Printable View
Проверьте пожалуйста файл на портале [URL="https://www.virustotal.com/"]virustotal.com[/URL]:
[CODE]2021-02-27 11:55 - 2021-03-06 09:03 - 000155168 ____A [A0E17640B020A6B7DF1B4CCE0C176141] () C:\ProgramData\Slack\Slack.exe[/CODE]
и сообщите пожалуйста результат.
Уточните пожалуйста если не запускать slack воспроизводиться ли ваша проблема?
Не проверяет файл slack.exe на virustotal.com. Загружаю файл но никаких сообщений не выводится. Прикладываю скрины.
[url]https://cloud.mail.ru/public/ajr4/JqLpvwGbb[/url]
[url]https://cloud.mail.ru/public/Fs8c/Xe44HEhyJ[/url]
[url]https://cloud.mail.ru/public/DE7v/Yem3NwBYT[/url]
То что файл slack.exe вирусный тут без вариантов, я его не запускаю.
Попробовал запустить его, но антивирус McAfee поместил в карантин, я его удалил из карантина, но после перезагрузки компьютера он снова был в папке как ни в чём не бывало.
Давайте возьмем весь каталог в карантин, я его отправлю на исследование.
[LIST][*] Закройте и сохраните все открытые приложения.[*] Выделите следующий код::
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
Folder: C:\hp
Folder: C:\ProgramData\VkontaekatDJ
Zip: C:\ProgramData\Slack;C:\ProgramData\Flock;C:\Program Files (x86)\BdAKRcyEFIE;C:\ProgramData\rJOKrOTOvoFGzgVB;C:\ProgramData\VkontaekatDJ
2021-02-28 10:05 - 2020-10-14 10:21 - 000000000 ____D C:\ProgramData\rJOKrOTOvoFGzgVB
2021-02-28 10:03 - 2020-10-14 10:21 - 000000000 ____D C:\Program Files (x86)\BdAKRcyEFIE
File: C:\WINDOWS\system32\rtvcvfw64.dll
Reboot:
End::
[/CODE][*] Скопируйте выделенный текст ([b]правой кнопкой - Копировать[/b]).[*] Запустите FRST/FRST64 (от имени администратора). [*] Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). . [*] Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
На рабочем столе образуется карантин вида [B]<date>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Всё сделал, сформировавшийся лог-файл прикрепил на всякий случай
Похоже по предварительным данным найдено новое вредоносное ПО, я отправил карантин на исследование в ВирЛаб, ожидайте ответа.
[CODE]\bdakrcyefie\bypms49.dll - HEUR:Trojan.Win32.Agentb.gen
\bdakrcyefie\files\kernel.js - not-a-virus:HEUR:AdWare.Script.Generic
\slack\slack.exe - HEUR:Trojan.Win64.Miner.gen
\slack\slackg.exe - HEUR:Trojan.Win64.Miner.gen[/CODE]
Если Вы сами не устанавливали slack то выполните следующие инструкции:
[LIST][*] Закройте и сохраните все открытые приложения.[*] Выделите следующий код::
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
C:\ProgramData\Slack
C:\Program Files (x86)\BdAKRcyEFIE
C:\ProgramData\rJOKrOTOvoFGzgVB
Reboot:
End::
[/CODE][*] Скопируйте выделенный текст ([b]правой кнопкой - Копировать[/b]).[*] Запустите FRST/FRST64 (от имени администратора). [*] Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). . [*] Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Всё выполнил. Утилита снова в работе, как ни в чём не бывало.
ВирЛаб подвердил детектирование вредоносного ПО.
Подготовьте пожалуйста новый лог утилиты FRST (frst.txt и addition.txt).
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Также сообщите пожалуйста, что из следующего вам известно?
[CODE]S3 FACEITService; D:\FACEIT AC\faceitservice.exe [19606416 2021-02-22] (FACE IT LIMITED -> )
R2 Transmission; C:\Program Files (x86)\Transmission\transmission-daemon.exe [1558232 2020-05-22] (SignPath Foundation -> Transmission Project)
S3 zksvc; C:\Program Files\Common Files\PUBG\zksvc.exe [6929144 2020-12-07] (PUBG CORPORATION -> PUBG Corporation)[/CODE]
Если вам ничего из этого неизвестно и если временно отключить запуск этих служб, проблема проявляется?
Этот известен:
S3 FACEITService; D:\FACEIT AC\faceitservice.exe [19606416 2021-02-22] (FACE IT LIMITED -> )
Остальные нет.
