[РЕШЕНО] Не устанавливается KTS

[Gal307]

Доброго времени суток!

 

Сегодня хотел поставить KTS, скачал с офиц. сайта, но установочник не открывался. После двойного клика значок мышки менялся на загрузку на секунду, а затем ничего не происходило. Ни в процессах, ни в задачах установщика не было. Запуск от администратора также не принёс ничего.

После этого по рекомендации представителя "Касперский" в вк я скачал KVRT, который запускался, но при нажатии на кнопку "Пуск" ничего не происходило.

Залил KVRT на флэшку, загрузился с неё, чистка закончилась 2 удалёнными троянами. Что за трояны - не скринил.

 

После этого загрузился со своей винды и снова попытался установить KTS. Проблема с его установкой, а точнее с её отсутствием, сохранилась.

 

Итого: KTS не устанавливается, даже не открывается. KVRP запускается только с флэшки через биос, просто через винду открывается, но не сканирует. GetSystemInfo также не работает, более двух часов сбор данных стоял на одном месте и не потреблял ресурсов.

 

Почитал тему https://forum.kasperskyclub.ru/topic/65468-resheno-kvrt-ne-zapuskaetsya-na-skanirovanie/, вроде проблема похожа, но я не уверен, подойдёт ли мне та последовательность действий точь в точь. Насколько я понимаю, всё зависит от логов, которые выгрузятся.

 

Помогите, пожалуйста, разобраться и решить проблему. Спасибо!

CollectionLog-2020.06.05-23.14.zip

Изменено 5 июня, 2020 пользователем Gal307
Забыл приложить лог

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\RDP Wrapper\rdpwrap.dll', '');
 QuarantineFile('C:\ProgramData\RealtekHD\taskhostw.exe', '');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\SystemC');
 DeleteFile('C:\Program Files\RDP Wrapper\rdpwrap.dll', '64');
 DeleteFile('C:\ProgramData\RealtekHD\taskhostw.exe', '32');
 DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Realtek HD Audio', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится. 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 

Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

 

Затем:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Gal307]

08.06.2020 в 19:01, Sandor сказал:

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\RDP Wrapper\rdpwrap.dll', '');
 QuarantineFile('C:\ProgramData\RealtekHD\taskhostw.exe', '');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\SystemC');
 DeleteFile('C:\Program Files\RDP Wrapper\rdpwrap.dll', '64');
 DeleteFile('C:\ProgramData\RealtekHD\taskhostw.exe', '32');
 DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Realtek HD Audio', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится. 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Файл CheckBrowserLnk.log
из папки

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 

Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

 

Затем:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Добрый день!

 

По quarantine.zip пока ответа нет, как только получу - добавлю.

 

Ссылка на результаты анализа:https://virusinfo.info/virusdetector/report.php?md5=1F95C159B3D826910CF97DE69CDC6A2E

Addition.txt ClearLNK-2020.06.20_17.04.03.log FRST.txt

[regist]

Расширения в браузер от Яндекса и Mail.ru сами ставили?

[regist]

1) McAfee Safe Connect  - деинсталируйте.

 

2) Создайте точку восстановления системы.

 

3)

