[ Закрыто ] Win32/Spy.Agent.QFL/Win64/Kryptik.CNH троянская программа в оперативной памяти

Помогите избавиться от этой напасти


Оперативная память » C:\Windows\System32\dllhost.exe - OК
Оперативная память » C:\Program Files (x86)\ASUS\ArmouryDevice\dll\AiSuiteSDK\ArmouryAiSuiteSDK.dll - OК
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\e0acf484.dll - не удается открыть [4]
Оперативная память » C:\Windows\SysWOW64\cmd.exe - OК
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll - не удается открыть [4]
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll » EMB » [#1]GRef - Win32/Spy.Agent.QFL троянская программа - выбор действия отложен до завершения сканирования
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll » EMB » [#0]GRef - модифицированный Win64/Kryptik.CNH троянская программа - выбор действия отложен до завершения сканирования
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\4fbc3690.dll - не удается открыть [4]
Оперативная память » C:\Windows\SysWOW64\dllhost.exe - OК
Оперативная память » mem_180000_32972.dll - не удается открыть [4]
Оперативная память » D:\Download\uvs_latest\tfpmbk - не удается открыть [4]
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll - не удается открыть [4]
Количество просканированных объектов: 1640
Количество обнаружений: 2
Количество очищенных объектов: 0
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\CMD.EXE [21632]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\SVCHOST.EXE [1640]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\DLLHOST.EXE [22116]
------------------
Update:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код
;uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
regt 39
regt 41
ZOO C:\USERS\KVV80\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DRIVER.URL
ZOO C:\USERS\KVV80\APPDATA\LOCAL\TEMP\17160620-A705FA60-F93F37A0-9487ABE0\1A53653324.SYS
CZOO
restart

перезагрузка, сделайте пожалуйста, новый образ автозапуска
добавьте на форум полученный файл ZOO*
+
нужен лог ESETLogCollector
https://forum.esetnod32.ru/forum9/topic10671/
+
лог ESETSysVulnCheck
Скачайте специальную утилиту ESETSysVulnCheck[/B] по ссылке (скачивать необходимо в IE)
https://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe

и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.
+
этот файл проверьте, пожалуйста, на Virustotal.com, дайте нам ссылку на линк проверки:
C:\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI

с этим файлом что случилось? не удалили его случайно?
"Модуль" = "c:\windows\syswow64\svchost.exe" ( 1: Безопасно ) ; Хост-процесс для служб Windows ; Microsoft Corporation ;
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
Код
;uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI
zoo %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\VLC.EXE
zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\VLC.EXE
zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\VXPLAYER.EXE
;---------command-block---------
delall %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\VLC.EXE
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\VLC.EXE
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\VXPLAYER.EXE
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\TEMP\XVEASRLJH.QTD
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\TEMP\EC905A47.PNG
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI
delall %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DRIVER.URL

apply

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z)  отправить в почту [email protected]
Цитата
santy написал:
этот файл проверьте, пожалуйста, на Virustotal.com, дайте нам ссылку на линк проверки:C:\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI
https://www.virustotal.com/gui/file/7096ace4487307c32f707c46fa456404d1fdb8a4c4ab8b5­c6b5573963bbe8a27

Цитата
santy написал:
с этим файлом что случилось? не удалили его случайно?"Модуль" = "c:\windows\syswow64\svchost.exe" ( 1: Безопасно ) ; Хост-процесс для служб Windows ; Microsoft Corporation ;
этот файл присутствует
Хорошо. Выполняем скрипт с перезагрузкой системы. Проверяем результат после перезагрузки.
Цитата
santy написал:
Хорошо. Выполняем скрипт с перезагрузкой системы. Проверяем результат после перезагрузки.



Скрипт выполнил. Спасибо вам, антивирус больше ничего не находит.
Цитата
santy написал:
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z)  отправить в почту [email protected]
отправил
Отлично, спасибо Вам за все предоставленные оперативно  логи и файлы.
Читают тему (гостей: 2)