Addition:
[url]https://cloud.mail.ru/public/Scrs/N1fPSgqk3[/url]
Удалите старые вложения Мой кабинет => Вложения
[LIST][*] Закройте и сохраните все открытые приложения.[*] Выделите следующий код::
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
U3 aspnet_state; не ImagePath
2021-03-02 10:33 - 2021-03-08 10:40 - 000000258 __RSH C:\ProgramData\ntuser.pol
EmptyTemp:
Reboot:
End::
[/CODE][*] Скопируйте выделенный текст ([b]правой кнопкой - Копировать[/b]).[*] Запустите FRST/FRST64 (от имени администратора). [*] Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). . [*] Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Могли бы просканировать вашу систему утилитой [URL="https://www.kaspersky.com/downloads/thank-you/free-virus-removal-tool"]KVRT[/URL] (предварительно отключив ваш антивирус перед сканированием)
Скрипт выполнил. Лог прикрепил.
KVRT проверку провёл, всё что вирусом признавалось удалил. Скрины в облаке.
[url]https://cloud.mail.ru/public/fSSo/kBPkgJxwF[/url]
[url]https://cloud.mail.ru/public/m3kc/A5hdvyJwa[/url]
[url]https://cloud.mail.ru/public/m5tz/Eck9EEyfG[/url]
[url]https://cloud.mail.ru/public/2c24/GV6f3ioUG[/url]
[url]https://cloud.mail.ru/public/tgkc/w98LScwz5[/url]
В общем не с первого раза добился очистки от всего.
Но! Нужно сказать, что после всех мероприятий процесс больше не включается. KVRT ничего не находит.
Отлично, активное вредоносное ПО, которое восстанавливало работу процессов, находился тут:
[CODE]C:\Program Files (x86)\Transmission[/CODE]
Если вы уверены, что этот каталог вам неизвестен и не нужен, то деинсталируйте эту программу через установку приложений в панели управления.
[B]Завершающие шаги[/B], если проблема не воспроизводиться, то:
1. Пожалуйста, запустите adwcleaner.exe
В меню Параметры прокрутите вниз и выберите Удалить.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
Остальные утилиты лечения и папки можно просто удалить.
2. Загрузите [URL="https://www.comss.ru/page.php?id=1813"]SecurityCheck by glax24 & Severnyj[/URL], сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [COLOR="#0000FF"]C:\SecurityCheck\SecurityCheck.txt[/COLOR]
Прикрепите этот файл к своему следующему сообщению.
Всё сделал.
Здравствуйте,
ознакомьтесь с рекомендациями:
---------------------- [ AntiVirusFirewallInstall ] -----------------------
McAfee LiveSafe v.16.0 R26 [color=red][b]Внимание! [url=https://home.mcafee.com/secure/protected/login.aspx?]Скачать обновления[/url][/b][/color]
-------------------------------- [ Arch ] ---------------------------------
7-Zip 21.00 alpha (x64) v.21.00 alpha [color=red][b]Данная версия программы больше не поддерживается разработчиком.[/b][/color]. [b]Удалите старую версию, [url=https://www.7-zip.org/download.html]скачайте[/url] и установите новую.[/b]
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45852 [color=red][b]Внимание! Клиент сети P2P с рекламным модулем![/b][/color].
---------------------------- [ UnwantedApps ] -----------------------------
WindowsRar 5.72.0.5625 [color=red][b]Внимание! Подозрение на Adware![/b][/color] Если данная программа Вам неизвестна, [color=blue][b]рекомендуется ее деинсталляция и сканирование ПК с помощью [url=https://www.malwarebytes.org/mwb-download/]Malwarebytes Anti-Malware[/url] и [URL=https://ru.malwarebytes.com/adwcleaner/]Malwarebytes AdwCleaner[/URL][/b][/color] [i]Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!![/i]
----------------------------- [ End of Log ] ------------------------------
Прикрепил текстовый файл после сканирования Malwarebytes всё отправил в карантин
AdwCleaner логи прикрепил, в первом добавил в исключения папки и сделал второе сканирование
[QUOTE=Денис Богач;1518858]Прикрепил текстовый файл после сканирования Malwarebytes всё отправил в карантин
[/QUOTE]
Похоже на хвосты от вредоносного ПО в реетре были. Попробуйте перепроверить еще раз утилитой KVRT но необходимо скачать его заново, как она выпускатся раз в два часа с новыми сигнатурами баз-данных.
всё чисто, ничего не находит
отлично, на этом все.
=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]4[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]131[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
[LIST=3D1][*] \bdakrcyefie\bypms49.dll - [B]HEUR:Trojan.Win32.Agentb.gen[/B][*] \bdakrcyefie\files\kernel.js - [B]not-a-virus:HEUR:AdWare.Scrip=
t.Generic[/B][*] c:\programdata\rjokrotovofgzgvb\jgaudrs.wsf - [B]HEUR:Trojan-Do=
wnloader.Script.SLoad.gen[/B] ( AVAST4: Script:SNH-gen [Adw] )[*] \slack\slack.exe - [B]HEUR:Trojan.Win64.Miner.gen[/B] ( AVAST4: =
Win64:Trojan-gen )[*] \slack\slackg.exe - [B]HEUR:Trojan.Win64.Miner.gen[/B] ( AVAST4:=
Win64:Trojan-gen )[/LIST][/LIST]