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  CustomCLSID: HKU\S-1-5-21-3231795255-2841707141-4229622402-1000_Classes\CLSID\{46406D82-6EC0-47CC-8A75-1F33C6DEDBBE}\InprocServer32 -> C:\Users\user\AppData\Local\Google\Update\1.3.35.442\psuser_64.dll => No File
  CustomCLSID: HKU\S-1-5-21-3231795255-2841707141-4229622402-1000_Classes\CLSID\{540C17A8-04F2-4B66-95D7-B2FEF9A19B54}\InprocServer32 -> C:\Users\user\AppData\Local\Google\Update\1.3.35.422\psuser_64.dll => No File
  CustomCLSID: HKU\S-1-5-21-3231795255-2841707141-4229622402-1000_Classes\CLSID\{84EB3779-151B-4C71-AEF0-A0FEE9481401}\InprocServer32 -> C:\Users\user\AppData\Local\Google\Update\1.3.35.342\psuser_64.dll => No File
  CustomCLSID: HKU\S-1-5-21-3231795255-2841707141-4229622402-1000_Classes\CLSID\{86508D42-E5D7-4D10-9C6F-D427AEEB85B5}\InprocServer32 -> C:\Users\user\AppData\Local\Google\Update\1.3.34.11\psuser_64.dll => No File
  CustomCLSID: HKU\S-1-5-21-3231795255-2841707141-4229622402-1000_Classes\CLSID\{EF076C91-DC9E-43E3-84ED-3D219E065A4F}\InprocServer32 -> C:\Users\user\AppData\Local\Google\Update\1.3.35.302\psuser_64.dll => No File
  FirewallRules: [{D0C0B05D-B769-4243-85C8-73E4E30B537F}] => (Allow) C:\ProgramData\Windows\rutserv.exe => No File
  HKLM-x32\...\Run: [] => [X]
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer: [DisallowRun] 1
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [1] eav_trial_rus.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [2] avast_free_antivirus_setup_online.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [3] eis_trial_rus.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [4] essf_trial_rus.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [5] hitmanpro_x64.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [6] ESETOnlineScanner_UKR.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [7] ESETOnlineScanner_RUS.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [8] HitmanPro.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [9] 360TS_Setup_Mini.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [10] Cezurity_Scanner_Pro_Free.exe
  HKU\S-1-5-21-3231795255-2841707141-4229622402-1000\...\Policies\Explorer\DisallowRun: [11] Cube.exe
  GroupPolicy: Restriction ? <==== ATTENTION
  2020-06-03 18:18 - 2020-06-05 23:16 - 000000000 __SHD C:\ProgramData\Doctor Web
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\ProgramData\grizzly
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\ProgramData\ESET
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\Program Files\ESET
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\Program Files\Cezurity
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\Program Files (x86)\Panda Security
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 __SHD C:\Program Files (x86)\Cezurity
  2020-06-03 18:18 - 2020-06-03 18:18 - 000000000 ____D C:\ProgramData\Avira
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\ProgramData\Norton
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\ProgramData\AVAST Software
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\ProgramData\360safe
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\SpyHunter
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\Malwarebytes
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\Kaspersky Lab
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\Enigma Software Group
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\COMODO
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\ByteFence
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\AVG
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files\AVAST Software
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files (x86)\AVG
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\Program Files (x86)\360
  2020-06-03 18:17 - 2020-06-03 18:17 - 000000000 __SHD C:\AdwCleaner
  EmptyTemp:
  Reboot:
  End::

  
  
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
  

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

4) Посмотрите, что находится в папке?

C:\Program Files\RDP Wrapper

5) Вам знакомы файлы?

C:\ProgramData\ipras.vbs
C:\ProgramData\RDPWinst.exe
C:\Users\Все пользователи\ipras.vbs
C:\Users\Все пользователи\RDPWinst.exe

6) Проверьте, что с проблемой (установкой KTS)?

[Gal307]

18 часов назад, regist сказал:

Расширения в браузер от Яндекса и Mail.ru сами ставили?

В Хроме от них нет расширений, в Мозиле стоит советник от Я.Маркета. Больше никаких расширений не вижу

 

17 часов назад, regist сказал:

1) McAfee Safe Connect  - деинсталируйте.

Удалил

18 часов назад, regist сказал:

2) Создайте точку восстановления системы.

Не могу создать, ошибка 0x81000203. для лечения ошибки предлагается переустановить ОС по этой схеме https://answers.microsoft.com/ru-ru/windows/forum/all/произошл/077e190a-9427-4263-b103-ba7ded0a99cd?page=1. Восстановить по ней и потом запустить скрипт из п.3?

 

18 часов назад, regist сказал:

4) Посмотрите, что находится в папке?

C:\Program Files\RDP Wrapper

Папка пустая, показ скрытых файлов и папок у меня включён

 

18 часов назад, regist сказал:

5) Вам знакомы файлы?

C:\ProgramData\ipras.vbs
C:\ProgramData\RDPWinst.exe
C:\Users\Все пользователи\ipras.vbs
C:\Users\Все пользователи\RDPWinst.exe

Нет, файлы незнакомы

 

 

[Sandor]

12 минут назад, Gal307 сказал:

Восстановить по ней и потом запустить скрипт из п.3?

Выполните скрипт без создания точки восстановления.

[regist]

+ дополнительно

 

- выполните такой скрипт в AVZ

begin
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\ipras.vbs', '');
 QuarantineFile('C:\ProgramData\RDPWinst.exe', '');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 RebootWindows(false);
end.

