Технический форум

Технический форум (http://www.tehnari.ru/)
-   Безопасность (http://www.tehnari.ru/f35/)
-   -   Подозрение на Spyware (http://www.tehnari.ru/f35/t254597/)

Bauxite 06.07.2017 15:23
Подозрение на Spyware
 
Вложений: 2
Доброго времени суток, прошу помощи.
Суть такова: во время простоя компьютера в трее появляется чёрный шестиугольный значок. При наведении курсора на него он исчезает.
Так же, защита, встроенная в Яндекс.Браузер выдаёт следующие уведомления (на скриншоте).
По пути: "C:\Users\User\AppData\Roaming\SysHibernate\wi n32" находятся пять .exe файлов: "wahiver", "wahiver64", "WAScribe", "wasp", "waspwing". Пробовал проверять систему Malwarebytes - ничего не нашлось. Удалял вручную всю папку "SysHibernate" - через время она снова появилась со всеми файлами. ОС Windows 7 x64 Максимальная.
Лог AVZ во вложениях.

Bauxite 06.07.2017 15:55
Вложений: 1
Образ автозапуска uVS.

safety 07.07.2017 05:26
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код:

;uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

deldirex %SystemDrive%\USERS\USER\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYSHIBERNATE\WIN32\WAHIVER64.EXE
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYSHIBERNATE\WIN32\WAHIVER64.EXE
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYSHIBERNATE\WIN32\WASP.EXE
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYSHIBERNATE\WIN32\WASP.EXE
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYSHIBERNATE\WIN32\WASPWING.EXE
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYSHIBERNATE\WIN32\WASPWING.EXE
apply

; OpenAL
exec  C:\Program Files (x86)\OpenAL\oalinst.exe" /U
deltmp
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\IS-GGON9.TMP\VERSIONCHECK#.BAT
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\SYNCTOOL\SYNCTASK.VBS
delref %SystemRoot%\SYSWOW64\TBSSVC.DLL
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\UMPO.DLL
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\RDVGKMD.SYS
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %SystemRoot%\SYSWOW64\WIN32K.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\58.0.3029.81\INSTALLER\CHRMSTP.EXE
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\FL STUDIO 12\PLUGINS\FRUITY\EFFECTS\ZGAMEEDITOR VISUALIZER\VIDEOMEMORYRENDERFILTER_X64.AX
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\FL STUDIO 12\PLUGINS\FRUITY\EFFECTS\ZGAMEEDITOR VISUALIZER\VIDEOMEMORYRENDERFILTER.AX
delref %Sys32%\DRIVERS\RDVGKMD.SYS
delref %Sys32%\BLANK.HTM
delref {472083B0-C522-11CF-8763-00608CC02F24}\[CLSID]
delref %Sys32%\DRIVERS\CLEANHLP.SYS
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\PROGRAM FILES (X86)\ASHAMPOO\ASHAMPOO ANTI-VIRUS\CLEANHLP64.SYS
delref %Sys32%\PSXSS.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\USERS\USER\DESKTOP\OTHER\AUSLOG~1.0FI\APP\DISKDE~1\DISKDO~2.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %Sys32%\NVCUVENC.DLL
delref %Sys32%\SHAREMEDIACPL.CPL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\FL STUDIO 12\PLUGINS\FRUITY\EFFECTS\ZGAMEEDITOR VISUALIZER\MEDIAVIDEODECODER_X64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref D:\GAMES\KING\GETAVI~1.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.99\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\NVCUVENC.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\FL STUDIO 12\PLUGINS\FRUITY\EFFECTS\ZGAMEEDITOR VISUALIZER\MEDIAVIDEODECODER.DLL
delref {7558B7E5-7B26-4201-BEDB-00D5FF534523}\[CLSID]
delref {8E5E2654-AD2D-48BF-AC2D-D17F00898D06}\[CLSID]
delref D:\GAMES\STEAMLIBRARY\STEAMAPPS\COMMON\BATTLEFIELD 2\UNINSTALL.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\FL STUDIO 12\FL64.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\FL STUDIO 12\FL.EXE
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\MAIL.RU\AGENT\MAGENTSETUP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\17.0.963.79\INSTALLER\SETUP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\COLLAB\COLLAB.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IMAGE-LINE\COLLAB\UNINSTALL.EXE
delref %SystemDrive%\PROGRAM FILES\VST\SYNCERSOFT POLYVOX STATION VSTI\UNINSTALL.EXE
;-------------------------------------------------------------

restart
перезагрузка, пишем о старых и новых проблемах.
----------
далее,
выполните сканирование (угроз) в Malwarebytes

Bauxite 07.07.2017 14:08
Вложений: 1
Ещё вчера повторно удалил всю папку "SysHibernate", после чего почистил реестр. Кажется, помогло, но скрипт на всякий случай выполнил. Спасибо.

safety 07.07.2017 16:24
2.удалите все найденное в малваребайт
перегрузите систему
далее,
3.сделайте проверку в АдвКлинере
http://www.tehnari.ru/f150/t87975/

*****
4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
далее,

5.сделайте проверку в FRST
http://www.tehnari.ru/f150/t245622/

Bauxite 08.07.2017 01:43
Вложений: 2
Всё сделал.

safety 08.07.2017 01:53
6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Код:
Task: {174EDB3A-AA05-47D7-9326-A970AAE040B7} - \31D3DFAx3D -> No File <==== ATTENTION
Task: {1E437508-0F21-4108-991F-D5097C4597DF} - System32\Tasks\ExpirationRun => Wscript.exe "C:\Users\User\AppData\Roaming\DailyCheck\check138\expirationrun.vbs" //B
EmptyTemp:
Reboot:
+
понаблюдайте за проблемами.

Bauxite 08.07.2017 16:40
Вложений: 1
Проблем больше не наблюдается.


Часовой пояс GMT +4, время: 09:42.

Powered by vBulletin® Version 4.5.3
Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.