TrojWare Bazon.a

[Александрntmk]

Добрый день!

Не запускается Kaspersky Virus Removal Tool не в обычном режиме, не в безопасном. 

Вирус не как не удаляется. В безопасном режиме папка удаляется, но после перезагрузки опять восстанавливается. 

 

CollectionLog-2020.09.10-08.34.zip

Изменено 10 сентября, 2020 пользователем Александрntmk
Приложил файлы

[Sandor]

Здравствуйте!

 

Архив неполный. Соберите отчёты этой версией Автологера.

[Александрntmk]

Добрый день!

Отсканировали Вашей программой.  Правильно?

CollectionLog-2020.09.11-08.20.zip

[Sandor]

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Александрntmk]

Цитата

 

Сделал.

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
   

  Start::
  CreateRestorePoint:
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer: [DisallowRun] 1
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [1] eav_trial_rus.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [2] avast_free_antivirus_setup_online.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [3] eis_trial_rus.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [4] essf_trial_rus.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [5] hitmanpro_x64.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [6] ESETOnlineScanner_UKR.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [7] ESETOnlineScanner_RUS.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [8] HitmanPro.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [9] 360TS_Setup_Mini.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [10] Cezurity_Scanner_Pro_Free.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\Policies\Explorer\DisallowRun: [11] Cube.exe
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {0249bc4c-64d7-11ea-8501-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {0249bc9d-64d7-11ea-8501-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {18cb2edb-e290-11ea-8570-704d7b62d62b} - "E:\start.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {18cb2f03-e290-11ea-8570-704d7b62d62b} - "E:\start.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {37184e50-eb4a-11ea-857c-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {59659f11-8fb7-11e8-8337-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {59659f72-8fb7-11e8-8337-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {59659fb9-8fb7-11e8-8337-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {5965a058-8fb7-11e8-8337-704d7b62d62b} - "E:\AutoRun.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {87f06371-c6b9-11e8-836e-704d7b62d62b} - "E:\Startme.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {a0df6e41-b988-11e9-8462-704d7b62d62b} - "E:\start.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {bc989eaf-a12c-11e9-8449-704d7b62d62b} - "E:\start.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {bc989edc-a12c-11e9-8449-704d7b62d62b} - "E:\start.exe" 
  HKU\S-1-5-21-1256511156-325745271-3661545885-1001\...\MountPoints2: {db7176de-2855-11ea-84d1-704d7b62d62b} - "E:\start.exe" 
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  2020-08-31 09:17 - 2020-09-08 08:43 - 000000000 __SHD C:\ProgramData\Doctor Web
  2020-08-31 09:17 - 2020-08-31 09:43 - 000000000 ___HD C:\Program Files\RDP Wrapper
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\rdp
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\Norton
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\McAfee
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\grizzly
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\ESET
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\SpyHunter
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\Malwarebytes
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\Kaspersky Lab
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\ESET
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\Enigma Software Group
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\COMODO
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\Common Files\McAfee
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\Cezurity
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\AVG
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files\AVAST Software
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files (x86)\Panda Security
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files (x86)\Cezurity
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files (x86)\AVG
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
  2020-08-31 09:17 - 2020-08-31 09:17 - 000000000 ____D C:\ProgramData\Avira
  2020-08-31 09:16 - 2020-09-11 08:36 - 000000000 __SHD C:\KVRT_Data
  2020-08-31 09:16 - 2020-08-31 12:17 - 000000000 __SHD C:\ProgramData\Windows
  2020-08-31 09:16 - 2020-08-31 12:16 - 000000000 __SHD C:\ProgramData\RunDLL
  2020-08-31 09:16 - 2020-08-31 09:26 - 000000000 __SHD C:\ProgramData\WindowsTask
  2020-08-31 09:16 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\Setup
  2020-08-31 09:16 - 2020-08-31 09:17 - 000000000 __SHD C:\ProgramData\install
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 __SHD C:\ProgramData\360safe
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 __SHD C:\Program Files\ByteFence
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 __SHD C:\Program Files (x86)\360
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 ____D C:\Windows\speechstracing
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 ____D C:\ProgramData\System32
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 ____D C:\ProgramData\MB3Install
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 ____D C:\ProgramData\Malwarebytes
  2020-08-31 09:16 - 2020-08-31 09:16 - 000000000 ____D C:\ProgramData\Indus
  ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
  FirewallRules: [{E08837A2-52B5-4017-8A60-1AEE0C86FD59}] => (Allow) LPort=475
  FirewallRules: [{2E1CAB42-C540-4E80-805E-7ABEBF2F762A}] => (Allow) LPort=475
  FirewallRules: [{18B8D5B2-3E02-4E61-9E19-8CE9DE9819B9}] => (Allow) LPort=475
  FirewallRules: [{7EFD70B7-4633-4EDB-917A-F12675CA9D02}] => (Allow) LPort=475
  FirewallRules: [{3A141A7B-4E3E-4504-8964-68143FBA2D58}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => No File
  FirewallRules: [{5A8A0954-F6FC-4F48-8F9B-FEF8BDB56CD2}] => (Allow) C:\Program Files (x86)\Zona\Zona.exe => No File
  FirewallRules: [{01020A00-3AC3-4295-B721-1D14EB75EF30}] => (Block) LPort=445
  FirewallRules: [{1852F14E-8187-47F6-AEAD-A26D74D43239}] => (Block) LPort=445
  FirewallRules: [{D194E6F4-80E0-4FA6-869D-781609A4C2A0}] => (Block) LPort=139
  FirewallRules: [{B4E54D69-FC9E-4BD8-BAE7-2A4073EF339B}] => (Block) LPort=139
  FirewallRules: [{D53FCD04-E051-4D06-904F-A0D558B1E7C4}] => (Allow) LPort=3389
  FirewallRules: [{40FAD321-FE0F-4158-9EAD-EFD177E27696}] => (Allow) LPort=3389
  CMD: net user john /delete
  EmptyTemp:
  Reboot:
  End::
  
