Trojan.Agent / heur/agen.1205338 вирус, который заразил services.msc

Словил вирус. Без включенного TaskManager'a начинаются системные зависания, в планировщик задач и автозагрузку влетели несколько файлов. 5 штук из них маскировались под Postgresql, kmp, yandex, nvidia экзешники, но таковыми не явлились. Чистил с помощью AdwCleaner, Advpro, cureit, hitmanpro, superantispyware. Windows Defender, SmartScreen, как и некоторые другие вещи были выключены в своё время tweaker'om. MalwareBytesPro и superantispyware в realtime каждые 20-30 сек блокируют [B]services.exe (В названии темы опечатка с .msc)[/B] :
[ATTACH=CONFIG]687045[/ATTACH]

UPD (05.03.22 10:22):
Увидел подобную вещь в в теме [[url]https://virusinfo.info/showthread.php?t=227666][/url]
Заранее, на всякий случай, выполнил ту же процедуру формирования полного образа автозапуска. Файл прикрепил.

Уважаемый(ая) [B]Sanlovty[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[QUOTE=Vvvyg;1524682]Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).[/QUOTE]


Ещё раз здравствуйте. При запуске системы, после этапа на котором возможно войти в биос появился экран HitmanPro, который выделил файл services.exe, я только успел это увидеть и он сразу пропал, винда загрузилась и проблем пока не замечено. Однако, не думаю, что вирус был удалён до конца. Файлы прикрепил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

UPD ( 05.03.2022 11:08 ): Не знаю, важно или нет, но MalwareBytes запустил проверку по окончании которой оказалось, что Superantispyware переместил services.exe в карантин [ATTACH=CONFIG]687053[/ATTACH]


[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

UPD ( 05.03.2022 11:27 ): На сайте ссылка на файл с вирусом уже была удалена, однако я нашёл его, запустил нa any.run и получил такой результат, возможно поможет [[url]https://app.any.run/tasks/a7f7e39a-7042-484c-a41f-ff66d2cf4409/][/url]

[NOTICE]Не нужно полностью цитировать сообщения, просто пишите в окне "Быстрый ответ"[/NOTICE]

Деинсталлируйте SUPERAntiSpyware, бесполезная программа.

Прикрепите в архиве файл C:\TDSSKiller.3.1.0.28_05.03.2022_08.21.52_log.txt

Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Task: {60D538DB-334F-4FF6-A0BA-DE195FA727D2} - \OneDrive Standalone Update Task-S-1-5-21-956382089-4204278177-4225085758-500 -> No File <==== ATTENTION
Folder: C:\Users\1f93f77a7f4778
Folder: C:\ProgramData\a3928ca96e6f94
Folder: C:\driverperfnet
Folder: C:\Users\mrkop\AppData\Roaming\Windows
Folder: C:\driverperfnet
2022-03-05 05:53 - 2022-03-06 10:31 - 000000000 ____D C:\Users\mrkop\AppData\Roaming\Windows
ContextMenuHandlers1: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => -> No File
ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} => -> No File
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} => -> No File
ContextMenuHandlers1: [BB FlashBack 2] -> {A8065B9E-193F-4797-B62D-8F6321E7FCCB} => -> No File
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} => -> No File
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} => -> No File
ContextMenuHandlers4: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} => -> No File
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} => -> No File
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} => -> No File
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [790]
AlternateDataStreams: C:\Users\mrkop\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
FirewallRules: [{35C42C65-4B7B-4E93-9CA2-5CEAAEA86F4F}] => (Allow) C:\Users\mrkop\AppData\Roaming\uTorrent\uTorrent.exe => No File
FirewallRules: [{D4CF9746-33FB-468D-A7EE-1E6E5AF18B38}] => (Allow) C:\Users\mrkop\AppData\Roaming\uTorrent\uTorrent.exe => No File
FirewallRules: [{0A2137BB-60BC-4C17-B3EB-B981D0C9EC36}] => (Allow) C:\Users\mrkop\Desktop\SWToR\SWTOR_RU_ 05_07_2021_ver2.8.4.2\SWToR_RUS.exe => No File
FirewallRules: [{7C5E8BF6-ECFE-4AA4-901B-2707DE369649}] => (Allow) C:\Users\mrkop\Desktop\SWToR\SWTOR_RU_ 05_07_2021_ver2.8.4.2\SWToR_RUS.exe => No File
FirewallRules: [{7E93348F-233E-4F42-AC10-69698E8D8EBB}] => (Allow) C:\Users\mrkop\Desktop\SWToR\SWTOR_RU_ 05_07_2021_ver2.8.4.2\SWToR_RUS.exe => No File
FirewallRules: [{43D88DB1-245F-45EB-951D-CE15B92884A4}] => (Allow) C:\Users\mrkop\Desktop\SWToR\SWTOR_RU_ 05_07_2021_ver2.8.4.2\SWToR_RUS.exe => No File
FirewallRules: [{2478A06F-F139-46AC-8F45-785FF2344B31}] => (Allow) C:\Program Files\BlueStacks_nxt\HD-Player.exe => No File
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его в архиве к своему следующему сообщению.
Компьютер может быть перезагружен автоматически!

Превысил ограничение по весу прикрепляемых сообщений, поэтому в виде ссылки: [url]https://drive.google.com/file/d/1RZML5nUXRhUOlDlytRr3ZFReJkf99E9u/view?usp=sharing[/url]

Сделайте такой фикс в Farbar Recovery Scan Tool:[QUOTE]Start::
2022-03-05 05:53 - 2022-03-05 05:53 - 000000906 _____ C:\Users\1f93f77a7f4778
2022-03-05 05:53 - 2022-03-05 05:53 - 000000846 _____ C:\ProgramData\a3928ca96e6f94
2022-03-05 05:53 - 2022-03-05 08:13 - 000000000 ____D C:\driverperfnet
End::[/QUOTE]Новый лог-файл Fixlog.txt прикрепите

Папку C:\FRST\Quarantine упакуйте в архив с паролем, выложите в облако, пароль и ссылку сообщите в личном сообщении.

Что сейчас с проблемой, Malwarebytes что-то детектирует?

Логи прикрепил, ссылку отправил. Malware ничего не находит. Фризы ушли, задержек нет.

Сделайте новый полный образ автозапуска UVS.

Сделано:
[url]https://drive.google.com/file/d/1liCCT2vroSnz51MEtdkmv-lBkWkieVQf/view?usp=sharing[/url]

Порядок, внедрённые потоки в процессах пропали, были видны в первом образе.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Всё выполнил, спасибо вам большое. Безумно благодарен! Единственное, буду рад совету, следует ли мне предпринять какие-то действия после излечения? (наподобие смены паролей)

Что именно делал троян, неясно, но поменять все пароли стоит.