Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Троян(Снова и снова) (http://forum.oszone.net/showthread.php?t=326324)

MeShuRa 27-04-2017 06:52 2732606
Троян(Снова и снова)
 
Вложений: 1
Ссылка на мою предыдущую тему - http://forum.oszone.net/thread-326274.html
Ссылка на соседнюю тему от человека с моей текущей проблемой - http://forum.oszone.net/thread-326215.html

Ничего не понимаю, в прошлый раз вроде бы все почистили ничего не осталось, закрыли все уязвимости и с тех пор я ничего особо на компьютере и не делал. Весь следующий день только читал ваш форум, нигде не лазал, ни во что не играл, ничего не качал, не устанавливал. А весь день после этого провел за чисткой компьютера от пыли. Откуда тогда могли взяться новые проблемы, ума не приложу. Или они были с самого начала, но в каком то спящем режиме, до решения предыдущей проблемы?
После чистки компьютера заметил, что он как то медленно работает и шумит. Заглянул диспетчер задач и увидел резкие скачки загрузки ЦП до открытия диспетчера, успел одним глазом увидеть, что это было тот же самый процесс как у человека из темы, которую я указал. Проверил CureIT и действительно он находит TrojanDownloader. Сделал очередной автолог, с закрытым диспетчером это заняло раз в 10 больше времени чем обычно, увидел что он тоже жалуется на этот csrss.exe. Создал данную тему, чтобы не захламлять старую, ведь по сути та проблема решена, а это другая.
Как всегда надеюсь на вашу скорую помощь, заранее благодарен!

Sandor 27-04-2017 08:36 2732609
Здравствуйте!

Это странно, я еще раз пересмотрел предыдущие логи, там все в порядке. Вы исключаете, что кто-то в Ваше отсутствие мог что-нибудь скачать?
Вредонос на этот раз - другой.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('C:\Windows\winsxslog\SystemIIS.exe');
 TerminateProcessByName('c:\progra~1\tkxsamzk\dllhost.exe');
 TerminateProcessByName('c:\windows\csrss.exe');
 StopService('TKXSAMZK');
 QuarantineFile('C:\Windows\winsxslog\SystemIIS.exe','');
 QuarantineFile('c:\progra~1\tkxsamzk\dllhost.exe','');
 QuarantineFile('c:\windows\csrss.exe', '');
 DeleteFile('c:\progra~1\tkxsamzk\dllhost.exe','32');
 DeleteFile('C:\Windows\winsxslog\SystemIIS.exe','32');
 DeleteFile('c:\windows\csrss.exe', '32');
 DeleteService('TKXSAMZK');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
Компьютер перезагрузится.



Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.



Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

MeShuRa 27-04-2017 09:09 2732613
Вложений: 1
Сделано.
Да, я исключаю возможность каких-либо действий в мое отсутствие, т.к. я единственный пользователь данного ПК.
Единственное чем я пользовался после предыдущего лечения - это официальные программы, для того чтобы пообщаться с друзьями. А именно: Skype, Discord, Steam и Battle.net.
Как я понял данный вредонос из той же породы биткоин майнеров, что и предыдущий? Не мог ли этот загрузчик троянов тихо прятаться где-то, пока мы не вылечили предыдущий, а потом активироваться?

Sandor 27-04-2017 09:20 2732614
Цитата:
Цитата MeShuRa
из той же породы биткоин майнеров, что и предыдущий? »
Да.
Цитата:
Цитата MeShuRa
тихо прятаться где-то, пока мы не вылечили предыдущий, а потом активироваться? »
Мало вероятно.

Посмотрим еще логи FRST:
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

MeShuRa 27-04-2017 09:38 2732622
Вложений: 2
Сделано.
А можно ли как-нибудь вычислить/отследить, откуда появились данные вредоносы? Чтобы понять, какие мои действия привели к их появлению, во избежания повторного заражения.

