[РЕШЕНО] неудаляется trojan.win32.sepeh.gen

[Zlowariy]

Здравствуйте, помогите пожалуйста. Вижу не я первый пишу по этому вирусу...

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Zlowariy]

а сделал, прикрепляю логи.

CollectionLog-2020.12.26-19.16.zip

[thyrex]

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Броньяр\AppData\Roaming\Microsoft\AdModNetW4b8\adnekmod8b4.dll','');
 DeleteFile('C:\Users\Броньяр\AppData\Roaming\Microsoft\AdModNetW4b8\adnekmod8b4.dll','64');
 DeleteSchedulerTask('zAmigoBrowserUpdate');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678

Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

 

[Zlowariy]

Результат загрузки

Файл сохранён как	201226_142021_quarantine_5fe746a5c774d.zip
Размер файла	6234
MD5	6cd17bacc838a0530510d9342281fb78

Файл закачан, спасибо!

 

Вот логи

CollectionLog-2020.12.26-20.23.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Zlowariy]

Вот, вирусом в целом пока не паънет, вроде все, спасибо, если что отпишусь.

123.zip

 

А по сути что мы сделали, что это за код был в AVZ?

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\Run: [MediaGet2] => C:\Users\Броньяр\MediaGet2\mediaget.exe --minimized
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\MountPoints2: {196019f5-9a5f-11ea-82e7-1c497b7ea471} - "I:\HiSuiteDownLoader.exe" 
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\MountPoints2: {2266b1e3-5f63-11e9-8264-806e6f6e6963} - "H:\installer.exe" 
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\MountPoints2: {5ee0494d-3458-11eb-82f9-ac50431aeefd} - "G:\setup.exe" 
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\MountPoints2: {ab1668c0-780e-11ea-82df-1c497b7ea471} - "H:\HTC_Sync_Manager_PC.exe" 
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\MountPoints2: {ba65b372-bbfa-11e9-8297-1c497b7ea471} - "G:\setup.exe" 
HKU\S-1-5-21-1382878442-453518424-3248285033-1001\...\MountPoints2: {bc1dd7f1-62d7-11e9-8267-1c497b7ea471} - "G:\HTC_Sync_Manager_PC.exe" 
FirewallRules: [{8A679ABD-5FE6-440B-A069-C08E41411F97}] => (Allow) C:\Users\Броньяр\MediaGet2\mediaget.exe => No File
FirewallRules: [{04440312-C370-4C4C-B534-1327D348780F}] => (Allow) C:\Users\Броньяр\MediaGet2\mediaget.exe => No File
FirewallRules: [{5656DA8E-4393-44FB-B0D9-EBA3EF67B759}] => (Allow) C:\Program Files (x86)\Microsoft\Skype for Desktop\Skype.exe => No File
FirewallRules: [{3D7797F2-AAAF-4F73-B11D-6278296C85F2}] => (Allow) C:\Program Files (x86)\Microsoft\Skype for Desktop\Skype.exe => No File
FirewallRules: [TCP Query User{B2CE7E78-120B-441B-A0DA-A0AC1C3D5505}E:\br2\games\star wars jedi - fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe] => (Allow) E:\br2\games\star wars jedi - fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe => No File
FirewallRules: [UDP Query User{3FD6F97C-85C5-477C-AB8D-8EAFB05337AD}E:\br2\games\star wars jedi - fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe] => (Allow) E:\br2\games\star wars jedi - fallen order\swgame\binaries\win64\starwarsjedifallenorder.exe => No File
FirewallRules: [{8392778E-B129-4498-B347-7A4539E65518}] => (Allow) C:\Program Files (x86)\111AAAProgremSSS2\UnHackMe\RegRunInfo.exe => No File
FirewallRules: [{8F93BE32-C07D-4787-8AF4-B15725C73C38}] => (Allow) C:\Program Files (x86)\111AAAProgremSSS2\UnHackMe\RegRunInfo.exe => No File
FirewallRules: [TCP Query User{D61E51F7-AE8B-41B3-B11D-C465D5379370}C:\program files (x86)\111aaaprogremsss2\openserver\openserver\open server x64.exe] => (Allow) C:\program files (x86)\111aaaprogremsss2\openserver\openserver\open server x64.exe => No File
FirewallRules: [UDP Query User{8B6B8EE5-3C38-4760-A84B-1EC6EDAE43B2}C:\program files (x86)\111aaaprogremsss2\openserver\openserver\open server x64.exe] => (Allow) C:\program files (x86)\111aaaprogremsss2\openserver\openserver\open server x64.exe => No File
FirewallRules: [{A19AC1CD-D712-4B2A-A649-BFA8385A1AC7}] => (Allow) C:\Program Files (x86)\Ubisoft\Ubisoft Game Launcher\UbisoftGameLauncher.exe => No File
FirewallRules: [{0D0AA9DB-6A0C-4295-9206-ADBBA7D45AAC}] => (Allow) C:\Program Files (x86)\Ubisoft\Ubisoft Game Launcher\UbisoftGameLauncher.exe => No File
FirewallRules: [{E4F60179-C696-46AF-977F-847CC31EA0E9}] => (Allow) E:\Br2\Counter-Strike Global Offensive\7launcher\tools\steamcmd\steamcmd.exe => No File
FirewallRules: [{42A63DDE-913C-4A2E-8A10-19A753DDA406}] => (Allow) E:\Br2\Counter-Strike Global Offensive\7launcher\tools\steamcmd\steamcmd.exe => No File
FirewallRules: [{2A58993E-A669-4AEF-95CB-211983D453E1}] => (Allow) E:\Br2\Counter-Strike Global Offensive\Run_CSGO.exe => No File
FirewallRules: [{DC0FF674-1D0D-4935-9610-1DD094603445}] => (Allow) E:\Br2\Counter-Strike Global Offensive\Run_CSGO.exe => No File
FirewallRules: [TCP Query User{D661F895-6068-47EE-B8A9-D0EF8E38736D}E:\br2\games\doom\doomx64.exe] => (Allow) E:\br2\games\doom\doomx64.exe => No File
FirewallRules: [UDP Query User{0F1EF411-36E0-4851-8269-D102BED77D1C}E:\br2\games\doom\doomx64.exe] => (Allow) E:\br2\games\doom\doomx64.exe => No File
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Zlowariy]

