win32.Miner.vohw и win32.Bodan.a

[Илья754]

Помогите удалить вирусы. Касперский 19 постоянно ругается, пишет что удалил, а они всё снова и снова появляются.

CollectionLog-2019.03.27-09.41.zip

Изменено 27 марта, 2019 пользователем Илья754

[thyrex]

Выполните скрипт в AVZ из папки Autologger

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\WindowsInternal.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\Win32WebViewHost.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\ShellExperienceHost.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\PeopleExperienceHost.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\CredDialogHost.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\BioEnrollmentHost.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\AccountsControlHost.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\NetworkConnectionFlow.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\BioEnrollment.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\PinningConfirmationDialog.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\AddSuggestedFoldersToLibraryDialog.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\RemindersShareTargetApp.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\LockApp.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\.IdentityService\AssignedAccessLockApp.exe','');
 QuarantineFile('C:\Users\stree\AppData\Local\Google\Software Reporter Tool\googledrives.exe','');
 TerminateProcessByName('c:\users\stree\appdata\local\flash player\software\update_flashplayer.exe');
 QuarantineFile('c:\users\stree\appdata\local\flash player\software\update_flashplayer.exe','');
 DeleteFile('c:\users\stree\appdata\local\flash player\software\update_flashplayer.exe','32');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\AssignedAccessLockApp.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\LockApp.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\RemindersShareTargetApp.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\AddSuggestedFoldersToLibraryDialog.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\PinningConfirmationDialog.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\BioEnrollment.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\NetworkConnectionFlow.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\AccountsControlHost.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\BioEnrollmentHost.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\CredDialogHost.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\PeopleExperienceHost.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\ShellExperienceHost.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\Win32WebViewHost.exe','64');
 DeleteFile('C:\Users\stree\AppData\Local\.IdentityService\WindowsInternal.exe','64');
 DeleteSchedulerTask('InternalWindows');
 DeleteSchedulerTask('HostWin32WebView');
 DeleteSchedulerTask('HostShellExperience');
 DeleteSchedulerTask('HostPeopleExperience');
 DeleteSchedulerTask('HostCredDialog');
 DeleteSchedulerTask('HostBioEnrollment');
 DeleteSchedulerTask('HostAccountsControl');
 DeleteSchedulerTask('FlowNetworkConnection');
 DeleteSchedulerTask('EnrollmentBio');
 DeleteSchedulerTask('DialogPinningConfirmation');
 DeleteSchedulerTask('DialogAddSuggestedFoldersToLibrary');
 DeleteSchedulerTask('AppRemindersShareTarget');
 DeleteSchedulerTask('AppLock');
 DeleteSchedulerTask('AppAssignedAccessLock');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после скрипта.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[Илья754]

Файл сохранён как 190327_063147_quarantine_5c9b18d3765e4.zip Размер файла 2562452 MD5 bf9bc0ba8e6ae05a78ea4060ebc002b1

 

 

CollectionLog-2019.03.27-11.39.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[Илья754]

готово

addition+frst.ZIP

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
2019-03-27 11:41 - 2019-03-27 11:41 - 000003702 _____ C:\WINDOWS\System32\Tasks\AddSuggestedFoldersToLibraryDialog
2019-03-27 11:41 - 2019-03-27 11:41 - 000003674 _____ C:\WINDOWS\System32\Tasks\CameraBarcodeScannerPreview
2019-03-27 11:41 - 2019-03-27 11:41 - 000003650 _____ C:\WINDOWS\System32\Tasks\AssignedAccessLockApp
2019-03-27 11:41 - 2019-03-27 11:41 - 000003626 _____ C:\WINDOWS\System32\Tasks\RemindersServer
2019-03-27 11:41 - 2019-03-27 11:41 - 000003626 _____ C:\WINDOWS\System32\Tasks\ActionUriServer
2019-03-27 11:41 - 2019-03-27 11:41 - 000003622 _____ C:\WINDOWS\System32\Tasks\CHXSmartScreen
2019-03-27 11:41 - 2019-03-27 11:41 - 000003618 _____ C:\WINDOWS\System32\Tasks\CapturePicker
2019-03-27 11:41 - 2019-03-27 11:41 - 000003618 _____ C:\WINDOWS\System32\Tasks\AppResolverUX
2019-03-27 11:41 - 2019-03-27 11:41 - 000003614 _____ C:\WINDOWS\System32\Tasks\PlacesServer
2019-03-27 11:38 - 2019-03-27 11:38 - 000003702 _____ C:\WINDOWS\System32\Tasks\DialogAddSuggestedFoldersToLibrary
2019-03-27 11:38 - 2019-03-27 11:38 - 000003674 _____ C:\WINDOWS\System32\Tasks\PreviewCameraBarcodeScanner
2019-03-27 11:38 - 2019-03-27 11:38 - 000003650 _____ C:\WINDOWS\System32\Tasks\AppAssignedAccessLock
2019-03-27 11:38 - 2019-03-27 11:38 - 000003630 _____ C:\WINDOWS\System32\Tasks\HostWin32WebView
2019-03-27 11:38 - 2019-03-27 11:38 - 000003626 _____ C:\WINDOWS\System32\Tasks\ServerReminders
2019-03-27 11:38 - 2019-03-27 11:38 - 000003626 _____ C:\WINDOWS\System32\Tasks\ServerActionUri
2019-03-27 11:38 - 2019-03-27 11:38 - 000003622 _____ C:\WINDOWS\System32\Tasks\ScreenCHXSmart
2019-03-27 11:38 - 2019-03-27 11:38 - 000003618 _____ C:\WINDOWS\System32\Tasks\UXAppResolver
2019-03-27 11:38 - 2019-03-27 11:38 - 000003618 _____ C:\WINDOWS\System32\Tasks\PickerCapture
2019-03-27 11:38 - 2019-03-27 11:38 - 000003614 _____ C:\WINDOWS\System32\Tasks\ServerPlaces
2019-03-27 11:38 - 2019-03-27 11:38 - 000003608 _____ C:\WINDOWS\System32\Tasks\SynapNvTm
Folder: C:\Users\stree\AppData\Local\.IdentityService
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Илья754]

Готово

Fixlog.txt

[thyrex]

Заархивируйте содержимое папки C:\Users\stree\AppData\Local\.IdentityService в архив с паролем virus (в имени архива не должно быть символов кириллицы) и загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678 

[Илья754]

 

Файл сохранён как

 

190328_031223_IdentityService_5c9c3b97e84c2.zip

 

Размер файла

 

251177

 

MD5

 

330b4f30c69b3a3314ff7ca911d5d5a2

 

 

 

[thyrex]

Удаляйте папку.

 

Что с проблемой?

[Илья754]

Удаляйте папку.

 

Что с проблемой?

 

Вроде бы всё получилось. Спасибо.

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.