Обнаружил, что все файлы .EXE в корне диска D: стерты. Запустил сканирование KAF. Он сообщил о наличии руткита-трояна, но удалить его не смог.

Printable View

10.02.2020, 22:26
idv111

Вложений: 1

Обнаружил, что все файлы .EXE в корне диска D: стерты. Запустил сканирование KAF. Он сообщил о наличии руткита-трояна, но удалить его не смог.

Его название, к сожалению, не записал. Впоследствии оно не появлялось.

После этого кое-как запустил AVZ, но внятного результата не смог добиться. По крайней мере сообщений об удалении зловреда не увидел.

Затем вновь запустил сканирование KAF (Kaspersky Free Antivirus), но на этот раз он ничего не обнаружил.

Запустил полное сканирование Microsoft Malicious Software Removal Tool.
В процессе сканирования появилось сообщение, что обнаружено 2 зловреда. Однако по завершении сканирования появилась сводка, что никаких зловредов не обнаружено.
Запустил сканирование еще раз, на этот раз краткое. И ситуация повторилась - в процессе сканирования в какой-то момент появилось сообщение об обнаружении 2 зловредов, но в результирующей сводке опять было сообщено об их отсутствии.

Windows 10/64.
10.02.2020, 22:30
Info_bot

Уважаемый(ая) [B]idv111[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.02.2020, 09:48
Sandor

Здравствуйте!

Кроме обнаружений антивирусами проблема как-то ещё проявляется?
14.02.2020, 01:26
idv111

[QUOTE=Sandor;1508730]Здравствуйте!

Кроме обнаружений антивирусами проблема как-то ещё проявляется?[/QUOTE]

Я ужЕ писал - оказались стерты файлы d:\*.exe .
Кроме того, компьютер в последнее время стал временами чрезвычайно сильно тормозить часа по два - не срабатывают нажатия клавиш мыши, часто по минуте не удается подвинуть курсор мыши и даже иногда останавливаются часы в трее. При этом диск постоянно активен.
14.02.2020, 10:15
Sandor

Скачайте [url=https://downloads.malwarebytes.com/file/mb-windows]Malwarebytes v.4[/url]. Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
[B][COLOR="Red"]Самостоятельно ничего не помещайте в карантин!!![/COLOR][/B]
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
16.02.2020, 03:58
idv111

Дополняю ответ.
Но обращаю внимание, что сайт тупит - пишу это дополнение второй раз. Первый раз оно после отправки пропало.

Процесс, вызывающий активность диска, прячется. Активность диска не видна в Диспетчер задач > Процессы, однако видна в Диспетчер задач > Производительность.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=Sandor;1508830]Скачайте [url=https://downloads.malwarebytes.com/file/mb-windows]Malwarebytes v.4[/url]. Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
[B][COLOR="Red"]Самостоятельно ничего не помещайте в карантин!!![/COLOR][/B]
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.[/QUOTE]

Просканировал с помощью Malwarebytes v.4.0.4.
Настоящих зловредов она не обнаружила. Только Chrome'вские PUP"ы (регулярно их вычищаю, но они вновь натаскиваются (кстати, как бы этого избежать ?).
И, как стало видно из отчета, в бесплатной версии проверка на руткиты не производится.

Не пойму, как тут прикреплять текст к сообщению.
Так что содержимое файла вставляю прямо сюда:
Malwarebytes
[url]www.malwarebytes.com[/url]

-Данные журнала-
Дата проверки: 16.02.2020
Время проверки: 02:17
Файл журнала: 661512f6-5049-11ea-8f89-00ff64e873ed.json

-Информация о ПО-
Версия: 4.0.4.49
Версия компонентов: 1.0.823
Версия пакета обновления: 1.0.19260
Лицензия: Бесплатная версия

-Информация о системе-
ОС: Windows 10 (Build 18362.657)
Процессор: x64
Файловая система: NTFS
Пользователь: 233-PC\x

-Отчет о проверке-
Тип проверки: Полная проверка
Способ запуска проверки: Вручную
Результат: Завершено
Проверено объектов: 379214
Обнаружено угроз: 16
Помещено в карантин: 0
Затраченное время: 43 мин, 17 с

