подозрение на вирусы

[X3MaL86]

добрый день. недавно ломанули почту, решил проверить на вирусы. скан в avz выявил
 

1.1 Поиск перехватчиков API, работающих в UserMode

 Анализ kernel32.dll, таблица экспорта найдена в секции .text

 Анализ ntdll.dll, таблица экспорта найдена в секции .text

Функция ntdll.dll:NtMakeTemporaryObject (344) перехвачена, метод CodeHijack (метод не определен)

Функция ntdll.dll:NtSetSystemTime (532) перехвачена, метод CodeHijack (метод не определен)

Функция ntdll.dll:ZwMakeTemporaryObject (1594) перехвачена, метод CodeHijack (метод не определен)

Функция ntdll.dll:ZwSetSystemTime (1782) перехвачена, метод CodeHijack (метод не определен)

 

 

 

cureit и касперский ничего не нашли
отчет с avz

https://virusinfo.info/virusdetector/report.php?md5=334A9FE37BEA8DB5C744E6B4E180189E

virusinfo_auto_X3MAL-ПК.zip

avz_log.txt

CollectionLog-2019.03.11-15.22.zip

Изменено 11 марта, 2019 пользователем X3MaL86

[Sandor]

Здравствуйте!

 

перехвачена, метод CodeHijack (метод не определен)

Не страшно.

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[X3MaL86]

результаты

AdwCleanerS00.txt

[Sandor]

Ace Stream Media 3.1.20.4 деинсталлируйте.

 

Затем:

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[X3MaL86]

1. удалил

2. отчеты

AdwCleanerC01.txt

Addition.txt

FRST.txt

Изменено 11 марта, 2019 пользователем X3MaL86

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  GroupPolicy: Restriction ? <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  C:\Users\X3MaL\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo
  CHR HKLM\...\Chrome\Extension: [fhoibnponjcgjgcnfacekaijdbbplhib] - hxxps://chrome.google.com/webstore/detail/fhoibnponjcgjgcnfacekaijdbbplhib
  CHR HKU\S-1-5-21-952084099-1015666985-154211860-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-952084099-1015666985-154211860-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-952084099-1015666985-154211860-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ligncphnohhjkgekjkghahajihclailj] - hxxps://clients2.google.com/service/update2/crx
  CHR HKU\S-1-5-21-952084099-1015666985-154211860-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [fhoibnponjcgjgcnfacekaijdbbplhib] - hxxps://chrome.google.com/webstore/detail/fhoibnponjcgjgcnfacekaijdbbplhib
  Task: {28C8C4B3-5B4A-40A5-8647-37ED85AC6B41} - \{040C7A47-0479-7F78-0B11-097F0A05117E} -> No File <==== ATTENTION
  MSCONFIG\startupreg: X3MaL => cmd.exe /c start www.dipladoks.org
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[X3MaL86]

сделал

Fixlog.txt

[Sandor]

Что-либо из подозрений ещё осталось?

[X3MaL86]

на всякий случай повторно просканировал, в avz все без ошибок теперь, в adwcleaner тоже ничего не обнаружено. На всякий случай снова повторил сканирования и прикрепил новые отчеты.

Спасибо за оперативную помощь. Значит где то троян словил я? Эх, первый раз такая проблема за много лет, вроде аккуратно хожу везде, да и касперский выручал всегда

CollectionLog-2019.03.11-17.36.zip

Addition.txt

avz_log.txt

FRST.txt

Изменено 11 марта, 2019 пользователем X3MaL86

[Sandor]

да и касперский выручал всегда

Обновите до актуальной версии.

 

В завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.

Компьютер перезагрузится.

 

Остальные утилиты лечения и папки можно просто удалить.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[X3MaL86]

касперский стоял интернет секьюрити 17 версии. Сделал

SecurityCheck.txt

Изменено 11 марта, 2019 пользователем X3MaL86

[Sandor]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 10.0.9200.16540 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя включен (Уровень 3)

Автоматическое обновление отключено (-1)

------------------------------- [ HotFix ] --------------------------------

HotFix KB3115858 Внимание! Скачать обновления

HotFix KB3140735 Внимание! Скачать обновления

HotFix KB3138910 Внимание! Скачать обновления

HotFix KB3138962 Внимание! Скачать обновления

HotFix KB3145739 Внимание! Скачать обновления

HotFix KB3146963 Внимание! Скачать обновления

HotFix KB3156013 Внимание! Скачать обновления

HotFix KB3156016 Внимание! Скачать обновления

HotFix KB3155178 Внимание! Скачать обновления

HotFix KB3153171 Внимание! Скачать обновления

HotFix KB3170455 Внимание! Скачать обновления

HotFix KB3178034 Внимание! Скачать обновления

HotFix KB3185911 Внимание! Скачать обновления

HotFix KB3184122 Внимание! Скачать обновления

HotFix KB3192391 Внимание! Скачать обновления

HotFix KB3197867 Внимание! Скачать обновления

HotFix KB3205394 Внимание! Скачать обновления

HotFix KB4012212 Внимание! Скачать обновления

HotFix KB4019263 Внимание! Скачать обновления

HotFix KB4022722 Внимание! Скачать обновления

HotFix KB4015546 Внимание! Скачать обновления

HotFix KB4025337 Внимание! Скачать обновления

HotFix KB4034679 Внимание! Скачать обновления

HotFix KB4041678 Внимание! Скачать обновления

HotFix KB4056894 Внимание! Скачать обновления

HotFix KB4056897 Внимание! Скачать обновления

HotFix KB4074587 Внимание! Скачать обновления

HotFix KB4103712 Внимание! Скачать обновления

HotFix KB4343899 Внимание! Скачать обновления

HotFix KB4457145 Внимание! Скачать обновления

HotFix KB4462923 Внимание! Скачать обновления

HotFix KB4486563 Внимание! Скачать обновления

--------------------------- [ OtherUtilities ] ----------------------------

VLC media player v.3.0.4 Внимание! Скачать обновления

WinRAR 5.50 (64-разрядная) v.5.50.0 Внимание! Скачать обновления

Microsoft .NET Framework 4.5 v.4.5.50710 Внимание! Скачать обновления

NVIDIA GeForce Experience 3.16.0.140 v.3.16.0.140 Внимание! Скачать обновления

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.1.8.2 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

-------------------------------- [ Java ] ---------------------------------

Java 8 Update 121 (64-bit) v.8.0.1210.13 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u201-windows-x64.exe)^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 31 PPAPI v.31.0.0.153 Внимание! Скачать обновления

---------------------------- [ UnwantedApps ] -----------------------------

Игровой центр v.4.1432 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

 

 

Рекомендации после удаления вредоносного ПО

[X3MaL86]

спасибо, программы обновил. а вот по обновлениям винды проблема, т.к. пиратка, после пары обновлений (поставил KB3115858 и KB3140735) словил ошибку  "0 xc 0000005", откатил на час, все норм, буду разбираться какие можно ставить. В остальном больше проблем нет у меня?

[Sandor]

Нет, удачи!