Добрый день!
Злоумышленник получил полный контроль моей почты на mail.ru при помощи вредоносного ПО. Он сумел удалить нужное письмо в корзину. Техподдержка мейл.ру ответила, что взлом произошел именно с моего устройства. Проверив компьютер антивирусом kvrt я обнаружил 1 троян под названием UDS: Trojan-Dropper.Win32.Agent.timxyk
Больше угроз обнаружено не было. Прошу вас помочь в полной проверке моего устройства, заранее благодарю
Уважаемый(ая) [B]ditresh60[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
При этом в почте стояла двухфакторная авторизация по коду из СМС. Кодов не приходило, значит злоумышленник, при условии, что у меня был включен пункт "не спрашивать код на этом устройстве" работал именно с моего устройства.
Здравствуйте!
Явных признаков заражения пока не видно.
Дополнительно:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Файлы прилагаю
Тут тоже придраться не к чему.
Для верности сделайте последовательно проверки с помощью [url=https://support.kaspersky.ru/kvrt2020]KVRT[/url] и [url=https://free.drweb.ru/download+cureit+free/]CureIt[/url].
Результат сообщите.
Прилагаю во вложении.
У меня есть еще один рабочий ноутбук, с которого ранее я работал с данной почтой, однако в момент взлома в почту вход не был выполнен на нем. Могу ли я с него прислать лог в эту же тему?
Создайте новую тему по ноутбуку.
Спасибо!
Тему создал:
[url]https://virusinfo.info/showthread.php?t=228730&p=1531775#post1531775[/url]
По детектам ничего явно опасного, тем более, когда оно лежит себе в архивах. Но имейте ввиду в любых кряках, репаках, активаторах может быть (а может и не быть) и функционал трояна/майнера. Почистите свои склады, там много, как минимум, неактуального и бесполезного.
По Windivert - тут неопасно.
Спасибо. Почищу
[url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=128m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.
Сделано
[url]https://cloud.mail.ru/public/Di1P/ni27jC18u[/url]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Кое-что еще было. 8.09 мне написал сотрудник geek Brain. По его просьбе я скачал архив с их сайта. В архиве был троян, который отловился антивирусом. Сейчас подниму все переписки. Вдруг, я не заметил, что не их домен в почтовом адресе.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Скорее всего так и есть. Вот как было дело. Мне написал человек с почты [email][email protected][/email]. После того, как я попросил подтвердить, что он является представителем, мне написали с почты [email][email protected][/email], подтвердив это.
Только сейчас я понял, что geek-brains.com.ru - это как будто бы не их имя.
Далее с [email][email protected][/email] приходят письма с обсуждением подробностей (письма не содержат ни вложений, ни ссылок). После чего в одном из писем предлагается следующее:
[I]Для вашего удобства все материалы собраны на нашей официальной странице. Вы можете загрузить их по ссылке на нашем официальном сайте: geek-brains.com(*Мы не используем сторонние сервисы для передачи данных материалов в процессе сотрудничества по рекламе, что закреплено в принципах нашей компании.)*На странице вы найдёте:Договор для заполнения — Ознакомьтесь с условиями договора, если вас все устраивает, заполните его и отправьте нам.[/I]
Далее я перешел на сайт выше, но, опять же, сейчас я понимаю, что их сайт gb.ru, как будто бы. На сайт есть кнопка "СКАЧАТЬ МАТЕРИАЛЫ (WINDOWS ONLY)", вот в ней то, вероятно и находится угроза в виде файла "gb Договор на оказание рекламных услуг.scr"
Я им пишу, у вас файл не открывается, Защитник ругается. Они говорят: "Странно, разберемся". Что-то в этом роде.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Все оказалось банально просто. Моя невнимательность. Ну и незащищенность пк
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
На канале ютуб запустили трансляцию дебатов трампа с харрис)) Нагнали 78т зрителей.
[QUOTE=ditresh60;1531800]Я им пишу, у вас файл не открывается, Защитник ругается. Они говорят: "Странно, разберемся". Что-то в этом роде.[/QUOTE]
Надо было поверить защитнику, детект был вполне однозначный:[QUOTE] Имя: Trojan:Win32/Wacatac.H!ml
ИД: 2147814523
Серьезность: Критический
Категория: Троян
Путь: file:_C:\Users\Denis\AppData\Local\Temp\Rar$DIb0.916\gb Договор на оказание рекламных услуг.scr[/QUOTE]Ну и файл с расширением .scr - исполняемый и никак не может быть договором.
[QUOTE=ditresh60;1531800]Все оказалось банально просто. Моя невнимательность. Ну и незащищенность пк[/QUOTE]
Сами разобрались и сделали выводы, это хорошо, хоть и запоздало )
Насчёт незащищённости - распространённая ошибка отключать антивирус или игнорировать его предупреждения по рекомендации злоумышленников.
Тогда всё на этом.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите. Логи, карантин и другие файлы, созданные программой, будут удалены.
Компьютер перезагрузится.