Здравейте,

 

При мен пристигна стар компютър с оплакването че "унищожава флашки". Бърз поглед на една "унищожена" флашка показа че файловете се преместени в скрита директория а на в корена е поставена шорткът който стартира скрито dll – подозирам симулира отваряне на фолдер и едновременно с това върши други безобразия - вирустотал на това dll там

На компютъра имаше инсталиран някакъв нортон (!), отдавна не работещ, който деинсталирах. Докарах "Avira PC Cleaner", който откри още няколко пъти същата зараза плюс файл "syshost.exe" в директорията c:\WINDOWS\Installer\{4A3D9C42-B6F9-83E6-FFED-5B77DFD83413} и изтри всичко с изключение на този последния файл. Ребоот не помогна, процес свързан с този файл не съществува, не се открива като "handle" от processhacker.

Успях да преместя директорията, но файла не мога да изтрия и не мога да преименувам, въпреки че съм администратор. Вирустотал на този файл там. Въпреки че в репорта се споменава локи не съм забелязал криптирани файлове.

Syshost.exe се споменаваше в регистрито на няколко места като сървис, а ключовете бяха "защитени" от изтриване. Изтрих ги след като промених пермишъните.

 

Как да изтрия заключения файл и да довърша почистването?

 

Забелязах че boot.ini също заключен. Не мога да го преместя, редактирам или променя атрибутите.

Закачам файловете от FRST.

 

Нямам физически достъп до компютъра, така че подходът "пускане на линукс и екстерминиране на гадовете" е практически невъзможен. Стигам до него чрез "UltraVNC SC". Процесите winvnc.exe и ArmenskiPopHelpDesk.exe са от него.

 

Компютърът е ползван само за пишеща машина. Никога не е ползван за "интернет" (наистина, интернет експлорер не беше пускан, а фирефокса го инсталирах аз), но изгледжа ъпдейтнат до дупка.

 

Благодаря

ь ф - Addition.txt

ь ф - FRST.txt

Не е трябвало да местите файловете и да триете ключовете ръчно, защото сега не се знае дали процедурата по почистването ще е успешна и дали ще се възстановят направените промени от рууткита.

Syshost.exe е признак за наличието на рууткит Necurs, както се вижда и от лог файла:
 

Цитат

 

"53771016add76497" => service could not be unlocked. <===== ATTENTION

U5 53771016add76497; C:\Windows\System32\Drivers\53771016add76497.sys [80512 2016-05-26] () <===== ATTENTION Necurs Rootkit?

 

Дано не сте омазали положението здравата!

 

СТЪПКА 1

 

Моля изтеглете ESETNecursCleaner.exe и го запазете на десктопа.
Стартирайте файла ESETNecursCleaner.exe и се съгласете с лицензионното споразумение.
Ако видите съобщението: "Win32/Necurs found in your system" => Изберете Y.
После ще видите това: "Do you want to restart the computer now (required)". => Изберете Y.
Публикувайте лог файла след рестарта.

 

СТЪПКА 2

 

Направете нова проверка с FRST като сложите отметка пред Addition.txt преди да натиснете бутона SCAN и след това прикачете новите резултати.

Поздрави!

брей пък то било по-голяма гадост отколкото очаквах.

Пуснах ESETNecursCleaner, той докладва че е намерил и поиска ребоот, но можах да ребоотна чак сега.

Качвам новите логове от ФРСТ.

Файла 53771016add76497.sys вече го няма а Syshost беше още там, но вече не е "заключен".

FRST.txt

Addition.txt

А лог файла от EsetNecursCleaner?

