49 ответов в этой теме

[ninulik]

Добрый вечер!

 

На компьютере было обнаружено действие программ, осуществляющих массовую спам-рассылку.

Произвели чистку dr. webом. Но все же предполагаю, что где-нибудь могли остаться следы этих программ.

Поэтому прошу помощи в чистке и прилагаю логи.

Прикрепленные файлы:

•  ВОЛОДЯ-ПК.zip   13,54Мб   1 Скачано раз
•  hijackthis.log   19,85К   1 Скачано раз

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

- попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
- детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
- дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web подробнее.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];
- собрать и выложить в своей теме логи утилит, указанных в Правилах этого раздела форума.


4. При возникновении проблем с интернетом, таких как "не открываются сайты", в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа "Содержание сайта заблокировано" и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig


Для этого проделайте следующее:

• Зайдите в меню Пуск на Рабочем столе, вызовите в нем окно команды Выполнить...
• В появившемся окне наберите cmd и нажмите клавишу <Enter>. Появится черное окно консоли (интерпретатора команд).
• Напишите в этом черном окне команду ipconfig /all>"%userprofile%\ipc.log" и нажмите клавишу <Enter>, затем наберите там же команду explorer.exe /select,"%userprofile%\ipc.log" и нажмите клавишу <Enter>, нужный файл будет показан в Проводнике Windows.
• Приложите этот файл к своему сообщению на форуме.

Чтобы не сделать ошибок в написании команд, можно скопировать эти команды отсюда и последовательно вставлять в черное окно консоли путем выбора пункта Вставить из меню, появляющегося при нажатии правой кнопки мыши в черном окне консоли.

[l.e.e.]

O2 - BHO: Movies Toolbar (Dist. by Bandoo Media, Inc.) - {d1dac034-9fd9-4c13-a388-d2e10e57707f} - (no file)
O3 - Toolbar: Movies Toolbar (Dist. by Bandoo Media, Inc.) - {d1dac034-9fd9-4c13-a388-d2e10e57707f} - (no file)
O4 - HKUS\S-1-5-21-4164621253-3418743271-2580923964-1000\..\Run: [MediaVerifyer] C:\Users\14C4~1\AppData\Local\Temp\temp3623995493.exe (User 'Володя')
O4 - HKUS\S-1-5-21-4164621253-3418743271-2580923964-1000\..\Run: [ConnectionUpdater] C:\Users\Володя\AppData\Local\Temp\temp3623995493.exe (User 'Володя')
O4 - HKUS\S-1-5-21-4164621253-3418743271-2580923964-1000\..\Run: [Bpmytqipnybwohoj.exe] "C:\Users\Володя\AppData\Roaming\Bpmytqipnybwohoj.exe" (User 'Володя')
O4 - HKLM\..\Run: [Bpmytqipnybwohoj.exe] "C:\Users\Володя\AppData\Roaming\Bpmytqipnybwohoj.exe"

1.Запустите HijackThis- Scan- отметьте строки выше и-  Fix Checked
 

O23 - Service: Datamngr Coordinator (DatamngrCoordinator) - Unknown owner - C:\Program Files (x86)\Movies Toolbar\Datamngr\DatamngrCoordinator.exe
(file missing

2.Запустите командную строку от администратора и введите SC delete DatamngrCoordinator

Перезагрузите ПК.

[ninulik]

Запустила повторно HijackThis, чтобы пофиксить написанное выше, но следующих строк не нашла:

O4 - HKUS\S-1-5-21-4164621253-3418743271-2580923964-1000\..\Run: [MediaVerifyer] C:\Users\14C4~1\AppData\Local\Temp\temp3623995493.exe (User 'Володя')

O4 - HKUS\S-1-5-21-4164621253-3418743271-2580923964-1000\..\Run: [ConnectionUpdater] C:\Users\Володя\AppData\Local\Temp\temp3623995493.exe (User 'Володя')
O4 - HKUS\S-1-5-21-4164621253-3418743271-2580923964-1000\..\Run: [Bpmytqipnybwohoj.exe] "C:\Users\Володя\AppData\Roaming\Bpmytqipnybwohoj.exe" (User 'Володя')

 

Другие удалила.

Прикладываю новый лог.

Что дальше посоветуете?

Прикрепленные файлы:

•  hijackthis2.txt   17,87К   1 Скачано раз

[l.e.e.]

O23 - Service: Search AD Service (SearchADSvc) - ADReSearchCenter.com - C:\Windows\ReADService.exeC:\Windows\ReADService.exe

Запустите командную строку от администратора и введите SC delete SearchADSvc

Так же перезагрузить ПК.

