Здравейте! Днес като пуснах компютъра 360 security ми алармира за някакви странни действия. Веднага сканирах с Malwarebytes Anti-Malware и откри 29 заплахи, ще прикача лога. Ако можете да погледнете дали има нещо останало. Благодаря предварително!

Addition.txt

FRST.txt

Malwarebytes log.txt

Здравейте,

А премахнахте ли намерените неща с Malwarebytes, защото според лог файла не сте?

Да, изтрих ги и от карантината и рестартирах.

Отделно направете и следното...отдавна исках да тествам един инструмент:

Изтеглете следния файл и го запазете на десктопа =>  ESET ELEX Cleaner

Стартирайте файла и се съгласете с лицензионното споразумение, натискайки Agree.

Ако бъде намерена зараза за да я почистите натиснете Y и натиснете Enter

След като заразата бъде премахната ще се наложи да рестартирате системата за да бъде премахната:

Натиснете което и да е копче от клавиатурата за да рестартирате:

След рестарта повторете проверката за да се убедите, че вече тя не е налична в системата ви:

Би трябвало програмата да създаде лог файла след работата си.

Прикачете го в следващия си коментар.

Поздрави!

Изписва, че намира Win32/elex, но не успява да го премахне. Прикачвам лога.

ESETElexCleaner.exe_20170401.112350.6280.log

Направете нова проверка с FRST и прикачете новите резултати.

Addition.txt

FRST.txt

Здравейте,

 

СТЪПКА 1

 

След това Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

 

СТЪПКА 2

 

• Изтеглете и стартирайте AdwCleaner.exe
• Натиснете бутона Scan.
• AdwCleaner ще започне да проверява компютъра.
• След като проверката приключи натиснете бутона Clean.
• Програмата ще затвори всички излишни процеси и след почистването ще иска да рестартира машината. Съгласете се.
• Ще се появи автоматично лог файл с името (AdwCleaner[S1].txt и  AdwCleaner[С1].txt) в C:\Adwcleaner
• Публикувайте съдържанието на  AdwCleaner[С1].txt в следващия си коментар.

 

След това пишете как е положението.

Поздрави!

Всичко е наред, вече антивирусната на алармира за някакви странни процеси. Само логовете от adwcleaner не са C1 и S1, a са с 0. Поздрави!

Fixlog.txt

AdwCleaner[C0].txt

Мисля, че пропуснах да изтрия една папка:

Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

Мерси за бързата помощ! Поздрави.

Fixlog.txt

Системата изглежда чиста вече, но да направим и последните контролно проверки и ви пускам:

 

СТЪПКА 1

 

(за по-стара версия на програмата е, но още не съм обновил репликите за версия 3...като цяло разлики в засичането не би трябвало да има големи)

Моля изтеглете Malwarebytes Anti-Malware 2.2.1.1043 Final и я запазете на вашия десктоп.

• Стартирайте файла mbam-setup-2.2.1.1043.exe и следвайте указанията за да инсталирате програмата.
• След като инсталацията приключи се уверете че сте сложили отметка пред:
• Launch Malwarebytes Anti-Malware
• Отметката активираща пробния 14 дневен период също е маркиран по-подразбиране. Ако не желаете да тествате защитата в реално време на програмата през следващите 14 дни тогава премахнете отметката. Т.е. премахнете първата отметка:

• Натиснете бутона Finish.
• Отидете до табът Settings > Detection and Protection > и под категорията Detection Options включете опцията "Scan for rootkits".
• Отидете до табът Scan, сложете радио-бутона пред Threat Scan и след това натиснете бутона Scan Now >> . Ако е намерена актуализация тогава натиснете бутона Update Now.
• Ще започне проверка за зловреден софтуер.
• При някои инфекции можете да видите съобщението:
• "Could not load DDA driver"
• Натиснете "Yes" на това съобщение за да позволите драйвера да се зареди след рестарт.
• Разрешете на компютъра да се рестартира и след това продължете с останалите инструкции.
• След като проверката приключи натиснете бутона Apply Actions.
• Изчакайте да се появи прозореца подканващ ви да рестартирате и след това натиснете бутона Yes.
• След рестарта, когато се появи десктопа MBAM ще се зареди още веднъж.
• Отидете то табът History > Application Logs.

• Отворете рапорта с последната дата и час и натиснете бутона "Copy to Clipboard"
• Сега вече поставете съдържанието на лог файла с клавишната комбинация Ctrl + V и го публикувайте в следващия си коментар.

 

СТЪПКА 2

 

1.Изтеглете Hitman Pro.