Има още какво да почистим само че преместените от вас файлове ги няма в лог файла именно, защото сте ги преместили и това обърква инструментите (и затова не е добра идея самопочистването ако ще се използват услугите на подраздела) и ще се опитам да ги намеря чрез скрипта (ако ли не изтрийте ръчно). Ще премахна и евентуалната гадина от флашката ако е вкарана в системата (G:\9d6tpg.exe) - само че е добре преди да я вкарате да спрете Autorun-a с този инструмент => http://dox.bg/files/dw?a=89364e7aef

Със скрипта ще премахнем остатъците от Avast и Norton (и регистрацията им в Security Center-a на Windows), ще активираме и защитната стена (която в момента е изключена) и ще изтрием 2 зарази от 2007-ма година: (при това със скрити атрибути)

2007-07-22 14:15 - 2008-04-14 05:42 - 102470784 ___SH () C:\Documents and Settings\All Users\msidmv.exe
2007-07-22 14:15 - 2008-04-14 05:42 - 102376320 ___SH () C:\Documents and Settings\All Users\msxvuir.exe

Ще отключим и правата на boot.ini.

Изтеглете fixlist.txt и го запазете на десктопа.
Стартирайте FRST.exe и натиснете бутона Fix веднъж!
След като приключи, ако ви поиска рестарт - съгласете се. След рестарта публикувайте лог файла - fixlog.txt, който ще се създаде след работата на програмата.
 
Внимание: Скрипта е създаден за текущата система. Да не се ползва за други системи с подобни проблеми!

След това пишете как е положението!

Поздрави!

Качвам лога от ESETNecursCleaner

Флашката не е включена и доколкото си спомням я почистих, като изтрих изпълнимия файл и autorun.inf.

Пуснах автоматичния фикс за ауторъна, но не позволих да рестартира компютъра а рестартирах експлорера. Проверих че NoDriveTypeAutorun и на двете места е 255. Всъщност това вече го бях направил на ръка.

Взех файла за FRST и кликнах "Fix". Видях съобщение че ще се прави restore point и ... връзката ми се разпадна, предполагам заради командата "netsh winsock reset catalog".

така че продължавам утре, когато ще има кой да ми пусне ultravnc-то

ESETNecursCleaner.exe_20170506.031440.2120.log

Не вярвам да е от netsh winsock reset да се е разпаднала връзката...по-скоро се е рестартирала системата за да извърши някои процедури и да почисти кеша на браузърите.

Ок, дори флашката да е почистена ще почистим MountPoint-а използван от бацила със скрипта.

Флашката е добре да я имунизирате с USBFIX например => http://www.majorgeeks.com/files/details/usbfix.html

с бутона Vaccinate. Ще се създаде autorun.inf папка на флашката за да предотврати евентуални бъдещи зарази, когато я поставяте в различни системи.

Спирането на Autorun-a не прави само промени по ключа NoDriveTypeAutorun, а още доста неща. За пълно изключване вижте това => https://support.microsoft.com/bg-bg/help/967715/how-to-disable-the-autorun-functionality-in-windows

Видях в лога на EsetNecursCleaner, че и там сте прекъснали рестарта на системата. Цяло чудо е, че се е почистила системата без рестарт...или може би просто се е почистила на следващото включване...

Поздрави!

ми готово. Качвам лога от "Fix" на FRST.

Чудеса няма – наистина отказах ребоот на ESETNecursCleaner, но след това рестартирах системата.

Сега доколкото виждам всичко е нормално, файловете споменати във фикса ги няма.

Ще "ваксинирам" флашките – вероятно на ръка – ще създам скрита, системна, забранена за писане директория "autorun.inf" с по един файл вътре - скрит, системен, забранен за писане.

Spoiler

Всъщност по подобен начин попречих (на други компютри) на аваст 4.8 да си инсталира нагуеъра и досажда за ъпгрейд допреди (не ме бийте) месец когато се самоъпдейтна като windows до десятка – тайно, с насилствен ребоот и със всичките телеметрии включени и прехванати комуникации на тъндърбърда, така че юзерът да се чуди защо не може да си прочете пощата. Добре че файерфокса се разписка че някой му е инсталирал непознати плъгини че поне те не се активираха.

