удаление mem:trojan.win32.sepeh.gen

[Андрей_]

Добрый вечер! Помогите пожалуйста удалить вирус trojan.win32.sepeh.gen. После быстрой проверки KIS находит этот вирус. Провожу лечение, а при следующей проверке он снова появляется в памяти компьютера.

CollectionLog-2020.12.23-22.05.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 QuarantineFile('C:\Users\user1\AppData\Roaming\Microsoft\AdModNetW4b8\adnekmod8b4.dll','');
QuarantineFile('C:\PROGRA~2\MOZILL~1\nssckbi.dll','');
QuarantineFile('c:\users\user1\appdata\roaming\openssl\torbrowser\data\tor.exe','');
 DeleteFile('C:\PROGRA~2\MOZILL~1\nssckbi.dll','32');
DeleteFile('C:\Users\user1\AppData\Roaming\Microsoft\AdModNetW4b8\adnekmod8b4.dll','64');
 DeleteSchedulerTask('zAmigoBrowserUpdate');
 DeleteSchedulerTask('{17D44972-E4A2-4D3A-AF35-3ED6017FD3E8}');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу mike1@avp.su.
1. В заголовке письма напишите "Карантин".
2. В письме напишите ссылку на Вашу тему.
3. Прикрепите файл карантина и нажмите "Отправить"

 

Сделайте новые логи Автологгером. 
 

[Андрей_]

происходит ошибка скрипта

 

Прошу прощения, произошел сбой загрузки компьютера, пришлось делать восстановление запуска контрольной точки на начало этого дня. Прикрепляю новый архив

CollectionLog-2020.12.24-00.00.zip

[mike 1]

24 минуты назад, Андрей_ сказал:

происходит ошибка скрипта

Используйте avz из папки автоллогера

[Андрей_]

Отправил на Ваш адрес mike1@avp.su файл quarantine.zip.

После выполнения скриптов отказал Mozilla Firefox. Пришлось переустанавливать.

Выкладываю новые логи.

Несколько раз произвел быструю проверку. Вирус не обнаружен.

CollectionLog-2020.12.24-01.20.zip

[mike 1]

Извиняюсь, один файл нужный случайно удалил. Выслал копию файла вам на почту, распакуйте архив и положите его в папку c:\program data\mozilla  

[Андрей_]

Спасибо большое за помощь!

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Андрей_]

отправляю файлы

FRST.txt Addition.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   
   GroupPolicy: Restriction ? <==== ATTENTION
   GroupPolicy\User: Restriction ? <==== ATTENTION
   GroupPolicyUsers\S-1-5-21-1562740439-1242730839-3635279109-1005\User: Restriction <==== ATTENTION
   Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
   Policies: C:\Users\user\NTUSER.pol: Restriction <==== ATTENTION
   Policies: C:\Users\user1\NTUSER.pol: Restriction <==== ATTENTION
   Policies: C:\Users\Все пользователи\NTUSER.pol: Restriction <==== ATTENTION
   Policies: C:\Users\Сергей\NTUSER.pol: Restriction <==== ATTENTION
   HKLM\SOFTWARE\Policies\Mozilla\Firefox: Restriction <==== ATTENTION
   Task: {298D6A24-83B3-4DA7-861A-8C02446F23FF} - \user -> No File <==== ATTENTION
   S3 xhunter1; \??\C:\Windows\xhunter1.sys [X]
   Toolbar: HKU\S-1-5-21-1562740439-1242730839-3635279109-1004 -> No Name - {C500C267-63BF-451F-8797-4D720C9A2ED9} -  No File
   Toolbar: HKU\S-1-5-21-1562740439-1242730839-3635279109-1004 -> No Name - {EF293C5A-9F37-49FD-91C4-2B867063FC54} -  No File
   WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"BVTConsumer\"",Filter="__EventFilter.Name=\"BVTFilter\"::
   WMI:subscription\__EventFilter->BVTFilter::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99]
   WMI:subscription\CommandLineEventConsumer->BVTConsumer::[CommandLineTemplate => cscript KernCap.vbs][WorkingDirectory => C:\\tools\\kernrate]
   

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
   

[Андрей_]

Отправляю файл fixlog.txt.

ZIP архив не обнаружен.

Fixlog.txt

 

Прошу прощения, при создании лога не выгрузил KIS.

 

В общем не могу вспомнить выгружал или нет.

Это критично?

[mike 1]

8 часов назад, Андрей_ сказал:

Это критично?

В Вашем случае нет. 

 

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24  отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме

 

[Андрей_]

Отправляю файл.

SecurityCheck.txt

[mike 1]

Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз - рекомендуется обновление до Windows 10. 
Internet Explorer 10.0.9200.17609 Внимание! Скачать обновления
^Используйте Средство устранения неполадок при проблемах установки^
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено - рекомендуется включить.

 

------------------------------- [ HotFix ] --------------------------------
HotFix KB3125574 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4490628 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
 

Malwarebytes version 4.1.0.56 v.4.1.0.56 Внимание! Скачать обновления
Microsoft .NET Framework 4.6.1 v.4.6.01055 Внимание! Скачать обновления
Foxit Reader v.10.1.1.37576
Microsoft Office профессиональный плюс 2010 v.14.0.4763.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Steam v.2.10.91.91
Microsoft Office Professional Plus 2010 v.14.0.4763.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office Word Viewer 2003 v.11.0.8173.0 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 18.05 (x64) v.18.05 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
WinRAR 5.70 (64-разрядная) v.5.70.0 Внимание! Скачать обновления
-------------------------- [ IMAndColloborate ] ---------------------------
Skype, версия 8.58 v.8.58 Внимание! Скачать обновления
---------------------------- [ ProxyAndVPNs ] -----------------------------
Kaspersky Secure Connection v.20.0.14.1085
-------------------------------- [ Media ] --------------------------------
Установка DivX v.10.8.7.0 Внимание! Скачать обновления
K-Lite Codec Pack 14.6.0 Full v.14.6.0 Внимание! Скачать обновления