Sandor 27-04-2017 09:40 2732625
Не хватает файла FRST.txt

MeShuRa 27-04-2017 09:42 2732627
Вложений: 1
Хм, его размер превышает лимит данного форума. Закинул его в архив, ну или предложите свой вариант.

Sandor 27-04-2017 10:06 2732633
Сделайте еще полную проверку MBAM. (Сканирует долго).

MeShuRa 27-04-2017 10:21 2732636
Вложений: 1
Сделано.
25 секунд, не так уж долго. :)
Сижу с открытым окном этих трех угроз, стоит их поместить в карантин или нажать отмена?

Sandor 27-04-2017 10:33 2732646
Удалите все найденное.

Еще раз сделайте лог SecurityCheck.

Цитата:
Цитата MeShuRa
А можно ли как-нибудь вычислить/отследить, откуда появились данные вредоносы? »
Установите какой-нибудь антивирус, хоть и бесплатный.

MeShuRa 27-04-2017 10:50 2732651
Вложений: 2
Сделано.
Поместил файлы в карантин, перезагрузился, сделал еще раз SecuirityCheck и на всякий случай новый Autolog.
Стоит ли удалять MBAM, а то он теперь болтается в трее?

Sandor 27-04-2017 10:56 2732654
---------------------------- [ UnwantedApps ] -----------------------------
Pando Media Booster v.2.6.0.7 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Этой программой пользуетесь?

Цитата:
Цитата MeShuRa
Стоит ли удалять MBAM »
Да, удалите.

MeShuRa 27-04-2017 11:01 2732655
Цитата:
Цитата Sandor
Этой программой пользуетесь? »
Вроде бы нет, насколько мне известно она устанавливается со многими ММО играми. Вероятно Mail.ru клиент для игр(GameNet), в свое время мне ее установил, на пару с Thorn.exe. Я им уже давно не пользуюсь, все никак руки не доходили удалить.
Сомневаюсь, что какой либо из: Steam, Battle.net, Uplay мог установить этот Пандо бустер, к ним как-то побольше доверия чем к мейл.ру.

MeShuRa 29-04-2017 08:04 2733057
Установил Аваст. Прошло два дня. Периодический посматриваю на загрузку ЦП/ГП и лишние процессы, пока вроде бы все тихо и спокойно. Из подозрительного - только медленная работа HDD, но наверное не удивительно, что после всех этих сканирований, установок и удалений он начал немного тупить.
Надеюсь проблема решена, и не побеспокоит меня в будущем. :)
Еще раз, огромное спасибо! И Удачи! :)

MeShuRa 30-04-2017 02:34 2733172
Рано радовался. :(
Сделал сканирование при загрузке, с помощью Аваста, и вот что было написано в лог файле aswBoot:
04/30/2017 03:36
Skanirovat' C:

Skanirovat' *STARTUP

Faiyl C:\SysData\install.exe|>control.exe inficirovan virusom Win32:Malware-gen, Pomeshennie v hranilishe
Kolichestvo naiydenyh papok: 36529
Kolichestvo proverenyh faiylov: 408798
Kolichestvo zarazhennyh faiylov: 1

Похоже эта ерунда будет появляться каждый раз после пары ребутов. Я уже настолько изолированно использую интернет, насколько это только возможно, а он снова и снова появляется... Прямо хоть форматируй все диски.
Еще заметил, что в этой самой папке SysData, с самого начала лечения лежит файл kill.exe, может быть все проблемы из-за него?

Sandor 30-04-2017 16:54 2733232
Сделайте так:
Временно отключите Аваст, предварительно восстановите этот файл из его карантина.
Затем отправьте его на www.virustotal.com
Результат последней проверки в виде ссылки покажите.

MeShuRa 30-04-2017 19:15 2733257
Было написано, что файл уже проверялся 5 дней назад. Сделал повторную проверку, вот результат:

https://www.virustotal.com/ru/file/0...is/1493568614/

Sandor 30-04-2017 20:41 2733272
Действительно майнер.
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  5. Подробнее читайте в руководстве Как подготовить лог UVS.