-Настройки проверки-
Память: Включено
Автозагрузка: Включено
Файловая система: Включено
Архивы: Включено
Руткиты: Выключено
Эвристика: Включено
PUP: Обнаружение
PUM: Обнаружение

-Данные проверки-
Процесс: 0
(Вредоносные программы не обнаружены)

Модуль: 0
(Вредоносные программы не обнаружены)

Раздел реестра: 0
(Вредоносные программы не обнаружены)

Значение реестра: 0
(Вредоносные программы не обнаружены)

Данные реестра: 0
(Вредоносные программы не обнаружены)

Поток данных: 0
(Вредоносные программы не обнаружены)

Папка: 4
PUP.Optional.InternetStart, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Sync Data\LevelDB, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Sync Data\LevelDB, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Sync Data\LevelDB, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.MailRu, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Sync Data\LevelDB, Проигнорировано пользователем, 264, 454830, , , ,

Файл: 12
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\000005.ldb, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\000007.log, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\000008.ldb, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\CURRENT, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\LOCK, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\LOG, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\LOG.old, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\Users\idv111\AppData\Local\Google\Chrome\User Data\Default\Sync Data\LevelDB\MANIFEST-000001, Проигнорировано пользователем, 355, 531063, , , ,
PUP.Optional.InternetStart, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Web Data, Проигнорировано пользователем, 355, 531063, 1.0.19260, , ame,
PUP.Optional.InternetStart, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Web Data, Проигнорировано пользователем, 355, 531063, 1.0.19260, , ame,
PUP.Optional.InternetStart, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Web Data, Проигнорировано пользователем, 355, 531063, 1.0.19260, , ame,
PUP.Optional.MailRu, C:\USERS\IDV111\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Web Data, Проигнорировано пользователем, 264, 454830, 1.0.19260, , ame,

Физический сектор: 0
(Вредоносные программы не обнаружены)

Инструментарий управления Windows (WMI): 0
(Вредоносные программы не обнаружены)

(end)
17.02.2020, 12:32
Sandor

1. Не цитируйте, пожалуйста, все предыдущее сообщение. Ваше при этом попадает на пре-модерацию, потому и не видно было сразу.
2.
[quote="idv111;1508866"]Не пойму, как тут прикреплять текст к сообщению[/quote]
В первом сообщении вы же прикрепили архив (Расширенный режим - Управление вложениями).
3. Детекты MBAM на поисковую систему mail.ru в перечне поисковых систем браузера Хром (это настройки русскоязычной версии браузера по умолчанию). Просто не обращайте на них внимания.
18.02.2020, 08:43
idv111

2. Да, в первом сообщении прикрепил, действуя по инструкции, которая касалась именно прикрепления архива Autologger'а.
Но догадаться, когда вновь возникла необходимость в прикреплении, что надо жать "Расширенный режим", практически невозможно. Это название наводит скорее на мысли о форматировании, шрифтах и т.п. или еще о чем-то.

Вдобавок показываемое мне сайтом меняется по непонятным причинам.
Сейчас в нем кнопка "Расширенный режим" исчезла, но зато появилось окно "Дополнительные опции" с кнопкой "Управление вложениями".

3. О детектах MBAM (на PUP'ы) вопроса не было.
Вопрос был о хитром рутките-вирусе/трояне (суммирую сообщенное выше):
3.1. он стер все мои d:\*.exe (а также, как я сейчас обнаружил, и d:\*.reg);
3.2. он чрезвычайно тормозит комп, вызывая на часы активность диска, причем процесс, вызывающий её, прячется от Диспетчера задач;
3.3. инфа о нем была видна (с именем, которое я не записал) в Kaspersky Antivirus Free;
3.4. инфа о наличии каких-то зловредов видна начиная с некоторого момента сканирования с помощью "Средства удаления вредоносных программ Microsoft Windows" ("Microsoft Malicious Software Remowal Tool"), но отсутствует в его результирующей выдаче.