[РЕШЕНО] HEUR:Trojan.Win64.Miner.gen

[6OT 0]

Словил непонятный майнер, который касперский удалить не может. При перезагрузке компьютера он снова появляется. Сначала это был файл csgocalc.exe, потом fingerprint.exe

CollectionLog-2021.07.09-00.09.zip

[thyrex 1 468]

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DeleteService('Transmission');
 DeleteFile('C:\Program Files (x86)\Transmission\transmission-qt.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пофиксите в HiJackThis из папки Autologger (запускать HiJackThis от имени Администратора по правой кнопке мыши)

O17 - DHCP DNS 1: 178.175.133.58
O17 - DHCP DNS 2: 37.1.207.126
O17 - HKLM\System\CCS\Services\Tcpip\..\{559dce2b-68d2-4a2a-b259-a03016b4c3d7}: [NameServer] = 178.175.133.58
O17 - HKLM\System\CCS\Services\Tcpip\..\{559dce2b-68d2-4a2a-b259-a03016b4c3d7}: [NameServer] = 37.1.207.126

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[6OT 0]

Я открыл программу av_z.exe из AutoLogger\AV, нажал пуск, но после проверки перезагрузки ПК не последовало. Так же я не знаю где использовать Ваш верхний код.

[thyrex 1 468]

https://forum.kasperskyclub.ru/topic/7607-kak-vypolnit-skript-v-avz-i-pofiksit-v-hijackthis/

 

[6OT 0]

CollectionLog-2021.07.09-01.29.zip

[thyrex 1 468]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[6OT 0]

Скан.zip

[thyrex 1 468]

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-258309780-499886833-1587994616-1001\...\MountPoints2: {06330c5b-d1e9-11eb-8e3e-309c23260e70} - "G:\Autoplay.exe" -auto
HKU\S-1-5-21-258309780-499886833-1587994616-1001\...\MountPoints2: {8e839c4d-cade-11eb-8e36-309c23260e70} - "F:\autorun.exe" 
HKU\S-1-5-21-258309780-499886833-1587994616-1001\...\MountPoints2: {e2576979-28f2-11eb-8da7-309c23260e70} - "F:\SISetup.exe" 
GroupPolicy: Ограничение - Windows Defender <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2021-07-02 20:25 - 2021-07-08 23:27 - 000000000 ____D C:\ProgramData\FingerPrint
2021-06-27 01:50 - 2021-07-01 12:51 - 000000000 ____D C:\ProgramData\CSGOCalc
2021-06-27 01:49 - 2021-07-09 01:16 - 000000000 ____D C:\Program Files (x86)\Transmission
AlternateDataStreams: C:\ProgramData:iSpring Solutions [128]
AlternateDataStreams: C:\Users\All Users:iSpring Solutions [128]
AlternateDataStreams: C:\Users\Все пользователи:iSpring Solutions [128]
AlternateDataStreams: C:\ProgramData\Application Data:iSpring Solutions [128]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [3566]
AlternateDataStreams: C:\Users\user\Application Data:iSpring Solutions [128]
AlternateDataStreams: C:\Users\user\AppData\Roaming:iSpring Solutions [128]
FirewallRules: [TCP Query User{F1F0B9F6-F33B-4450-87A4-448A39420BB8}G:\drivers\sdi_x64_r2009.exe] => (Allow) G:\drivers\sdi_x64_r2009.exe => Нет файла
FirewallRules: [UDP Query User{2E64F7EE-D34D-4A39-8B23-F94072FB2AFE}G:\drivers\sdi_x64_r2009.exe] => (Allow) G:\drivers\sdi_x64_r2009.exe => Нет файла
FirewallRules: [TCP Query User{C0BC7D3E-FAD1-43C0-9B5C-A29FEE391FB1}C:\program files (x86)\utorrent\utorrent.exe] => (Allow) C:\program files (x86)\utorrent\utorrent.exe => Нет файла
FirewallRules: [UDP Query User{FF1414AE-2A4E-4386-9A07-BB0AE95AC2DA}C:\program files (x86)\utorrent\utorrent.exe] => (Allow) C:\program files (x86)\utorrent\utorrent.exe => Нет файла
FirewallRules: [{4F45BC62-A487-4B8C-BEF7-F995D89D6FB6}] => (Allow) C:\Users\user\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{BFD07B9A-2B31-4F5B-A48B-F868F17C92F3}] => (Allow) C:\Users\user\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{046EF2DA-7052-465C-BD3B-25E6CC3278C1}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => Нет файла
FirewallRules: [{D82548ED-A46A-4DC0-8FA8-B29A43C977DF}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => Нет файла
FirewallRules: [{7607D1DB-FB78-4AE5-A2F9-A528BBFDF870}] => (Allow) C:\Users\user\AppData\Local\Programs\Opera\77.0.4054.64\opera.exe => Нет файла
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

• Обратите внимание: будет выполнена перезагрузка компьютера.