MeShuRa 30-04-2017 20:55 2733275
Проверил заодно этот странный kill.exe, вот результат:

https://www.virustotal.com/ru/file/2...is/1493574680/

У меня есть подозрения, что этот kill.exe и есть причина повторных появлений майнеров, т.к. все кроме него мы оба раза вычистили, а он там был с самого начала. Дата его изменения 2 месяца назад, видимо тогда я и подцепил эту заразу.

MeShuRa 30-04-2017 21:12 2733279
Сделал uVS.
Во время сканирования uVS'ом, Avast заблокировал какую-то угрозу. Ничего страшного, или стоило его отключить, перед сканированием?

Sandor 30-04-2017 21:24 2733284
В логе этих файлов сейчас не видно.
Как Вы уже поняли, тема не закрывается, поэтому последите.

MeShuRa 30-04-2017 21:29 2733286
Ну install.exe не видно, т.к. я его вернул в карантин после проверки на VirusTotal и больше не перезагружался. А что на счет kill.exe? Он все еще в этой папке, я его не трогал и вероятно он и плодит эти майнеры, или нет? Судя по VirusTotal его мало что обнаруживает.

Sandor 01-05-2017 16:43 2733383
Цитата:
Цитата MeShuRa
А что на счет kill.exe? »
Удалите его и понаблюдайте.

MeShuRa 02-05-2017 05:54 2733449
Начали беспокоить потери пакетов, не знаю связано ли это с этими зловредами и их лечением, но судя по WinMTR, потери начинаются прямо от моего ПК.

Еще в уведомлениях Avast'а, уже дважды заблокирована одна и та же угроза, а именно:

Объект - http//g-s.site/d/d.dat[EmbeddedMSEncoded]
Заражение - VBS:Downloader-ABT [Trj]
Процесс - C:\Windows\System32\wbem\scrcons.exe

Оба раза были заблокированы в одно и то же вермя, 11:03 вечера, 30 апреля и 1 мая. Выглядит довольно странно, похоже где-то в автозагрузке или задачах осталось что-то лишнее, но я ничего не могу найти.
А также CCleaner говорит об устаревшей ссылке MUI в реестре, ссылающейся на этот kill.exe. Путь выглядит вот так: HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache.

Sandor 02-05-2017 15:47 2733539
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

MeShuRa 02-05-2017 16:48 2733543
Вложений: 1
Сделано.
Только что приходил сотрудник от моего провайдера, все проверил. Сказал, что проблема где то у вас на компьютере(про потери пакетов), предложил обновить драйвера или переустановить систему. Показал, что у него на ноуте через мой кабель все идеально, ни одной потери. :(

Немного пугает вот эта строчка в логах:
Код события: 8021
Сообщение: Служба браузера не смогла загрузить список серверов с основного браузера \\ИГОРЬ-ПК сети \Device\NetBT_Tcpip_{92C51468-B5C9-40CB-996A-BA753B8D9948}.

Основной браузер: \\ИГОРЬ-ПК
Сеть: \Device\NetBT_Tcpip_{92C51468-B5C9-40CB-996A-BA753B8D9948}

Это событие может быть вызвано временной потерей сетевого подключения. При повторном получении этого сообщения проверьте, что сервер по-прежнему подключен к сети. Код возврата находится в поле "Данные".
Номер записи: 55029

Что еще за ИГОРЬ-ПК?)

Sandor 03-05-2017 08:39 2733660
Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
 ExecuteRepair(20);
end.
Компьютер перезагрузится.
Цитата:
Цитата MeShuRa
Что еще за ИГОРЬ-ПК? »
Какой-то сетевой компьютер.

Соберите еще раз CollectionLog.

MeShuRa 03-05-2017 09:41 2733686
Вложений: 1
Выполнил скрипт, компьютер не перезагрузился, пришлось вручную. Логи сделал.

Sandor 03-05-2017 09:47 2733690
Хорошо, понаблюдайте дальше.


Время: 01:22.

Время: 01:22.
© OSzone.net 2001-