За 32-битова система - .
За 64-битова система -

2.Стартирайте програмата.
3.След като сте стартирали програмата като кликнете върху иконата и натиснете бутона „Напред“ като се съгласите с лицензионното споразумение (EULA).

4.Сложете отметка пред "Не, искам да завърша еднократно сканиране на компютъра".

5.Натиснете бутона „Напред“.

6.Програмата ще започне да сканира. Времето за сканиране е около 2 минути.

7.След завършване на сканирането от списъка с намерените неща (ако има такива) изберете Apply to all => Ignore.

8.Натиснете "Next" и след това натиснете "Изнеси резултата в XML file" и запазете лог файла на десктопа.

9.Архивирайте файла и го прикачете в следващия си коментар или копирайте съдържанието му в следващия си коментар.
 
Забележка: Ако няма падащо меню, където да изберете ignore както на снимката:
 

 
Тогава просто затворете програмата след края на проверката (без да премахвате нищо)...след това отворете C:\Programdata\HitmanPro\Logs, отворете и публикувайте съдържанието на лог файла в следващия си коментар. Пак повтарям, не трийте нищо с програмата, защото е доста мощна и може да бъде опасна!

Забележка: Папката C:\ProgramData е скрита и затова трябва да направите скритите файлове видими по-следния начин:

От My Computer => Tools => Folder Options => View:

Сложете отметка пред "Show hidden files, folders and drives"

и махнете отметката пред "Hide protected operating system files (recommended)".

Натиснете Apply.

Сега проверете за лог файла в папката C:\Programdata\HitmanPro\Logs и го прикачете в следващия си коментар.

 

СТЪПКА 3

 

• Моля изтеглете EmsisoftEmergencyKit, стартирайте exe файла и посочете къде да се разархивира програмата - например в (C:\EEK), натискайки бутона Extract.
• Стартирайте иконата на файла Start Emsisoft Emergency Kit от десктопа за да стартирате приложението.
• Натиснете бутона"Yes", когато бъдете подканени да обновите дефинициите на програмата.
• След като процеса по обновяването на дефинициите приключи натиснете бутона "Scan".
• Натиснете бутона "Yes", когато бъдете попитани дали да програмата да включи засичането на потенциално нежелани приложения (Potentially Unwanted Applications).
• Сега вече изберете бутона Custom Scan. Премахнете от списъка всички дялове без C:\ (т.е. нека да остане само дял C:\ в списъка).
• Натиснете Next за да започне проверката.
• Когато проверката приключи натиснете бутона View Report.
• Копирайте съдържанието на лог файла в следващия си коментар.

 

СТЪПКА 4

 

За финал искам да направим и една последна проверка за всеки случай:
 

• Моля изтеглете и стартирайте изпълнимия файл от линка: ESET Online Scanner
• Сложете отметката пред (ако опцията е налична) и натиснете бутона .

• Добре е да изключите вашата антивирусна преди началото на проверката. За да видите списъка с инсталираната от вас антивирусна програма, която трябва да изключите натиснете бутона .
• Ще се появи списък с инсталираната от вас антивирусна програма:

• Изключете антивирусната си програма.

• Сложете отметката пред: Enable detection of potentially unwanted applications.
• Сега кликнете на Advanced Settings и се уверете, че опцията Clean threats automatically не е маркирана, а следните са маркирани:

 

• Enable detection of potentially unsafe applications
• Enable detection of suspicious applications
• Scan archives
• Enable Anti-Stealth Technology

 

• Изберете сега бутона Change и поставете отметки пред следните обекти Operating memory, Autostart locations и дял C:\

• Натиснете бутона за да започне проверката.
• ESET ще започне да сваля и инсталира актуализации за вирусните дефиниции и след това ще започне да сканира компютъра. Бъдете търпеливи, защото процеса е бавен и може да отнеме доста време.

• След като проверката приключи списъка с намерените зарази ще се отвори автоматично (ако такива са намерени).

• Натиснете бутона и запазете файла на десктопа с име по избор като например (ESETScan.txt). Копирайте резултата в следващия си коментар.
• Натиснете бутона
• Сложете отметка пред за да почистите следите от приложението след затварянето му.
• Натиснете бутона  и след това затворете приложението от хикса в горния десен ъгъл.

 

Поздрави!

Това са логовете. Отново благодаря за помощта! 

