Поймал CoinMiner.AQ на server 2016

[EmperorKG]

Добрый день, поймал майнер на ms server 2016. в защитнике ловит как CoinMiner.AQ и удаляет, но через время опять появляются непонятные папки

Объекты:
startup:C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\IMG001.exe
file:C:\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\IMG001.exe
file:C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\IMG001.exe
file:C:\Users\1\Start Menu\Programs\Startup\IMG001.exe

[Info_bot]

Уважаемый(ая) EmperorKG, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Это сетевой червь, ищите источник заразы на других компьютерах, отключайте по одному от сети, лечите штатным антивирусом, KVRT или Dr. Web CureIt! и не подключайте снова до завершения лечения всех до единого. Иначе не избавитесь.
Как вариант - отключить административный доступ к локальным дискам (C$, D$ ...), пролечить и спокойно искать источник.

С учётом того, что права на запись в папку C:\ProgramData есть только у администраторов - заражение идёт с рабочей станции, работающей под учёткой с правами доменного администратора, или локального админа на сервере, что уж совсем неправильно.

[EmperorKG]

Это сетевой червь, ищите источник заразы на других компьютерах, отключайте по одному от сети, лечите штатным антивирусом, KVRT или Dr. Web CureIt! и не подключайте снова до завершения лечения всех до единого. Иначе не избавитесь.
Как вариант - отключить административный доступ к локальным дискам (C$, D$ ...), пролечить и спокойно искать источник.

С учётом того, что права на запись в папку C:\ProgramData есть только у администраторов - заражение идёт с рабочей станции, работающей под учёткой с правами доменного администратора, или локального админа на сервере, что уж совсем неправильно.

Спасибо большое вроде нашёл, как попал, зашёл на другой сервер через c$ вот и проник, спасибо, в app понасоздавал в папках пользователей \AppData\Roaming\NSminer

[Vvvyg]

Ещё помощь нужна, или сами дочистите?