  

  
  
   
• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 

Изменено 11 сентября, 2020 пользователем Sandor

[Александрntmk]

Сделал.

Fixlog.txt

[Sandor]

В командной строке, запущенной от имени администратора, выполните

net user john /delete

 

[Александрntmk]

Правильный файл по инструкции.

Fixlog.txt

 

Скриншот с команды.

[Sandor]

Покажите ещё результат команды

net user

 

 

Ага, понятно, вы второй раз выполнили исправленный скрипт.

Что сейчас с проблемой?

[Александрntmk]

 

Все так же висит в касперском. При повторном поиске выдает.

 

Зато  Kaspersky Virus Removal Tool  запустился. Сейчас им проверю компьютер.

Просканировал, вирус не нашел. В основном касперском все еще висит.

[Sandor]

Пароль на RDP смените.

 

Проделайте завершающие шаги:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Александрntmk]

Хорошо, сейчас.

 

Пароль на RDP смените. это что такое?

 

Сделал.

SecurityCheck.txt

Изменено 11 сентября, 2020 пользователем Александрntmk

[Sandor]

Remote Desktop Protocol - удалённое подключение к вашему компьютеру.

 

---------------------- [ AntiVirusFirewallInstall ] -----------------------
Kaspersky Total Security v.20.0.14.1085 Внимание! Скачать обновления
--------------------------- [ OtherUtilities ] ----------------------------
NVIDIA GeForce Experience 3.19.0.94 v.3.19.0.94 Внимание! Скачать обновления
Microsoft Office Enterprise 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office 2007 Service Pack 3 (SP3) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
-------------------------------- [ Arch ] ---------------------------------
Архиватор WinRAR (только удаление) Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 NPAPI v.32.0.0.414 Внимание! Скачать обновления
Adobe Flash Player 32 PPAPI v.32.0.0.414 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Yandex v.20.8.1.79 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
 

 

Читайте Рекомендации после удаления вредоносного ПО

[Александрntmk]

Хотя за администратора заходим.