Файл quarantine.zip из папки AVZ отправьте с помощьюэтой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения.

 

[Gal307]

58 минут назад, Sandor сказал:

Выполните скрипт без создания точки восстановления.

 

Fixlog.txt

 

39 минут назад, regist сказал:

Файл quarantine.zip из папки AVZ отправьте с помощьюэтой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения.

 

2020.06.21_quarantine_34bd9d1aee902f470c250e7be4c92acf.zip

 

После того, как выполнил 

39 минут назад, regist сказал:

begin  ClearQuarantineEx(true);  QuarantineFile('C:\ProgramData\ipras.vbs', '');  QuarantineFile('C:\ProgramData\RDPWinst.exe', '');  ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);  CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');  RebootWindows(false); end.

и 

19 часов назад, regist сказал:

Выделите следующий код:

 

KTS установился

[regist]

Здравствуйте!

C:\ProgramData\ipras.vbs

загрузите на любой обменник без капчи и скиньте ссылке мне в ЛС.

 

 временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 DeleteDirectory('C:\Program Files\RDP Wrapper');
 DeleteFile('C:\ProgramData\ipras.vbs');
 DeleteFile('C:\ProgramData\RDPWinst.exe');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(false);
end.

 

Удалите папку со скаченным раннее Автологером, скачайте свежую версию.
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

[Gal307]

54 минуты назад, regist сказал:

Повторите логи по правилам.

 

CollectionLog-2020.06.21-16.23.zip

[regist]

1)

DHCP DNS 1: 192.168.0.1

Советую прописать на роутере DNS вашего провайдера.

 

2) Про расширения, что выше спрашивал имел ввиду в Мозилле это

FF NewTabOverride: Mozilla\Firefox\Profiles\a05pjm2i.default-release -> Enabled: vb@yandex.ru
FF Extension: (Советник Яндекс.Маркета) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\a05pjm2i.default-release\Extensions\sovetnik-yandex@yandex.ru.xpi [2020-06-19] [UpdateUrl:hxxps://static.sovetnik.yandex.net/sovetnik/extension/firefox-webextension-yandex-update.json]
FF Extension: (Визуальные закладки) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\a05pjm2i.default-release\Extensions\vb@yandex.ru.xpi [2019-07-03]
FF Extension: (Советник Яндекс.Маркета) - C:\Program Files\Mozilla Firefox\distribution\extensions\sovetnik-yandex@yandex.ru.xpi [2019-06-20] [UpdateUrl:hxxps://static.sovetnik.yandex.net/sovetnik/extension/firefox-webextension-yandex-update.json]
FF Extension: (Визуальные закладки) - C:\Program Files\Mozilla Firefox\distribution\extensions\vb@yandex.ru.xpi [2019-06-20]

можете удалить вручную, либо просто скопируйте эти строки, запустит FRST и нажмите FIX.

 

3) Советую проверить работает ли восстановление системы и если работает, то создать точку восстановления.

[Gal307]

15 минут назад, regist сказал:

1)

DHCP DNS 1: 192.168.0.1

Советую прописать на роутере DNS вашего провайдера.

Вроде бы этот и есть, через ipconfig показывает именно его

 

16 минут назад, regist сказал:

3) Советую проверить работает ли восстановление системы и если работает, то создать точку восстановления.

К сожалению, так и не работает(

 

Большое спасибо за помощь!

[regist]

21.06.2020 в 14:20, Gal307 сказал:

Вроде бы этот и есть, через ipconfig показывает именно его

Да показывает его ибо именно он и прописан. А я как раз советую вместо него прописать DNS провайдера, то есть либо посмотреть в договоре (если там указан), либо позвонить в его тех. поддержку спросить какие у него DNS и прописать его DNS.

 

+

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var

	LogPath : string;

	ScriptPath : string;



	begin

	 LogPath := GetAVZDirectory + 'log\avz_log.txt';

	 if FileExists(LogPath) Then DeleteFile(LogPath);

	 ScriptPath := GetAVZDirectory +'ScanVuln.txt';



	  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin

	    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin

	       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');

	       exit;

	      end;

	  end;

	 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)

	end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните [url=https://safezone.cc/threads/16715/]рекомендации после лечения[/url].