Сильное подозрение на вредоносное ПО, заменены данные входа в paypal

[Stam2]

Архив прикрепил.
Гад получен скорее всего отсюда httx://https://bad-url Там не pdf-документ, а ярлык от него, кликаешь и открывается текстовый pdf со всякой мутью. Получил на одном форуме в личку. НА 100% не уверен, что, но очень похоже, данные входа в палку поменялись, что еще, пока не знаю...жутко не хочется винду переустанавливать.
Жду помощи.

псы: если ссылки на потенциальные вирусы присылать сюда нельзя, то пардон, не знал, думал, это может помочь...

[Info_bot]

Уважаемый(ая) Stam2, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи (https://virusinfo.info/pravila.html).

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+ (https://virusinfo.info/content.php?r=613-sub_pomogite).

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект (https://virusinfo.info/content.php?r=113-virusinfo.info-donate).

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe (http://virusinfo.info/showthread.php?t=7239):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\leon_\AppData\Local\Temp\ Python\12.py', '');
QuarantineFile('C:\Users\leon_\AppData\Local\Temp\ Python\pythonw.exe', '');
DeleteFile('C:\Users\leon_\AppData\Local\Temp\Pyth on\12.py', '64');
DeleteFile('C:\Users\leon_\AppData\Local\Temp\Pyth on\pythonw.exe', '64');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, упакуйте его в архив с паролем, выложите на файлообменник или в облако и дайте ссылку с паролем в личном сообщении.

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK (https://virusinfo.info/soft/tool.php?tool=ClearLNK). Отчёт о работе прикрепите.

Скачайте Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) или с зеркала (https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Stam2]

Необходимые отчеты в прикрепленном архива

- - - - -Добавлено - - - - -

Извините, может я что-то еще не сделала, просто у меня наверху красная фраза Прислать запрошенный карантин
Но я вроде все сделал как говорилось в посте Vvvyg
Ссылку на карантин я отправил ему в личном сообщении, два текстовых отчета прикрепил в своем предыдущем посте.
Если чего-то не хватает, напишитие пожалуйста...

[Vvvyg]

Жду логи Farbar Recovery Scan Tool и доступ к архиву с карантином.
И лог нужен именно после работы ClearLNK. Check_Browsers_LNK.log изначально был в CollectionLog-2025.03.01-18.36.zip.

[Stam2]

Логи Farbar Recovery Scan Tool в прикрепленном архиве LOG, это я его просто так назвал...

[Vvvyg]

Там только 2 файла:
Check_Browsers_LNK_debug.log
Check_Browsers_LNK.log

[Stam2]

Извините, запутался вчера ночью...
Сейчас вроде все правильно прикрепил.

[Vvvyg]

Стилер удалили.
Меняйте пароли на всех ресурсах, стввьте 2FA. где есть возможность.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj (https://yadi.sk/d/xIUtpEqJq4wru).
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[Stam2]

Спасибо. Скажите, этот стилер мог по локальной сетке перебраться на другой комп? Системный диск другого компа из зараженного не виден, только папка Загрузки.
Прикрепил отчет.
псы: вы знаете, при открытии Хрома на милисекунду вылетает черное окно, типа Терминал. Это говорит о чем-то нехорошем.

[Vvvyg]

Скачайте утилиту Universal Virus Sniffer отсюда (https://yadi.sk/d/6A65LkI1WEuqC) и сделайте полный образ автозапуска uVS (https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810).

[Stam2]

Посмотрите Личные сообщения, пожалуйста.

[Vvvyg]

Ничего подозрительного.

[Stam2]

Значит все нормально? Спасибо за помощь. Пароли поменял. 2FA включил, где есть.