Куча майнеров на всех компьютерах домена

[GGNAME]

Добрый день.
Забрутили пароль админа тестового сервера. Запустили на нем кучу майнеров.
По несчастливой случайности пароль админа тестового сервера совпал с паролем локального админа остальных машин.
Теперь майнеры на всех машинах и серверах. Оперативно был написан скрипт зачистки от этих майнеров

net stop WindowsDefender
sc config WindowsDefender start=disabled

taskkill /IM webisida.browser.exe /f
taskkill /IM securesurf.browser.client.exe /f
taskkill /IM wahiver.exe /f
taskkill /IM wasp.exe /f
taskkill /IM waspwing.exe /f
taskkill /IM smss.exe /f

SCHTASKS /Delete /TN GoogleUpdateTask /F
SCHTASKS /Delete /TN "Adobe Reader" /F
SCHTASKS /Delete /TN GoogleUpdateTaskMashine /F

attrib -s -h "C:\Program Files\Common Files\microsoft shared\System"
icacls "C:\Program Files\Common Files\microsoft shared\System" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\Adobe Flash Player Updater.job" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\GoogleUpdateTaskMashine.job" /grant *S-1-1-0:(D,WDAC)
attrib -s -h "C:Program Files\Common Files\microsoft shared"
attrib -s -h "C:\Program Files\Common Files\microsoft shared\Systema"
icacls "C:\Program Files\Common Files\microsoft shared\Systema" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\GoogleUpdateTask.job" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\GoogleUpdate.job" /grant *S-1-1-0:(D,WDAC)
icacls "C:\ProgramData\Microsoft\drm /grant *S-1-1-0:(D,WDAC)

move /Y "C:\Program Files\Common Files\microsoft shared\System" c:\VirusOld
move /Y "C:\Program Files\Common Files\microsoft shared\Systema" c:\VirusOld
move /Y "C:\WINDOWS\Tasks\Adobe Flash Player Updater.job" c:\VirusOld
move /Y "C:\WINDOWS\Tasks\GoogleUpdateTaskMashine.job" c:\VirusOld
move /Y "C:\ProgramData\Microsoft\drm" c:\VirusOld

После выполнения скрипта активность вроде не наблюдается, но остается опасность нахождения каких либо кейлогеров или еще чего опасного. Хотелось бы исключить эти вероятности. Логи высылаю с сервера, к которому был подобран пароль.

Благодарю.

[Info_bot]

Уважаемый(ая) GGNAME, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Ничего интересного по нашей части не увидел

[GGNAME]

Ничего интересного по нашей части не увидел

Благодарю за помощь