Второй месяц борьбы с непонятной тварью

Доброго времени!

Обращаюсь за помощью к данному сообществу. Вероятно стал жертвой целевой атаки. Заходил с линукса на ссылку которую мне скинули. Сайт по ссылке защищен от сканирования (сам сайт не проверить). После этого начались проблемы: отключены все логи и журналирование. Переустановка не помогла. Несколько раз реинстал Линукса делал с заменой харда и оперативки. Сейчас поставил винду, но помоему результат тотже: первый признак сразу бросающийся в глаза: журналирование отключено, постоянно включающийся и отрубающийся Антивирус. + Исходящий траффик бешенный по 10 Гигов за 15-20 минут. Отключается ВПН. Создание соединений-дубликатов Wi-Fi. И очень много дополнительных признаков заражения такие как - история входов в аккаунты, попытки войти неустановленным лицом в соцсети и тд.

Прошу помочь - не чувствую данные в безопасности.

Уважаемый(ая) [B]Telmann[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

Спасибо

ссылка на Events: [url]https://file.io/mVRQG0J5VAMG[/url]

По журналам видно, что они были очищены 07.12. Больше ничего подозрительного.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

[QUOTE=Vvvyg;1529541]По журналам видно, что они были очищены 07.12. Больше ничего подозрительного.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].[/QUOTE]

7го декабря установил винду заместо линукса

в биосе может быть тварь подгружаемая перед загрузкой?

[QUOTE=Telmann;1529546]в биосе может быть тварь подгружаемая перед загрузкой?[/QUOTE]

Чисто теоретически - да, но практически такие кейсы не попадались. Слишком много вариантов BIOS, чтобы можно было сделать универсального зловреда.

RAV Endpoint Protection сами устанавливали? Весьма сомнительный антивирус, его обычно вместе с пиратским софтом подсаживают.

[QUOTE=Vvvyg;1529547]Чисто теоретически - да, но практически такие кейсы не попадались. Слишком много вариантов BIOS, чтобы можно было сделать универсального зловреда.

RAV Endpoint Protection сами устанавливали? Весьма сомнительный антивирус, его обычно вместе с пиратским софтом подсаживают.[/QUOTE]

нет. он шел в поставке с сборке. забыл как называется достаточно сейчас популярная. но удалил его сегодня утром кстати. он мне тоже ненрвавится как то невнушает доверия. ну как понял по вашему чист. буду надятся что у меня разыгралась фантазия. спасибо большее за работу.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.