Trojan generic как вылечить

Доброго времени суток. У меня созрела еще одна статья, касающаяся безопасности, а точнее доступа к Вашим сайтам, уважаемые вебмастера… и позвольте мне Вам рассказать.

Угроза «HEUR:Trojan.Script.Generic»

Возможно у Вас есть сайт и Вы не использовали библиотеки типа jQuery, а решили просто на яваскрипте «спагетти-код на сайте намотать» (пусть как я, ради спортивного интереса). И тут Вы наверное даже не ожидаете такой «подлости» от любимого антивируса Касперского, тем более если Вы им не пользуетесь… а пользуется Ваш друг. Он то и увидит такое сообщение на Вашем сайте «объект заражен HEUR:Trojan.Script.Generic»:

А тем временем, другие антивирусы молчат.

Чтобы рассказать Вам в чем тут дело, я вынужден привести код на яваскрипте, поэтому про него и буду рассказывать далее.
Решил значит я с даталистом поиграться для организации автокомплита без сторонних библиотек (появилось в HTML5 такое чудо, да беда у него с русскими буквами правда, пардон за оффтоп).
Написал код формы:

<form method=»get» action=»» >
<input type=»search» name=»q» value=»<?= $q; ?>» list=»json-datalist» id=»i_search» autocomplete=»off» />
<input type=»submit» value=» Искать » />
</form>
<datalist id=»json-datalist»></datalist>

И следом написал, как мне казалось, безобидный код:

// Принимаем элементы <datalist> и <input>
var dataList = document.getElementById(‘json-datalist’);
var input = document.getElementById(‘i_search’);
// Создаем новый XMLHttpRequest.
var request = new XMLHttpRequest();
// Перехватываем состояние запроса.
request.onreadystatechange = function(response) {
if (request.readyState === 4) {
if (request.status === 200) {
var jsonOptions = JSON.parse(request.responseText); // Parse the JSON
// Перебираем массив JSON
jsonOptions.forEach(function(item) {
var option = document.createElement(‘option’);
// Устанавливаем значение с помощью элемента в json-массив.
option.value = decodeURIComponent(unescape(item));
// Добавляем элементы списка <option> к <datalist>.
dataList.appendChild(option);
});
input.placeholder = «Please type»;
} else {
// Если произошла ошибка
input.placeholder = «Couldn’t load datalist»;
}
}
};
// обновим плейсхолдер
input.placeholder = «Loading options…»;

// Установить и сделать запрос
request.open(‘GET’, URL_BASE+’/data.json’, true);
request.send();

Получаем наш троян!
— Где троян? Вы не видите? О, и я тоже не вижу, а Касперский видит!
А видит он его здесь:

request.open(‘GET’, URL_BASE+’/data.json’, true);

Тогда убираем эту строчку и все в порядке — наш скрипт не работает, и антивирус спокоен.

«Разбор полетов»

Значит нужно поковыряться в перехватчике состояния запроса — onreadystatechange.
Нашим

лекарством будет отдельная функция

, назовем ее updatePage, в которую мы напишем перебор возвращаемого JSON-массива и присвоим ее здесь в нашем перехватчике состояния:

request.onreadystatechange = updatePage;

В итоге переписал код так, что антивирус Касперского больше нас не тревожит:

var dataList = document.getElementById(‘json-datalist’);
var input = document.getElementById(‘i_search’);
var url = URL_BASE + ‘/data.json’;
var request = null;
if(window.XMLHttpRequest)
request = new XMLHttpRequest();
else if (window.ActiveXObject)
request = new ActiveXObject(Microsoft.XMLHTTP);
function updatePage()
{
if (request.readyState == 4)
if (request.status == 200)
{
var jsonOptions = JSON.parse(request.responseText);
jsonOptions.forEach(function(item) {
var option = document.createElement(‘option’);
option.value = item;
dataList.appendChild(option);
});
input.placeholder = «Please type»;
delete request;
}
else
{
input.placeholder = «Couldn’t load datalist»;
}
}
request = getXmlHttp();
request.open(«GET», url, true);
request.onreadystatechange = updatePage;
request.send(null);

P.S. Я не говорю, что это единственная причина, по которой может появиться предупреждение в виде такого сообщения от горячо любимого антивируса, ведь могут быть и случаи существования действительно «левого скрипта» на вашем сайте.

