[решено] Процесс Com surrogate

[Discarded]

Доброго времени суток, есть подозрения что ко мне забрался вирус, стал подвисать компьютер, и появились новые процессы. Решил посоветоваться с вами, как со специалистами.

[Sandor]

Здравствуйте!

Эти файлы Вам знакомы?

C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrv.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrvgamemenu.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\restart_debug.bat.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\serverbrowser.upk
C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\userconfig.upk

[Discarded]

нет, не знакомы, но я сейчас открыл, это видимо файлы с Counter-Strike которые загружаются сами по себе при входе на публичный сервер. Самой игрой не пользуюсь давно, по этому это всё можно отчистить.
Если что открывал файлы через Тотал командор, через меню Lister.

[Sandor]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).

Выполните скрипт в АВЗ (http://forum.oszone.net/post-1430637-4.html) (Файл - Выполнить скрипт):

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK', '');
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Klikiu.exe', '');
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrv.upk', '');
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrvgamemenu.upk', '');
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\restart_debug.bat.upk', '');
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\serverbrowser.upk', '');
QuarantineFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\userconfig.upk', '');
DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Klikiu.exe', '32');
DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrv.upk', '32');
DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mrvgamemenu.upk', '32');
DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\restart_debug.bat.upk', '32');
DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\serverbrowser.upk', '32');
DeleteFile('C:\Users\user-pc6\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\userconfig.upk', '32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Klikiu');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.



Компьютер перезагрузится.



Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.



Файл CheckBrowserLnk.log
из папки
...\AutoLogger\CheckBrowserLnk перетащите на утилиту ClearLNK (http://safezone.cc/resources/clearlnk-udalenie-parametrov-zapuska-u-jarlykov.102/).

http://dragokas.com/tools/move.gif

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.


Повторите логи по правилам (http://forum.oszone.net/thread-98169.html). Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[Discarded]

Исполнено.

[Sandor]

Скачайте Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве ('http://safezone.cc/threads/17759/').

[Discarded]

Выполнено.

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
start
CMD: wmic /Namespace:\\root\default Path SystemRestore Call Enable "%SystemDrive%"
CreateRestorePoint:
CHR StartupUrls: Default -> "hxxp://search.conduit.com/?ctid=CT3320294&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=2&UP=SPF85FE35E-F8ED-4032-9FF7-4F86A59B090F&SSPV=","hxxp://www.mystartsearch.com/?type=hp&ts=1424852582&from=cmi&uid=WDCXWD3200AAKS-22L6A0_WD-WCAV2AW3662536625","hxxp://www.istartsurf.com/?type=hp&ts=1446725594&z=235fe6afabbfea703286a05g7z4zdqbm7o2wdo3t3c&from=face&uid=WDCXWD3200AAKS-22L6A0_WD-WCAV2AW3662536625"
2015-03-28 01:54 - 2015-03-28 01:54 - 5499232 _____ (PC Cleaners) C:\ProgramData\pclunst.exe
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
http://dragokas.com/tools/FRST_move.png

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве ('http://safezone.cc/threads/17760/').

Сообщите что с проблемой.

[Discarded]

Проблема решена, процесс более не присутствует. Благодарю за помощь!!

[Sandor]

В завершение:
Выполните скрипт в AVZ (http://forum.oszone.net/post-1430637-4.html) при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[Discarded]

Обнаружено 2 уязвимости, и обе связаны с Microsoft Office Word. Еще раз за помощь, огромное спасибо!

[Sandor]

Прочтите и выполните Рекомендации после лечения. (http://forum.oszone.net/post-1838507-9.html)

Удачи!