Взлом или вирус

[malinamy]

Взлом или вирус

За последнюю неделю наблюдалась странная активность на компе и в браузере, глючила клавиатура. В папке Users появилась папка с незнакомым именем, в учётках на момент удаления никаких новых юзеров не значилось. Комп сканировался, ничего не нашлось, но есть опасения, что проблема осталась.
Спасибо!

 

[mike 1]

Деинсталлируйте:

AusLogics BoostSpeed 5.5.1.0
Avast Driver Updater
UmmyVideoDownloader

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v4.0.23 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.1
   v400c
   breg
   
   dirzooex %SystemDrive%\PROGRAM FILES (X86)\MYTABLET
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEOFCBNMAJMJMPLFLAPAOJJNIHCJKIGCK%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGOMEKMIDLODGLBBMALCNEEGIEACBDMKI%26INSTALLSOURCE%3DONDEMAND%26UC
   delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLMJEGMLICAMNIMMFHCMPKCLMIGMMCBEH%26INSTALLSOURCE%3DONDEMAND%26UC
   delref KERNCAP.VBS
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл на почту mike1@avp.su

Сделайте новый лог uVS.

 

[malinamy]

готово, архив на почте

 

[mike 1]

Логов в теме новых не вижу.

 

[malinamy]

сорри, свежий лог

 

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

[malinamy]

готово, 2 файла

 

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM-x32\...\Run: [] => [X]
   GroupPolicy: Restriction ? <==== ATTENTION
   Tcpip\..\Interfaces\{D9EEF63F-726A-423E-AFA9-B9E32ED88AC5}: [NameServer] 100.120.176.1
   CMD: ipconfig /flushdns
   CMD: ipconfig /all

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

[malinamy]

архива Дата_время.zip нет, только Fixlog.txt

 

[mike 1]

Что с проблемой?

 

[malinamy]

подозрительных действий пока не наблюдаю. а можно как-то узнать, что было, вирус, взлом или глюки по?

 

[mike 1]

Подмена DNS адресов.

 

[malinamy]

значит всё-таки взлом? для этого надо, чтобы злоумышленник знал IP? надо что-то с роутером сделать?

 

[mike 1]

Достаточно просто перейти на зараженный сайт, который скриптом может изменить DNS. В роутере проверьте DNS адреса. Убедитесь, что прописаны те, которые принадлежат вашему интернет-провайдеру.

 

[malinamy]

Спасибо за помощь и ваше время ))