1. 13.07.2016, 02:50

   #1

   

   Junior Member

   

   Вес репутации
   20

   Как удалить HEUR:Trojan.Win32.Generic? [HEUR:Trojan.Win32.Generic
   ]
   

   Здравствуйте,

   антивирус стал находить трояны после каждого запуска системы. С ними он справлялся, но вирус, который их скачивал не мог найти. Я нашёл в автозагрузке svchost (2), virustotal показал, что это HEUR:Trojan.Win32.Generic (или Trojan.MSIL.CoinMiner, или a variant of MSIL/CoinMiner.SS). Как от него избавиться?

2.  Будь в курсе!

   Будь в курсе!

   Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

   

3. 13.07.2016, 02:52

   #2

   Уважаемый(ая) flan, спасибо за обращение на наш форум!

   Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

   Информация

   Если наш сайт окажется полезен Вам и у Вас будет такая возможность — пожалуйста поддержите проект.

4. 13.07.2016, 10:01

   #3

   Здравствуйте,

   AVZ выполнить следующий скрипт.
   Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

   Код:

   begin
   ShowMessage(‘Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.’+#13#10+’После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.’);
   ExecuteFile(‘net.exe’, ‘stop tcpip /y’, 0, 15000, true);
   DelBHO(‘{b070d3e3-fec0-47d9-8e8a-99d4eeb3d3b0}’);
   DelBHO(‘{8984B388-A5BB-4DF7-B274-77B879E179DB}’);
   QuarantineFile(‘C:UsersВаняAppDataRoamingRsvchostsvchost.exe’,»);
   DeleteFile(‘C:UsersВаняAppDataRoamingRsvchostsvchost.exe’,’32’);
   RegKeyParamDel(‘HKEY_CURRENT_USER’,’SoftwareMicrosoftWindowsCurrentVersionRun’,’93a4e00770c243c3b3727b53c335416c’);
   RegKeyStrParamWrite(‘HKCU’, ‘Control PanelDesktop’, ‘WaitToKillAppTimeout’, ‘20000’);
   BC_ImportAll;
   ExecuteSysClean;
   BC_Activate;
   ExecuteWizard(‘SCU’, 2, 3, true);
   RebootWindows(true);
   end.

   После выполнения скрипта компьютер перезагрузится.

   После перезагрузки:
   — Выполните в AVZ:

   Код:

   begin
   CreateQurantineArchive(GetAVZDirectory+’quarantine.zip’);
   end.

   Файл quarantine.zip из папки AVZ загрузите по ссылке «Прислать запрошенный карантин» вверху темы.

   — Подготовьте лог AdwCleaner и приложите его в теме.

   CCNA, CCNP, CCNA Security, CCDA, CCDP
   MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

5. 13.07.2016, 10:50

   #4

   

   Junior Member

   

   Вес репутации
   20

   Всё выполнил. Больше нет svсhost в автозапуске

6. 13.07.2016, 12:40

   #5

   — Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

   Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

   • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
   • Убедитесь, что в окне Optional Scan отмечены «List BCD» и «Driver MD5».
   • Нажмите кнопку Scan.
   • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
   • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

   CCNA, CCNP, CCNA Security, CCDA, CCDP
   MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

7. 13.07.2016, 15:33

   #6

   

   Junior Member

   

   Вес репутации
   20

8. 13.07.2016, 16:51

   #7

   • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

     Код:

     CreateRestorePoint:
     CloseProcesses:
     HKLM-x32…Run: [] => [X]
     HKLMSOFTWAREPoliciesMicrosoftInternet Explorer: Restriction <======= ATTENTION
     Toolbar: HKUS-1-5-21-1217246567-1490443109-2166350674-1001 -> No Name — {09900DE8-1DCA-443F-9243-26FF581438AF} — No File
     Toolbar: HKUS-1-5-21-1217246567-1490443109-2166350674-1001 -> No Name — {47833539-D0C5-4125-9FA8-0819E2EAAC93} — No File
     FF HKLM-x32…FirefoxExtensions: [{7BA52691-1876-45ce-9EE6-54BCB3B04BBC}] — C:ProgramDataNorton{0C55C096-0F1D-4F28-AAA2-85EF591126E7}NortoncoFFPlgn => not found
     2016-07-10 11:44 — 2016-07-13 13:22 — 00000000 ____D C:UsersВаняAppDataRoamingRsvchost
     Task: {05E787A9-38C0-4F3F-9CA0-BE9E2753727E} — MicrosoftWindowsSetupgwxlaunchtrayprocess -> No File <==== ATTENTION
     Task: {51429B2F-6AE2-413C-BFFC-136408AE630B} — MicrosoftWindowsSetupGWXTriggersTime-5d -> No File <==== ATTENTION
     Task: {5858883B-C6F7-4A61-A343-8FF9359ADD09} — MicrosoftWindowsSetupGWXTriggersMachineUnlock-5d -> No File <==== ATTENTION
     Task: {5F5CDDF8-A9F0-460A-B73E-3A14EB191861} — MicrosoftWindowsSetupgwxrefreshgwxcontent -> No File <==== ATTENTION
     Task: {7247448A-F32C-4DD5-9838-6EE8D2CFFE8C} — MicrosoftWindowsSetupGWXTriggersOutOfSleep-5d -> No File <==== ATTENTION
     Task: {756ED3B6-14CE-40F9-ABFF-88E1777AA688} — MicrosoftWindowsSetupGWXTriggersOutOfIdle-5d -> No File <==== ATTENTION
     Task: {781EC414-4F76-4A17-BE57-5521FC62D8A7} — MicrosoftWindowsSetupgwxrefreshgwxconfig -> No File <==== ATTENTION
     Task: {7C49E2FF-D5F8-4414-A4D8-93B91B619641} — MicrosoftWindowsSetupGWXTriggersrefreshgwxconfig-B -> No File <==== ATTENTION
     Task: {8AC2A6C1-A5D5-49DB-AA9A-1685FFE880B1} — MicrosoftWindowsSetupgwxrefreshgwxconfigandcontent -> No File <==== ATTENTION
     Task: {C40838BC-BAD1-44F9-879A-2F24C0257526} — MicrosoftWindowsSetupGWXTriggersLogon-5d -> No File <==== ATTENTION
     Task: {FDC92D9A-DCF6-47AA-91EC-AAA341185FAC} — MicrosoftWindowsSetupGWXTriggersTelemetry-4xd -> No File <==== ATTENTION
     Task: {FDC92D9A-DCF6-47AA-91EC-AAA341185FAC} — MicrosoftWindowsSetupGWXTriggersTelemetry-4xd -> No File <==== ATTENTION
     EmptyTemp:
     Reboot:

   • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
   • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
   • Обратите внимание, что компьютер будет перезагружен.

   CCNA, CCNP, CCNA Security, CCDA, CCDP
   MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

9. 13.07.2016, 18:34

   #8

   

   Junior Member

   

   Вес репутации
   20

10. 13.07.2016, 22:25

    #9

    Сообщите, что с проблемой?

    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

11. 14.07.2016, 06:07

    #10

    

    Junior Member

    

    Вес репутации
    20

    Думаю проблема решена, svchost больше нет в автозапуске. Трояны больше не скачиваются. Большое спасибо!

12. 14.07.2016, 09:24

    #11

    1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе.

    2. Запустите DelFix.

    Важно, для работы утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista/7/8/8.1/10 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

    3.В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup

    4. Нажмите на кнопку Run.

    5. После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt (C:delfix.txt)

    6. Прикрепите этот отчет в вашей теме.

    Выполните скрипт в AVZ при наличии доступа в интернет:

    Код:

    var
    LogPath : string;
    ScriptPath : string;
    begin
    LogPath := GetAVZDirectory + ‘logavz_log.txt’;
    if FileExists(LogPath) Then DeleteFile(LogPath);
    ScriptPath := GetAVZDirectory +’ScanVuln.txt’;
    if DownloadFile(‘https://dataforce.ru/~kad/ScanVuln.txt’, ScriptPath, 1) then ExecuteScript(ScriptPath) else
    begin
    if DownloadFile(‘https://dataforce.ru/~kad/ScanVuln.txt’, ScriptPath, 0) then ExecuteScript(ScriptPath)
    else begin
    ShowMessage(‘Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!’);
    exit;
    end;
    end;
    if FileExists(LogPath) Then ExecuteFile(‘notepad.exe’, LogPath, 1, 0, false)
    end.

    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

13. 14.07.2016, 11:18

    #12

    

    Junior Member

    

    Вес репутации
    20

    avz нашёл уязвимость в Adobe Reader, но версия Adobe Reader DC стоит самая новая

14. 14.07.2016, 12:55

    #13

    CCNA, CCNP, CCNA Security, CCDA, CCDP
    MCP, Microsoft Specialist: Srv Virtualization with WinSrv Hyper-V and System Center

15. 14.07.2016, 13:05

    #14

    Итог лечения

    Статистика проведенного лечения:

    • Получено карантинов: 1
    • Обработано файлов: 1
    • В ходе лечения обнаружены вредоносные программы:
      1. c:usersваняappdataroamingrsvchostsvchost.exe — HEUR:Trojan.Win32.Generic ( AVAST4: Win64:Malware-gen )