Malwarebytes
www.malwarebytes.com

-Детайли за регистъра-
Дата на сканиране: 1.04.17 г.
Час на сканиране: 17:58
Регистърен файл: 
Администратор: Да

-Информация за софтуера-
Версия: 3.0.6.1469
Версия на компонентите: 1.0.96
Актуализирай версията на пакета: 1.0.1640
Лиценз: Пробен период

-Системна информация-
OS: Windows 10
CPU: x64
Файлова система: NTFS
Потребител: GEORGI-PC\Georgi

-Резюме на сканирането-
Тип сканиране: Threat Scan
Резултат: Завършено
Сканирани обекти: 427079
Изтекло време: 4 мин, 27 сек

-Опции за сканиране-
Памет: Разрешено
Стартиране: Разрешено
Файлова система: Разрешено
Архиви: Разрешено
руткитове: Забранено
Евристика: Разрешено
PUP: Разрешено
PUM: Разрешено

-Детайли за сканирането-
Процес: 0
(Не бяха открити зловредни елементи)

Модул: 0
(Не бяха открити зловредни елементи)

Ключ на регистъра: 0
(Не бяха открити зловредни елементи)

Стойност на регистъра: 0
(Не бяха открити зловредни елементи)

Данни на регистъра: 0
(Не бяха открити зловредни елементи)

Поток данни: 0
(Не бяха открити зловредни елементи)

Папка: 0
(Не бяха открити зловредни елементи)

Файл: 0
(Не бяха открити зловредни елементи)

Физически сектор: 0
(Не бяха открити зловредни елементи)

(end)

 

 

HitmanPro 3.7.15.281
www.hitmanpro.com
	   Computer name . . . . : GEORGI-PC
   Windows . . . . . . . : 10.0.0.14393.X64/4
   User name . . . . . . : GEORGI-PC\Georgi
   UAC . . . . . . . . . : Enabled
   License . . . . . . . : Free
	   Scan date . . . . . . : 2017-04-01 18:09:34
   Scan mode . . . . . . : Normal
   Scan duration . . . . : 2m 13s
   Disk access mode  . . : Direct disk access (SRB)
   Cloud . . . . . . . . : Internet
   Reboot  . . . . . . . : No
	   Threats . . . . . . . : 0
   Traces  . . . . . . . : 9
	   Objects scanned . . . : 1 684 182
   Files scanned . . . . : 56 232
   Remnants scanned  . . : 298 825 files / 1 329 125 keys
	Suspicious files ____________________________________________________________
	   C:\Users\Georgi\Desktop\FRST64.exe
      Size . . . . . . . : 2 424 832 bytes
      Age  . . . . . . . : 0.1 days (2017-04-01 15:06:34)
      Entropy  . . . . . : 7.6
      SHA-256  . . . . . : 3A3DCD0D3C9C1FE10C45AF795DC9452DA192246BB67D896AB7F16151A53C1B5F
      Needs elevation  . : Yes
      Fuzzy  . . . . . . : 24.0
         Program has no publisher information but prompts the user for permission elevation.
         Entropy (or randomness) indicates the program is encrypted, compressed or obfuscated. This is not typical for most programs.
         Authors name is missing in version info. This is not common to most programs.
         Version control is missing. This file is probably created by an individual. This is not typical for most programs.
         Time indicates that the file appeared recently on this computer.
      Forensic Cluster
         -5.9s C:\Users\Georgi\Desktop\FRST64.exe
         -5.1s C:\Users\Georgi\Desktop\adwcleaner_6.045.exe
	
Potential Unwanted Programs _________________________________________________
	   HKLM\SOFTWARE\Classes\s\ (Softonic)
	Cookies _____________________________________________________________________
	   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:abmr.net
   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:adnxs.com
   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:ads.kaldata.com
   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:ads.linkedin.com
   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:doubleclick.net
   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:krxd.net
   C:\Users\Georgi\AppData\Local\Google\Chrome\User Data\Default\Cookies:yadro.ru

 

Тези са наред. Остават още 2 лог файла.

А иначе в полето за търсене на Windows въведете CMD.exe => кликнете върху файла CMD.exe и изберете Run as administrator => с десен бутон Copy копирайте следната команда:

reg delete "HKLM\SOFTWARE\Classes\s" /f => и с десен бутон Paste я поставете в Command Prompt и натиснете Enter

За да се изтрие един проблем ключ в регистрите намерен от HitmanPro (без нуждата да активирате програмата).

Поздрави!

Малко късно отговарям. Изтрих ключа от регистъра. Отново големи благодарности за съдействието! Поздрави!

А лог файловете от Emsisoft и Eset?

преди 15 часа, B-boy/StyLe/ написа:

А лог файловете от Emsisoft и Eset?

Хммм, странно, публикувах ги с предния отговор, но не знам защо ги няма. За съжаление съм изтрил файловете. Но вече няма проблеми. Мерси!