[6OT 0]

Fixlog.txt

[thyrex 1 468]

Проблема решена?

[6OT 0]

Да, спасибо Вам

 

[thyrex 1 468]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.

 

[6OT 0]

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]
WebSite: www.safezone.cc
DateLog: 09.07.2021 03:27:49
Path starting: C:\Users\user\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: user
VersionXML: 8.90is-03.07.2021
___________________________________________________________________________

Windows 10(6.3.17763) (x64) EnterpriseS Версия: 1809 Lang: Russian(0419)
Дата установки ОС: 02.11.2020 20:30:32
Статус лицензии: Windows(R), EnterpriseS edition Срок истечения многопользовательской активации: 8695004 мин.
Статус лицензии: Office 16, Office16ProPlusVL_KMS_Client edition Windows находится в режиме уведомления
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Google\Chrome\Application\chrome.exe
Системный диск: ? ФС: [NTFS] Емкость: [194.7 Гб] Занято: [161.3 Гб] Свободно: [33.4 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.1790.17763.0 [+]
Контроль учётных записей пользователя включен (Уровень 3)
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба работает
Службы удаленных рабочих столов (TermService) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2016 x64 v.16.0.4266.1001
---------------------------- [ Antivirus_WMI ] ----------------------------
Windows Defender (выключен и обновлен)
Kaspersky Internet Security (включен и обновлен)
---------------------------- [ Firewall_WMI ] -----------------------------
Kaspersky Internet Security (включен)
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Windows Defender (выключен и обновлен)
Kaspersky Internet Security (включен и обновлен)
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Kaspersky Internet Security v.21.3.10.391
Kaspersky Password Manager v.9.0.2.767
--------------------------- [ OtherUtilities ] ----------------------------
Steam v.2.10.91.91
Epic Games Launcher v.1.2.17.0
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.80 v.5.80 Внимание! Скачать обновления
7-Zip 19.00 (x64 edition) v.19.00.00.0
------------------------------- [ Imaging ] -------------------------------
Blender v.2.92.0
FastStone Image Viewer 7.5 v.7.5
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
WhatsApp v.2.2117.5 Внимание! Скачать обновления
Zoom v.5.4.3 (58891.1115) Внимание! Скачать обновления
---------------------------- [ ProxyAndVPNs ] -----------------------------
Kaspersky Secure Connection v.21.3.10.391
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45828 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 291 (64-bit) v.8.0.2910.10
-------------------------------- [ Media ] --------------------------------
VLC media player v.3.0.16
AIMP v.v4.70.2251, 23.05.2021
K-Lite Mega Codec Pack 16.3.0 v.16.3.0
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Acrobat Reader DC (2015) MUI v.15.006.30527 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 89.0.2 (x64 ru) v.89.0.2
Yandex v.21.2.4.172 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
Google Chrome v.91.0.4472.124
------------------ [ AntivirusFirewallProcessServices ] -------------------
Kaspersky Anti-Virus Service 21.3 (AVP21.3) - Служба работает
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 21.3\avp.exe v.21.3.0.1
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 21.3\avpui.exe v.21.3.12.434
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Secure Connection 5.3\ksde.exe v.21.3.0.1
C:\Program Files (x86)\Kaspersky Lab\Kaspersky Secure Connection 5.3\ksdeui.exe v.21.3.12.434
Антивирусная программа "Защитника Windows" (WinDefend) - Служба остановлена
Служба проверки сети Windows Defender Antivirus (WdNisSvc) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
Driver Booster 8 v.8.0.2 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии.
Голосовой помощник Алиса v.5.0.0.1903 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
uBlock Pro - #1 Adblocker 1.0.0.0 v.1.0.0.0 << Скрыта Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
----------------------------- [ End of Log ] ------------------------------

 

 

[thyrex 1 468]

Установите обновления указанных программ, обратите внимание на секцию UnwantedApps.
 
Лечение будем считать оконченным.

[thyrex 1 468]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, фан-клуб "Лаборатории Касперского".