[ninulik]

Сделала. Что еще?

Прикрепленные файлы:

•  hijackthis3.txt   17,45К   2 Скачано раз

[l.e.e.]

ninulik, И что не помогает, какие сейчас проблемы ? Ещё этой сделайте лог adwarecleaner Сканировать - Отчёт.

Сообщение было изменено l.e.e.: 27 Май 2014 - 00:34

[ninulik]

ninulik, И что не помогает, какие сейчас проблемы ? Ещё этой сделайте лог adwarecleaner Сканировать - Отчёт.

Да нет, все хорошо! Все помогает! ) Просто хочу убить проблему полностью, вот и пристаю.

[ninulik]

ninulik, И что не помогает, какие сейчас проблемы ? Ещё этой сделайте лог adwarecleaner Сканировать - Отчёт.

Вот лог:

Прикрепленные файлы:

•  AdwCleanerR0.txt   12,37К   1 Скачано раз

[l.e.e.]

А то тут главное не перестараться  Не залечить,так сказать..

[ninulik]

А то тут главное не перестараться  Не залечить,так сказать..

Надеюсь, не перестараемся

[l.e.e.]

Папка Найдено : C:\Program Files (x86)\Yandex
Папка Найдено : C:\ProgramData\Yandex
Папка Найдено : C:\Users\Володя\AppData\Local\Yandex
Папка Найдено : C:\Users\Володя\AppData\LocalLow\Yandex
Папка Найдено : C:\Users\Володя\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex
Папка Найдено : C:\Users\Володя\AppData\Roaming\Yandex

C:\Users\Володя\AppData\Local\Mail.Ru - это тоже снять галочку.

На вкладке Папки снимите галочки с яндекса и нажмите Очистить. (много мусора). (Если будут проблемы, у этой программы есть карантин, можно восстановить.)
Затем ПК перезагрузиться. Спокойной ночи..

Сообщение было изменено l.e.e.: 27 Май 2014 - 00:51

[l.e.e.]

Папка Найдено : C:\Program Files (x86)\Mail.Ru
Папка Найдено : C:\Users\Володя\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\Володя\AppData\LocalLow\Mail.Ru
Папка Найдено : C:\Users\Володя\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mail.Ru

Папка Найдено : C:\ProgramData\AlawarWrapper
Папка Найдено : C:\Users\Public\Documents\AlawarWrapper
Папка Найдено : C:\Users\Володя\AppData\Local\AlawarWrapper - это игра ? Оставьте тоже.

[ninulik]

Папка Найдено : C:\Program Files (x86)\Yandex
Папка Найдено : C:\ProgramData\Yandex
Папка Найдено : C:\Users\Володя\AppData\Local\Yandex
Папка Найдено : C:\Users\Володя\AppData\LocalLow\Yandex
Папка Найдено : C:\Users\Володя\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex
Папка Найдено : C:\Users\Володя\AppData\Roaming\Yandex

C:\Users\Володя\AppData\Local\Mail.Ru - это тоже снять галочку.

На вкладке Папки снимите галочки с яндекса и нажмите Очистить. (много мусора). (Если будут проблемы, у этой программы есть карантин, можно восстановить.)
Затем ПК перезагрузиться. Спокойной ночи..

 

Приятных снов!

Вы считаете, на этом проблема исчезнет окончательно?

Мне просто провайдер блокирует интернет за массовую почтовую рассылку, к которой я даже отношения не имею.

[ninulik]

Папка Найдено : C:\Program Files (x86)\Mail.Ru
Папка Найдено : C:\Users\Володя\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\Володя\AppData\LocalLow\Mail.Ru
Папка Найдено : C:\Users\Володя\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mail.Ru

Папка Найдено : C:\ProgramData\AlawarWrapper
Папка Найдено : C:\Users\Public\Documents\AlawarWrapper
Папка Найдено : C:\Users\Володя\AppData\Local\AlawarWrapper - это игра ? Оставьте тоже.

Не поняла... Это тоже снять галочки и нажать "очистить"?

[ninulik]

Папка Найдено : C:\Program Files (x86)\Yandex
Папка Найдено : C:\ProgramData\Yandex
Папка Найдено : C:\Users\Володя\AppData\Local\Yandex
Папка Найдено : C:\Users\Володя\AppData\LocalLow\Yandex
Папка Найдено : C:\Users\Володя\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex
Папка Найдено : C:\Users\Володя\AppData\Roaming\Yandex

C:\Users\Володя\AppData\Local\Mail.Ru - это тоже снять галочку.