След като бъде потвърдено, че системата е чиста, обмислям да инсталирам последния аваст-хоум, с български интерфейс, и да оставя само щитовете за файлова система и поведение и да го направя колкото може по-тих за да не обърква ползувателя. Ще се опитам да направя безплатната регистрация на сайта на аваст и инсталирам ключа "офлайн". Смятате ли че има по-подходящо решение?

Spoiler

Гледам по някакви съмнителни места се търкалят ключове за аваст хоум за по много години и така може би се избягва необходимостта да се ре-активира, така че решението да се доближи още повече то "install&forget" каквото се цели.

 

a b - Fixlog.txt

Лог файла показва, че скрипта е изпълнил всичко, което му е било зададено. Boot.ini отключен ли е вече?

За да проверим за остатъци направете следното: (стъпките изглеждат много, но самото сканиране със споменатите инструменти не би трябвало да отнеме много време):

 

СТЪПКА 1

 

Моля изтеглете Malwarebytes Anti-Malware 2.2.1.1043 Final и я запазете на вашия десктоп.

• Стартирайте файла mbam-setup-2.2.1.1043.exe и следвайте указанията за да инсталирате програмата.
• След като инсталацията приключи се уверете че сте сложили отметка пред:
• Launch Malwarebytes Anti-Malware
• Отметката активираща пробния 14 дневен период също е маркиран по-подразбиране. Ако не желаете да тествате защитата в реално време на програмата през следващите 14 дни тогава премахнете отметката. Т.е. премахнете първата отметка:

• Натиснете бутона Finish.
• Отидете до табът Settings > Detection and Protection > и под категорията Detection Options включете опцията "Scan for rootkits".
• Отидете до табът Scan, сложете радио-бутона пред Threat Scan и след това натиснете бутона Scan Now >> . Ако е намерена актуализация тогава натиснете бутона Update Now.
• Ще започне проверка за зловреден софтуер.
• При някои инфекции можете да видите съобщението:
• "Could not load DDA driver"
• Натиснете "Yes" на това съобщение за да позволите драйвера да се зареди след рестарт.
• Разрешете на компютъра да се рестартира и след това продължете с останалите инструкции.
• След като проверката приключи натиснете бутона Apply Actions.
• Изчакайте да се появи прозореца подканващ ви да рестартирате и след това натиснете бутона Yes.
• След рестарта, когато се появи десктопа MBAM ще се зареди още веднъж.
• Отидете то табът History > Application Logs.

• Отворете рапорта с последната дата и час и натиснете бутона "Copy to Clipboard"
• Сега вече поставете съдържанието на лог файла с клавишната комбинация Ctrl + V и го публикувайте в следващия си коментар.

 

СТЪПКА 2

 

1.Изтеглете Hitman Pro.

За 32-битова система - .
За 64-битова система -

2.Стартирайте програмата.
3.След като сте стартирали програмата като кликнете върху иконата и натиснете бутона „Напред“ като се съгласите с лицензионното споразумение (EULA).

4.Сложете отметка пред "Не, искам да завърша еднократно сканиране на компютъра".

5.Натиснете бутона „Напред“.

6.Програмата ще започне да сканира. Времето за сканиране е около 2 минути.

7.След завършване на сканирането от списъка с намерените неща (ако има такива) изберете Apply to all => Ignore.

8.Натиснете "Next" и след това натиснете "Изнеси резултата в XML file" и запазете лог файла на десктопа.

9.Архивирайте файла и го прикачете в следващия си коментар или копирайте съдържанието му в следващия си коментар.
 
Забележка: Ако няма падащо меню, където да изберете ignore както на снимката:
 

 
Тогава просто затворете програмата след края на проверката (без да премахвате нищо)...след това отворете C:\Documents and Settings\All Users\Application Data\HitmanPro\Logs, отворете и публикувайте съдържанието на лог файла в следващия си коментар. Пак повтарям, не трийте нищо с програмата, защото е доста мощна и може да бъде опасна!