Мисля, че сме готови. Благодаря за точното спазване на инструкциите ми и коректната работа!

Ето малко финални препоръки: (Не е задължително да ги прилагате всичките, а само тези, които сметнете за необходими. Направете обаче една нова точка за възстановяване докато всичко работи преди да започнете да прилагате съветите)

1. За да почистим използваните от нас инструменти направете следното:

Изтеглете Delfix.exe и го стартирайте. Сложете отметка пред Remove disinfection tools и Purge system restore (трябва да има такава по-подразбиране, но все пак да си кажа) => натиснете бутона Run. Инструмента ще се самоизтрие след като приключи своята задача!

Ако има папки, които не са се изтрили след гореспоменатите процедури пишете и ще ги премахнем ръчно.

Все пак за да премахнете папките на използваните инструменти (които Delfix може би ще остави направете следното)

C:\ProgramData\HitmanPro => изтрийте тази папка за да се отървете от остатъците от HitmanPro

C:\EEK => изтрийте тази папка за да се отървете от остатъците от EmsisoftEmergencyKit

C:\Users\tierz\AppData\Local\ESET => изтрийте тази папка за да се отървете от остатъците от EmsisoftEmergencyKitEset Online Scanner

Препоръчвам ви да си оставите Malwarebytes Anti-Malware за профилактични проверки, но ако искате да я деинсталирате използвайте този инструмент

2. Проверете за стари приложения с помощта на PatchMyPC (преносима програма) или с програмата Secunia Personal Software Inspector (изисква инсталация). Наскоро излезе и друг добър инструмент в лицето на UCheck.

3. Инсталирайте Unchecky за да се предпазите от адуер (като този с който беше заразена системата в момента) по време на инсталацията на даден софтуер.

4. За защита от криптовирусите можете да инсталирате Kaspersky Anti-Ransomware tool for business. Това е важно допълнение към антивирусната ви програма (особено ако тя не разполага с такъв модул за защита). Можете да добавите и Malwarebytes Anti-Exploit към защитния слой на системата.

5. Допълнителни съвети: Не забравяйте да изключите и Autorun в Windows, защото криптовирусите могат да се настанят и на външните дискове и флашки и да заразят информацията на тези носители при свързването им с инфектирана система и след това да заразят и други системи при свързването на външните дискове и флашки към други компютри (и така да го предадете и на тях). Microsoft са създали автоматичен инструмент за целта => MSFixIt. Добре е също така след като вкарате външния диск дори и при спрян Autorun просто да сканирате буквата на устройството с обновена антивирусна програма преди да започнете да прехвърляте данни от и към външния диск.

Има и други програми, но са главно за напреднали потребители и няма да се спирам много задълбочено на тях, защото са сравнително по-сложни за употреба на средностатистическите потребители.. Затова ще ги пропусна. Добре е да не се спира System Restore, да се внимава с прикачените файлове към електронната поща. Добра идея е и да забраните скриптовете, ако не използвате такива с помощта на инструмента - Noscript.exe. Стартирайте го и изберете Disable. Ако ви потрябва да стартирате някога (js или vbs файлове, просто стартирайте инструмента и го направете на Enable). Добре е да се внимава и с PDF файловете (повечето програми позволяват да се изключи java script в PDF четците, да се забрани на PDF файловете да стартират външни програми и да комуникират с интернет и прочие), да се внимава с офис файловете за макро вируси и експлоити (пак може да се затегне сигурността от настройките на офис пакетите), добре е да се внимава за файлове с двойни разширения (например ако в My Computer => Tools => Folder Options => не е премахната отметката пред "Hide extensions for known file types" ако свалите даден файл от интернет с името image.exe.jpg, вие ще го видите като image.jpg, но всъщност файла ще е image.exe и щом го стартирате това ще задейства и вируса).Трудночко е, но просто няма как. Потребителите трябва да се научат да проявяват бдителност и хигиена при сърфиране.

6. Винаги правете бекъп на важните си документи на външни носители и за не толкова ценните неща на cloud услуги. Научете се да не инсталирате програми от съмнителни източници. Добра идея е да се научите да си създавате огледални образи на текущото работещо състояние на дяла на който се намира Операционната Система. Възстановяването на такъв образ при нужда в пъти по-лесен и бърз начин за връщане на работещото състояние на системата от преинсталация или опит за ръчно премахване на даден проблем. Такъв образ може да се създаде с външна програма като Macrium Reflect Free. Можете да видите и тази тема

Поздрави и усмихната седмица! Ще маркирам случая като решен!