Fixlog.txt

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.

 

[Zlowariy]

Цитата

 

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 08.01.2021 00:42:36
Path starting: C:\Users\Броньяр\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Броньяр
VersionXML: 7.94s-04.10.2020
___________________________________________________________________________

Windows 8.1(6.3.9600) (x64) Professional Lang: Russian(0419)
Дата установки ОС: 31.03.2018 06:42:44
Статус лицензии: Windows(R), Professional edition Срок истечения многопользовательской активации: 105072 мин.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files (x86)\111AAAProgremSSS2\Mozilla Firefox\firefox.exe
Системный диск: ? ФС: [NTFS] Емкость: [100.7 Гб] Занято: [79 Гб] Свободно: [21.7 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.0.9600.17031 Внимание! Скачать обновления
^Используйте Средство устранения неполадок при проблемах установки^
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Дата установки обновлений: 2019-08-11 02:44:53
Центр обновления Windows (wuauserv) - Служба остановлена
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба работает
Службы удаленных рабочих столов (TermService) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------- [ HotFix ] --------------------------------
HotFix KB4578013 Внимание! Скачать обновления
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2010 x86 v.14.0.4763.1000
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Kaspersky Free v.21.2.16.590 [+]
Kaspersky Password Manager v.9.0.2.767
--------------------------- [ OtherUtilities ] ----------------------------
AIMP v.v4.50.2058, 27.12.2017
Microsoft Office профессиональный плюс 2010 v.14.0.4763.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Steam v.2.10.91.91
Microsoft Office Professional Plus 2010 v.14.0.4763.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
-------------------------------- [ Arch ] ---------------------------------
WinRAR 5.50 (64-разрядная) v.5.50.0 Внимание! Скачать обновления
--------------------------------- [ IM ] ----------------------------------
WhatsApp v.2.2049.10 [+]
Telegram Desktop version 2.5.1 v.2.5.1 [+]
---------------------------- [ ProxyAndVPNs ] -----------------------------
Kaspersky Secure Connection v.20.0.14.1085
NordVPN v.6.27.11
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45852 Внимание! Клиент сети P2P с рекламным модулем!.
--------------------------- [ AppleProduction ] ---------------------------
Bonjour Service (Bonjour Service) - Служба работает
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 NPAPI v.32.0.0.465 [+]
------------------------------- [ Browser ] -------------------------------
Google Chrome v.87.0.4280.88 [+]
Mozilla Firefox 84.0.2 (x86 ru) v.84.0.2 [+]
------------------ [ AntivirusFirewallProcessServices ] -------------------
Kaspersky Anti-Virus Service 21.2 (AVP21.2) - Служба работает
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Free 21.2\avp.exe v.21.2.16.590
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Free 21.2\avpui.exe v.21.2.16.590
Служба Защитника Windows (WinDefend) - Служба остановлена
Служба проверки сети Защитника Windows (WdNisSvc) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
The KMPlayer RePack by CUTA v.4.1.5.8 - (build 2) Внимание! Нелицензионное ПО, репак, утилита активации, кряк или кейген.
Голосовой помощник Алиса v.5.0.0.1903 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------

 

 

[thyrex]

Установите рекомендованные в логе обновления, и на этом закончим.

[Zlowariy]

спасибо

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, фан-клуб "Лаборатории Касперского".