 

СТЪПКА 3

 

Моля, изтеглете  Zemana AntiMalware и го запишете на вашия работен плот.

• Стартирайте програмата.
• Кликнете върху иконата .
• Отидете на Scan и сложете отметка пред Create Restore Point.
• Отидете на Advanced и кликнете бутона I have read the warning and wish to proceed anyway.
• Сложете отметки пред Auto Upload и Detect suspicious (root CA) certificates.
• Сега вече натиснете иконата .
• Натиснете Scan за да започне проверката.
• След кратко сканирането приключи кликнете върху иконата (не натискайте бутона Next) и отворете последния доклад.
• Сега кликнете File => Save As  и изберете своя Desktop и натиснете Save.
• Моля копирайте съдържанието на лог файла в следващия си пост.

 

СТЪПКА 4

 

Изтеглете RogueKiller и го запазете на десктопа.

Забележка: Трябва да изтеглите версия съвместима с вашата система.

RogueKiller.exe

RogueKillerX64.exe

• Стартирайте RogueKiller.exe. В новия прозорец  изберете "Scan", след което изберете "Start Scan"

• Когато сканирането завърши изберете "Open Report"

• В новия прозорец изберете  "Export txt"  Ще се създаде лог файл с името RK.txt

• Публикувайте лог файла в следващия си пост.

Поздрави!

Файла Boot.ini е отключен, но вече няма нужда, щото не ми трябва сейфмод

Пуснах МБАМ. "Scan Now" май вече се казва "Start Scan"

Скана приключи, беше докладвано само за секюрити центъра че е изключен. Не поиска рестарт. Включвам последния лог:

Spoiler

 

Malwarebytes Anti-Malware

www.malwarebytes.org

 

Scan Date: 5/7/2017

Scan Time: 6:55:52 PM

Logfile:

Administrator: Yes

 

Version: 2.2.1.1043

Malware Database: v2017.05.07.04

Rootkit Database: v2017.04.02.01

License: Free

Malware Protection: Disabled

Malicious Website Protection: Disabled

Self-protection: Disabled

 

OS: Windows XP Service Pack 3

CPU: x86

File System: NTFS

User: Binev

 

Scan Type: Threat Scan

Result: Completed

Objects Scanned: 221741

Time Elapsed: 9 min, 20 sec

 

Memory: Enabled

Startup: Enabled

Filesystem: Enabled

Archives: Enabled

Rootkits: Enabled

Heuristics: Enabled

PUP: Enabled

PUM: Enabled

 

Processes: 0

(No malicious items detected)

 

Modules: 0

(No malicious items detected)

 

Registry Keys: 0

(No malicious items detected)

 

Registry Values: 0

(No malicious items detected)

 

Registry Data: 0

(No malicious items detected)

 

Folders: 0

(No malicious items detected)

 

Files: 0

(No malicious items detected)

 

Physical Sectors: 0

(No malicious items detected)

 

 

(end)

 

Хуснах хитман – качвам лога. Winvnc.exe, ArmenskiPopHelpDesk, Flex2K (да бе, все още се ползва) са легитимни.

Пуснах Zemana AntiMalware – Firefox Homepage, vnchooks.dll са легитимни. Качвам лога

Взех RogueKiller.exe (директния линк не работи) и сканирах. Тъй като го гледам само регистрито от симантек е за изтриване. Качвам RT.txt.

 

a b - RK.txt

a b - 2017.05.07-19.29.59-i0-t92-d2.txt

a b - HitmanPro_20170507_1921.log

Нещо в лог файла не се виждат намерените записи за Security Center-a? Сигурни ли сте, че това е правилния лог или сте сканирали наново и сте качили лог файла в който се казва, че нищо не е намерено?

Няма какво да ми обяснявате кое е легитимно и кое не. Аз съм ги видял още в лог файла на FRST и не съм ги изтрил все пак.

Според лоф файла на HitmanPro има останали зарази в System Restore-a и затова почистете старите точки за възстановяване:

(макар че инструмента Delfix.exe по-надолу ще го направи автоматично, освен че ще изтрие използваните от нас инструменти):

А иначе колкото до записа свързан със Symantec да, можете да маркирате само него в RogueKiller и да го премахнете с Remove Selected.

Като цяло обаче е по-добре да пуснете следния инструмент за да почистите повечето остатъци от Symantec => ftp://ftp.symantec.com/public/english_us_canada/removal_tools/Norton_Removal_Tool.exe

Иначе мисля, че повече проверки не са необходими...няма нужда да ви карам да сканирате с Eset Online Scanner или EmsisoftEmergencyKit. Все пак е добре да сканирате с новоинсталираната антивирусна програма за всеки случай.

Благодаря за точното спазване на инструкциите ми и коректната работа!

Ето малко финални препоръки: (Не е задължително да ги прилагате всичките, а само тези, които сметнете за необходими. Направете обаче една нова точка за възстановяване докато всичко работи преди да започнете да прилагате съветите)

1. За да почистим използваните от нас инструменти направете следното:

Изтеглете Delfix.exe и го стартирайте. Сложете отметка пред Remove disinfection tools и Purge system restore (трябва да има такава по-подразбиране, но все пак да си кажа) => натиснете бутона Run. Инструмента ще се самоизтрие след като приключи своята задача!

Ако има папки, които не са се изтрили след гореспоменатите процедури пишете и ще ги премахнем ръчно.

Все пак за да премахнете папките на използваните инструменти (които Delfix може би ще остави направете следното)

C:\Documents and Settings\All Users\Application Data\HitmanPro => изтрийте тази папка за да се отървете от остатъците от HitmanPro

C:\Documents and Settings\All Users\Application Data\RogueKiller => изтрийте тази папка за да се отървете от остатъците от RogueKiller

C:\Documents and Settings\All Users\Application Data\Zemana AntiMalware => изтрийте тази папка за да се отървете от остатъците от Zemana AntiMalware

За тези 3 програми може да се наложат малко повече усилия за премахването на остатъците. Ще има драйверни файлове в C:\Windows\system32\drivers (подредете ги по дата за да видите последно добавените такива и ще ги разпознаете).

Truesight.sys => е името на драйвера на RogueKiller

hitmanpro37.sys => е имато на драйвера на HitmanPro

zam32.sys и zamguard32.sys => са имената на драйверите на Zemana.

Споменатите програми имат и асоциирани услуги с тях, които можете изтриете с командите за Command Prompt:

sc delete TrueSight

sc delete hitmanpro37

sc delete ZAMSvc

sc delete ZAM_Guard

sc delete ZAM

След изтриването на остатъците от Zemana вече би трябвало да можете да изтриете файловете, които програмата създава:

C:\WINDOWS\ZAM_Guard.krnl.trace
C:\WINDOWS\ZAM.krnl.trace

Ако не се изтрият услугите на Zemana тези файлове ще се създават и пак и пак дори да ги изтриете. След изтриването на услугите пак ще се създадат при изтриването си, но до първия рестарт. След това вече няма да се създават.

Препоръчвам ви да си оставите Malwarebytes Anti-Malware за профилактични проверки, но ако искате да я деинсталирате използвайте този инструмент

Така или иначе обаче версия 2.2.1 на Malwarebytes скоро ще бъде спряна от поддръжка и за да продължите да използвате продукта трябва да го обновите до версия 3x или ако не ви хареса версия 3x да деинсталирате програмата.

2. Проверете за стари приложения с помощта на PatchMyPC (преносима програма) или с програмата Secunia Personal Software Inspector (изисква инсталация). Наскоро излезе и друг добър инструмент в лицето на UCheck.