На вкладке Папки снимите галочки с яндекса и нажмите Очистить. (много мусора). (Если будут проблемы, у этой программы есть карантин, можно восстановить.)
Затем ПК перезагрузиться. Спокойной ночи..

 

После чистки данного перечня вот такой отчет получился:

Прикрепленные файлы:

•  AdwCleanerS0.txt   11,79К   1 Скачано раз

[Dmitry_rus]

провайдер блокирует интернет за массовую почтовую рассылку, к которой я даже отношения не имею

А вот с этого момента - подробнее. Как именно (дословно!) звучат претензии провайдера (и провайдера ли?) по данному вопросу? По уму, конечно, неплохо бы лог фаера посмотреть, кто куда и когда лез, да и трафик поснифать, но... Думаю, это как-нибудь потом...

[ninulik]

 

провайдер блокирует интернет за массовую почтовую рассылку, к которой я даже отношения не имею

А вот с этого момента - подробнее. Как именно (дословно!) звучат претензии провайдера (и провайдера ли?) по данному вопросу? По уму, конечно, неплохо бы лог фаера посмотреть, кто куда и когда лез, да и трафик поснифать, но... Думаю, это как-нибудь потом...

 

Да, провайдер. Компания "Ринет". Периодически вместо запрашиваемых интернет-страниц, появляется стандартная для этого случая заставка от провайдера: "Доступ в интернет заблокирован из-за массовой почтовой рассылки с вашего ай-пи и т.д."

 

Звонок в тех. поддержку подтверждал, что блокировали доступ именно они, так как их система выявила спам-рассылку, осуществляемую с нашего ай-пи. Они же посоветовали почистить компьютер на предмет вирусов.

[l.e.e.]

Итого:

C:\Users\Володя\AppData\Local\Opera\Opera\widgets\etranslator3.oex\includes\content2.js - infected with Trojan.Zadved.1

 

C:\Users\Володя\Desktop\VKhack(1).exe\$_EVENTS\0.part\data001 - infected with Trojan.PWS.Siggen1.11783
Это троян похищает пароли, так что их надо сменить.

 

C:\Users\Володя\Downloads\foto (1).zip\google.exe - infected with Trojan.PWS.Multi.911

Это троян так же похищает пароли, так что их надо сменить.

 

C:\Users\Володя\Downloads\video_xxx.rar\BONUS.exe - infected with BackDoor.Andromeda.267
C:\Users\Володя\Downloads\video_xxx.rar\video_xxx.exe - infected with BackDoor.Andromeda.267

Если вы запускали это, то понятно что спам от вас пошёл - это "задняя дверь" для вирусов (чёрный ход).

 

C:\Users\Володя\AppData\Local\Opera\Opera\widgets\cload-3.3.0.0.oex\config.xml - is adware program Adware.Plugin.165
C:\Users\Володя\AppData\Local\Opera\Opera\widgets\cload-3.3.0.0.oex\js\background.js - is adware program Adware.Plugin.165
C:\Users\Володя\AppData\Local\SaveSense\SaveSense.xpi\content\savesense.xul - is adware program Adware.Shopper.363

 

C:\Users\Володя\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\staged\{4933189D-C7F7-4C6E-834B-A29F087BFD24}.xpi\content\toolbar.html - is adware program Adware.Webalta.14
C:\Users\Володя\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\staged\{4933189D-C7F7-4C6E-834B-A29F087BFD24}.xpi\install.rdf - is adware program Adware.Webalta.13

 

C:\Users\Володя\Desktop\Documents\Ярлыки2\Игры1\StrandedII\StrandedII.exe\data.bin\0.file\0 - is adware program Adware.Conduit.35
C:\Users\Володя\Downloads\GTA San-Andreas.zip\GTA San-Andreas.zip\GTA San-Andreas.exe - is adware program Adware.SmsArch.489
C:\Users\Володя\Downloads\MediaGet_id677282ids2s.exe\data001\mediaget-admin-proxy.exe - is riskware program Program.MediaGet.21

 

Scan session started 2014/05/26

[l.e.e.]

Да, провайдер. Компания "Ринет". Периодически вместо запрашиваемых интернет-страниц, появляется стандартная для этого случая заставка от провайдера: "Доступ в интернет заблокирован из-за массовой почтовой рассылки с вашего ай-пи и т.д."
 
Звонок в тех. поддержку подтверждал, что блокировали доступ именно они, так как их система выявила спам-рассылку, осуществляемую с нашего ай-пи. Они же посоветовали почистить компьютер на предмет вирусов.

 

Я бы ещё посоветовал переконектиться - зайти в интерфейс модема - отключить-включить (в разных моделях меню разное. см. инструкцию) При этом заменится IP адрес.