчиком.

---------------------------- [ UnwantedApps ] -----------------------------

Intel Security True Key v.4.12.108.1 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Intel Security True Key (TrueKey) - Служба остановлена

Intel Security True Key Scheduler (TrueKeyScheduler) - Служба остановлена

 

 

Рекомендации после удаления вредоносного ПО

[Константин Мордвинов]

Доброго времени суток.

 

Попытался установить обновления, не установились следующие пакеты:

 

HotFix KB3140735 Внимание! Скачать обновления

HotFix KB3138962 Внимание! Скачать обновления

HotFix KB3145739 Внимание! Скачать обновления

HotFix KB3146963 Внимание! Скачать обновления
HotFix KB3156013 Внимание! Скачать обновления

HotFix KB3153171 Внимание! Скачать обновления

HotFix KB3178034 Внимание! Скачать обновления

HotFix KB3185911 Внимание! Скачать обновления
HotFix KB3184122 Внимание! Скачать обновления

пишет, что "Обновление не применимо к этому компьютеру"

 

Так же хотел спросить: "Как удалить этого парня ?"

Intel Security True Key v.4.12.108.1 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция.