Решена Не работают антивирусные программы, вредонос заменяет параметры безопасности программ
MadMaks
Активный пользователь
Добрый день всем!
Что было:
Изначально стоял NOD (версию и состояние баз не могу сказать)
Подключен интернет, в основном дети играли игрушки.
До нового года я видел этот комп, всё было, а порядке.
На днях винда перестала загружаться.
Что предпринималось:
При помощи ERD Commandera удалил более 20 разнообразных вредоносов (предварительно сохранив их себе на память )
ОС стала благополучно загружаться и довольно таки быстро и адекватно работать.
Но при этом не даёт работать антивирусным программам,
невозможно запустить антивирусные программы и сканеры.
Отключил восстановление системы.
Сеть и интернет не работали,
Пробовал по сети подключиться к соседнему компу, он даже не пинговался, но интернет трафик явно был.
Во избежание докачки новых вредоносов из интернета, выдернул сетевой кабель.
Скачал Kaspersky Rescue Disk 10, выполнил проверку.
Он нашёл, вылечил или удалил несколько сот вредоносов, лог прилагаю.
Скачал Dr.Web® LiveUSB, он ни чего нового не нашёл.
В ОС видимых изменений не произошло.
Как и вначале не работают антивирусы и сканеры.
Пробовал запускать:
AutoRuns, Process Explorer, HiJackThis, Runscanner, ComboFix, GMER, OTC, Anvirrus и много подобных – результат один, при обращении к процессу вредоноса все они снимаются и повторно не запускаются.
Удалось установить:
KIS 11.0.2.556
Ставиться, но на заключительном этапе при попытке запустить GUI сообщает об отсутствии прав.
Повторный запуск не возможен.
DrWeb 6.0
Ставиться, запускается, работает и не падает.
Но его сканер снимается через считанные секунды после запуска.
И ещё курсор мыши ежесекундно моргает, переходя в ожидание и обратно.
MS Essentials2
Ставится, запускается, но не работает т.к. требуются обновления для начала работы.
Обновления не скачиваются, соответственно он висит в холостую
KIS 12.0.0.242
Поставил ради смеха
По окончании установки так же не смог запустить GUI, но после перезагрузки ОС запустился, хотя и без сервисной части, соответственно ни обновиться, ни полноценно функционировать не может.
MBAM
Ставится, запускается, снимается при попытке сканирования
CureIt слетает сразу после начала сканирования.
AVPTool 9 на удивление работает стабильнее 11 версии, которая периодически снимается вредоносом.
AVPTool не могла удалить Trojan.Win32.PMax.p. после перезагрузки файл вновь восстанавливался.
Частично удалось избавиться путём отключения прав доступа к папке для всех учётных записей,
Но откуда он постоянно ставился не понятно.
Решил попробовать самый банальный способ – подключил винчестер к компу с установленным KIS 2011. Он не нашёл ни единого подозрительного объекта
Каков итог:
Имеется вполне рабочая ОС, наличие интернета больше не рискую проверять.
Всё бы хорошо, но антивиры то не работают!
Заметил интересное действие вредоноса – новых заражений файлов не происходит. Флэшку регулярно проверяю на компе с установленным кисом и Essential.
Все вредоносные действия сводятся к тому, что исполняемые файлы антивирусов после первого запуска получают ограниченные права доступа (Специальный доступ (DPO)), в результате чего не могут повторно запуститься.
При этом есть права на удаления файла, а на чтение или запись нет :sarcastic:
Для исправления достаточно установить стандартные права, но действует это до первого запуска.
В итоге удалось выяснить только то, что зверь маскируется хитрым образом и не даёт к себе прикасаться. Запускается вот так:
globalroot\device\svchost.exe\svchost.exe
В общем как то так…
Есть ли у кого свежие идеи, как извести этого зверя?
Источник
Вирус закрывает браузер и блокирует антивирусы – как удалить троян
Недавно мой знакомый столкнулся с проблемой — вирус закрывает браузер и блокирует антивирусы, не позволяет ни скачать, ни установить защитные приложения. Встроенное ПО Windows 10 никак не реагировало на ситуацию, даже глубокая проверка оказывалась бесполезной. Сейчас подскажу решение, расскажу про trojan multi gen autorun что это за угроза, как с ней бороться.
Как удалить троян?
Сначала пробовал искать в реестре. Поскольку веб-обозреватель «вырубался» после попытки открыть сайт AdwCleaner (и не только), я предположил, что вирус должен иметь базу адресов и стоп-слов. В системном реестре ничего не обнаружил.
Проверил папки Appdata, Program Data на наличие подозрительных элементов — результата ноль. Полез на форумы в надежде увидеть решения. Но практически везде советовали скачать утилиту AVZ и с её помощью выполнить скрипт, удаляющий вредоносный код. Но загрузить АВЗ я никак не мог — окно браузера закрывалось. Потом удалось загрузить на флешку с другого компьютера. Увы, троян блокировал запуск приложения.
Каким-то чудом удалось скачать DrWeb Cure It, который я всем рекомендую чуть ли не в каждой инструкции. Увы, бесплатный антивирус не помог. Та же участь постигла и 360 Total Security.
Теперь поделюсь методами, которые нашел на форумах. Многим они были полезны.
Проверяем файл hosts
Вирус, который закрывает браузер, может внести IP адреса и названия сайтов в системный файл, расположенный по пути:
Открываем документ в обычном блокноте с правами администратора и смотрим, чтобы не было строк, слева от которых отсутствует знак #, В идеале содержимое должно быть таким:
Всё, что будет ниже — удаляем, сохраняем изменения и перезагружаем ПК.
К сожалению, этот метод не помог мне удалить троян, блокирующий антивирусы.
Утилита KVRT
На англоязычном ресурсе прочитал, что подобная проблема решается с помощью утилиты Kaspersky Virus Removal Tool. Официально она уже не поддерживается, вместо нее Лаборатория Касперского выпускает условно бесплатные сканеры нового поколения. Интерфейс у них другой, но начинка, скорее всего, аналогичная. Суть не в том.
Я вспомнил, что на сайте IT Техник когда-то писал статью про это приложение. Попробовал скачать и получилось. Вот ссылка:
Думал, что не запуститься, как было с другими защитными инструментами. Но случилось чудо, вирус никак не отреагировал! Окно программы предельно простое и не требует разъяснений — просто кликаете по кнопке «Сканировать» и ждете.
Практически сразу нашло несколько зловредов, я открыл отчет и увидел их наименования:
- trojan multi genautoruntask a;
- trojan multi gen autorun task b и с.
Windows 10 был спасен! После перезагрузки Kaspersky Virus Removal Tool успешно удалил вредоносные скрипты из системы. Браузер перестал блокироваться, я сразу же загрузил AdwCleaner, который нашел еще парочку рекламных вирусов.
Видео
По этому поводу записал короткий ролик, где показываю всё то, о чем написано в инструкции выше.
P.S. Еще можно попробовать этот антивирус:
Важное дополнение!
Если в режиме Windows указанные выше методы не оправдывают себя, тогда рекомендуется создать загрузочную флешку, на которую записать образ Rescue Tool от Касперского с помощью утилиты Rufus. Инструкцию смотрите в следующем ролике:
Огромное спасибо автору!) программа нашла более 80-ти вирусов, в основном трояны. Даже и подумать не мог, что у меня столько гадов в системе.
Ну что. Спасибо таким людям за подобный материал. Браузер работал, но трояны блокировали установку многих антивирусов помимо Дока (у него так вообще сайт был заблочен трояном). Кроме личного копашения в папках и чисток, смог скачать AdwCleaner, но он явно не всё почистил, самое главное- скачал KVRT и его обновление, и тут уже могу подсказать другим на личном опыте. Если не запускается кнопка «Проверка», придётся заходить в Безопасный режим через Систему Конфигурации (ищете через лупу), и всё работает. Вообще, так понимаю (не дипломированный специалист), лучше все проверки проводить в Безопасном режиме, тогда вирусы не могут препятствовать проверкам из-за режима, что, походу, подтвердилось в ситуации с KVRT. НО! В Безопасном режиме у меня ноут прям люто греется, если что, а надо долго сидеть ждать.
KVRT нашел гадину трояна, но моменте удаления появляется синее окно. на вашем пк проблема, мы собираем данные..будем автоматическоая перезагрузка. и долго висит. Скажите, пожалуйста, что делать, ждать?
Tor Browser обходит все запреты.можете через него утилиту скачать др вебовскую или антивирус
Какого? что с компом. браузер яндекс закрывается при входе на сайт Веба 🙁 Вычистил host запустил проверку Гризли,он нашёл какую-то хрень и перезагрузил комп (О_О) в браузере ТОР скачал Курельт,проверяю. нашлось 7 опасных файлов,которые находятся в папке ПрограмДата,что-то там DLL. вроде,заработало,и неизвестные процессы не нагружают комп!
Помог AdwCleaner. Собственно им всегда и пользовалась, но после замены жесткого диска как-то забылся этот антивирус, а установлен с системой был Касперский. Сегодня вот произошло странное. С обновлением системы вылез этот trojan multi gen autorun, Каспер его не удалил, а вот АдвКлинер нашел что-то и справился с найденным. Но я с перепугу поустанавливала все что было в списке ))) Всем проверила, все норм. Спасибо вам большое )
У кого не работает KVRT — там в проге предлагают скачать обновление, скачайте, и всё сработает. Также можно скачать кюр ит через какой-нить простой vpn.
установил комодо браузер , через него скачал курейт который все вылечил.Спасибо Эльдар
ПОЖАЛУЙСТА ПОМОГИТЕ. Проблема такова: KVRT с вашей статьи установился и запустился, но когда я нажимаю «начать проверку» ничего не происходит. сколько бы не нажимал просто анимация нажатия и ничего! что в таком случае мне делать?
Проверять, что еще может блокировать запуск. Вам на месте виднее. Отключайте антивирус, пробуйте запуск от имени администратора. Перезагрузку, в конце концов.
Я очень благодарен. KVRT помог,спасибо.
СПАСИБО! Zemana реально всё сделала! Был вирус-майнер. Хитрый как падла! Прятался под прогу от Realtek. Блочил все сайты с антивирусами и закрывал менеджер процессов.
Отлично! Хорошо, что у Вас все получилось)
Какое облегчение! Спасибо!
Zemana помогла! хотя что то раньше не получалось но Щас чот сработало.
Большое спасибо за помощь.
Не знаю как подхватил,но если бы не вы,чувствую было бы мне плохо
к сожалению касперский не помог,но Земана очень помогла,поэтому ОГРОНМОЕ СПАСИБО.
Hi All. В конце 90-х, начале 2000-х инсталировали лицензионные КАV на пользовательские ПК. Потом, после нескольких крупных скандалов в антивирусной сфере тех времен, мы начали анализировать слишком быстрый отзыв лаборатории К на новые версии и подверсии вирусов. При том, что количество вновь-обнаруженных вирусов в разы отличалось от Др.Веба в сторону увеличения. Последний указывал только версии вирусов, а КАВ увеличивал БД за счет подверсий. А это уже обман пользователей! К тому же складывалось такое ощущение, будто у Каспера было две лаборатории. Одна вирусписательская, а вторая, тут же писала алгоритмы дезактивации на основании исходников первой лаборатории и добавляла их в БД KAVa. Затем у них начались траблы с оптимизацией процессов даже на производительном железе, что в свою очередь привело к полному отказу от KAV как от продукта. Перешли на Dr.WEB. Благо многие из нас помнили еще первый советский антивирус Дмитрия Лозинского Aidstest. Лицензионный Доктор очень удачно и даже очень мирно и комфортно вписывался в системы наших клиентов: частных и юрлиц. Дрежественный интерфейс, оптимизация загрузки процессора, частые обновления БД. Подспорьем в «выездном» лечении стало записывание образов Dr.WEB CureIt! не только на CD-RW, кои имели свойство повреждения поверхности, но и на USB-флешки. Емкость накопителя в 128Мб тогда было очень даже не плохо, хотя и дорого. Очень важно было регулярно обновлять антивирусные БД и презаписывать данные на носителях. Затем, мы столкнулись с проблемой первых шифровщиков на НЖМД. Dr.WEB уже не справлялся и пришлось срочно искать замену. Этой заменой стал ESET и его SysRescue Live. До сих пор, к счастью, очень редко пользуюсь им, поскольку существующий Linux дистрибутив может проверять наличие вредоносного ПО и удалять зараженные файлы (перенесенные файлы в «Карантин» при желании можно восстановить на прежнее место, и включить нужные папки и файлы в «Исключения») Сам образ запускается с CD/DVD (сейчас актуально если USB-порты физически не работают) с USB-устройства независимо от операционной системы хоста, а также имеет прямой доступ к диску и файловой системе. Это позволяет удалять угрозы, которые в обычных условиях невозможно решить. Как для особо сложных случаев качаю свежий образ Bitdefender. Как для простого пользователя — немного сложный у него GUI с англоязычным интерфейсом. Но, в конечном итоге все решается. И достаточно часто, даже без антивирусов, а просто, с помощью старого-доброго FARа, Unlocker и regedit.
P.S. У некоторых пользователей случаются проблемы с загрузкой с ESET SysRescue Live и не только. Не все утилиты позволяют корректно записать образ на флеш-накопитель. Даже мой любимый “Rufus”,не смотря на его якобы универсальность. Существует freeware утилита для записи образов на флеш-накопители и SD-карты “Etcher” https://www.balena.io/etcher/# Именно ее рекомендует ESET в своем User Guide. Утилита в портативной версии достаточно прилична в размерах, по сравнению с Rufus -111Мб. Но тем не менее она очень проста и действенна.
Удачи в борьбе за дружбу софта и железа!
Немного помучался, IObit Malware Fighter и KVRT через гугл скачались но не запустились, а вот Zemana AntiMalware действительно помог.
Капец, нажал скачать kvrt, скачалось два файла запускаю первый, нифига. Меняю файл hosts, нифига. Запускаю второй скачанный файл, сработало!
Признаки:
Сразу, закрывает яндекс браузер, гугл не трогает, однако не даёт запускать некоторые скачанные файлы. Стали жёстко тормозить игры. Закрывает диспетчер через некоторое время.
Даже его он блокирует
Помог коммент Эльдара который скачал «драгон» браузер, но только у меня «куррент» там тоже «заблочил», а вот «земана» скачалась и эту «падлу» убила)) Спасибо автору!
Почему у меня нет файла hosts?
Там где надо искали? Не забыли включить показ скрытых файлов? Если ответ на оба вопроса – да, то значит, его блокирует троян. Создайте новый файл hosts на рабочем столе (то есть создаёте блокнот и убираете расширение txt). Потом закидываете в папку etc, и если спросит заменить файл, меняете его. Кстати может помочь и с трояном. Ещё можно скачать файл в интернете с уже прописанными строками.
Спасибо автору за пошаговый алгоритм)
KPVT скачался, но кнопка проверки не действует
Почитал комментарии на предмет доп.вариантов — Земана подошла, прогнал сперва лёгкой (найден 1 зверь: ChromePlugin/enhanced-h264ify + краем глаза успел заметить упомянутые здесь «хостесы», с производными типа: uphosts или ruphosts (в процессе первого прогона — много файлов со статусом «Не удаётся проверить»)
При глубокой проверке (запустил сразу, без перезагрузки) — мама моя. штук 20 коней, адваров и прочих упырей))
Спасибо ещё раз автору и комментаторам — больше инфы, легче разобраться 🙂
Источник