3. Инсталирайте Unchecky за да се предпазите от адуер (като този с който беше заразена системата в момента) по време на инсталацията на даден софтуер.

4. За защита от криптовирусите можете да инсталирате Kaspersky Anti-Ransomware tool for business. Това е важно допълнение към антивирусната ви програма (особено ако тя не разполага с такъв модул за защита). Можете да добавите и Malwarebytes Anti-Exploit към защитния слой на системата. Други добри програми в тази насока са AppCheck и RansomOff, но в момента първата е леко орязана в безплатната си версия, а втората е в бета тестване и не препоръчвам използването и. CryptoPrevent също е добро допълнение към Kaspersky Anti-Ransomware tool for business и Malwarebytes Anti-Exploit (защото представлява пасивна защита на базата на правила в GPEDIT.msc). Ако се чувствате комфортно при работата си с Group Policy Editor-a можете да му хвърлите едно око. Програмата обаче ще създаде неприятности ако често се качва или актуализира софтуер на системата. Ще се наложи да изключвате защитата и с Undo и Apply и да рестартирате, да си инсталирате нещата и пак да я включите и да рестартирате. Повече е подходяща за заключване на дадена конфигурация на която не се правят често софтуерни промени. Споменатите програми би трябвало да работят без проблеми до avast! и не би трябвало да са тежки и лакоми за системни ресурси. Все пак вие ще си прецените, но предполагам сте наясно колко досаден множе да бъде ransomware в момента.

5. Има и други програми, но са главно за напреднали потребители и няма да се спирам много задълбочено на тях, защото са сравнително по-сложни за употреба на средностатистическите потребители.. Затова ще ги пропусна. Добре е да не се спира System Restore, да се внимава с прикачените файлове към електронната поща. Добра идея е и да забраните скриптовете, ако не използвате такива с помощта на инструмента - Noscript.exe. Стартирайте го и изберете Disable.Вижте и следния линк (той прави допълнителна забрана на Windows Scripting Host пропусната от NoScript, но не съм сигурен дали е приложим за Windows XP). Самия CryptoPrevent също има опция за забрана на Windows Scripting Host. Ако ви потрябва да стартирате някога (js или vbs файлове, просто стартирайте инструмента и го направете на Enable и върнете направените промени в регистрите). Добре е да се внимава и с PDF файловете (повечето програми позволяват да се изключи java script в PDF четците, да се забрани на PDF файловете да стартират външни програми и да комуникират с интернет и прочие), да се внимава с офис файловете за макро вируси и експлоити (пак може да се затегне сигурността от настройките на офис пакетите), добре е да се внимава за файлове с двойни разширения (например ако в My Computer => Tools => Folder Options => не е премахната отметката пред "Hide extensions for known file types" ако свалите даден файл от интернет с името image.exe.jpg, вие ще го видите като image.jpg, но всъщност файла ще е image.exe и щом го стартирате това ще задейства и вируса).Трудно е, но просто няма как. Потребителите трябва да се научат да проявяват бдителност и хигиена при сърфиране.

6. Винаги правете бекъп на важните си документи на външни носители и за не толкова ценните неща на cloud услуги. Научете се да не инсталирате програми от съмнителни източници. Добра идея е да се научите да си създавате огледални образи на текущото работещо състояние на дяла на който се намира Операционната Система. Възстановяването на такъв образ при нужда в пъти по-лесен и бърз начин за връщане на работещото състояние на системата от преинсталация или опит за ръчно премахване на даден проблем. Такъв образ може да се създаде с външна програма като Macrium Reflect Free. Можете да видите и тази тема

Поздрави и усмихната седмица! Ще маркирам случая като решен!

Ми супер. За секюрити центъра – май пуснах скана на МБАМ два пъти а качих само последния лог. Сега ще разчистя последиците от инстументите и ще се погрижа за флашките и ще инсталирам аваст.

Огромни благодарности и наздраве на вашта маса