[решено] Процесс Com surrogate - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] Процесс Com surrogate (http://forum.oszone.net/showthread.php?t=316321)

Процесс Com surrogate

Доброго времени суток, есть подозрения что ко мне забрался вирус, стал подвисать компьютер, и появились новые процессы. Решил посоветоваться с вами, как со специалистами.

Здравствуйте!

Эти файлы Вам знакомы?

Цитата:

C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrv.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrvgamemenu.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\restart_debug.bat.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\serverbrowser.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\userconfig.upk

нет, не знакомы, но я сейчас открыл, это видимо файлы с Counter-Strike которые загружаются сами по себе при входе на публичный сервер. Самой игрой не пользуюсь давно, по этому это всё можно отчистить.
Если что открывал файлы через Тотал командор, через меню Lister.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK', '');

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Klikiu.exe', '');

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrv.upk', '');

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrvgamemenu.upk', '');

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\restart_debug.bat.upk', '');

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\serverbrowser.upk', '');

 QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\userconfig.upk', '');

 DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Klikiu.exe', '32');

 DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrv.upk', '32');

 DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrvgamemenu.upk', '32');

 DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\restart_debug.bat.upk', '32');

 DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\serverbrowser.upk', '32');

 DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\userconfig.upk', '32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Klikiu');

ExecuteSysClean;

 ExecuteWizard('SCU', 2, 3, true);

 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');

RebootWindows(true);

end.

Компьютер перезагрузится.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Файл CheckBrowserLnk.log
из папки

Цитата:

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start

CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"

CreateRestorePoint:

CHR StartupUrls: Default -> "hxxp://search.conduit.com/?ctid=CT3320294&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=2&UP=SPF85FE35E-F8ED-4032-9FF7-4F86A59B090F&SSPV=","hxxp://www.mystartsearch.com/?type=hp&ts=1424852582&from=cmi&uid=WDCXWD3200AAKS-22L6A0_WD-WCAV2AW3662536625","hxxp://www.istartsurf.com/?type=hp&ts=1446725594&z=235fe6afabbfea703286a05g7z4zdqbm7o2wdo3t3c&from=face&uid=WDCXWD3200AAKS-22L6A0_WD-WCAV2AW3662536625"

2015-03-28 01:54 - 2015-03-28 01:54 - 5499232 _____ (PC Cleaners) C:\ProgramData\pclunst.exe

Reboot:

end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.

Сообщите что с проблемой.

Проблема решена, процесс более не присутствует. Благодарю за помощь!!

В завершение:
Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var

LogPath : string;

ScriptPath : string;

begin

 LogPath := GetAVZDirectory + 'log\avz_log.txt';

 if FileExists(LogPath) Then DeleteFile(LogPath);

 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 

begin

    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 

else begin

       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');

       exit;

      end;

  end;

 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)

end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Обнаружено 2 уязвимости, и обе связаны с Microsoft Office Word. Еще раз за помощь, огромное спасибо!

Прочтите и выполните Рекомендации после лечения.

Удачи!