Подозрение на взлом ПК и введение на него вируса.

[COLOR=#000000][FONT=Verdana]Приветствую всех желающих прочитать данное сообщение , по возможности ответить![/FONT][/COLOR]
[COLOR=#000000][FONT=Verdana]На днях 13.10.18 пришло ко мне на почту в раздел "спам", вот такое письмецо (написано было на английском, я перевел на русский):
[/FONT][/COLOR]



[COLOR=#000000][FONT=Verdana]Никто не знако[/FONT][/COLOR][COLOR=#000000][FONT=Verdana]м с сетью даркнет ?[/FONT][/COLOR]
[COLOR=#000000][FONT=Verdana]Что за непонятный бред.[/FONT][/COLOR]
[COLOR=#000000][FONT=Verdana]мошенник это очевидно. [/FONT][/COLOR]

[COLOR=#000000][FONT=Verdana]И вообще можно ли через почту путем ее взлома, попасть на мой ПК, и отслеживать все мои действия на нем ?[/FONT][/COLOR][HR][/HR][HR][/HR][COLOR=#000000][FONT=Verdana]Когда я вскрыл защищенные системные файлы, то обнаружил вот что:[/FONT][/COLOR] [ATTACH=CONFIG]674353[/ATTACH][COLOR=#000000][FONT=Verdana]
[/FONT][/COLOR]​
[COLOR=#000000][FONT=Verdana]К большинству таких папок отказано в доступе.[/FONT][/COLOR][ATTACH=CONFIG]674352[/ATTACH][ATTACH=CONFIG]674354[/ATTACH][ATTACH=CONFIG]674355[/ATTACH]

Уважаемый(ая) [B]Yen[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

Уточните пожалуйста, Вам есть что скрывать, не могу понять по каким причинам уделили свое внимание к этому письму?

Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи.[/URL]

[B]SQ[/B], Нет, мне нечего скрывать, иногда замечал, что не мог залогиниться на почте(не подходил пароль) вот я и подумал.

Обычно на такие письма рассчитаны на людей которым есть что скрывать, иначе помечают как спам и удаляют.

Покажите логи ПК по правилам, чтобы не гадать.

Вот логи:
[url]https://yadi.sk/d/0h8Ioo4OEJfUWg[/url]
не понял как заливать архивы, текстовые документы, сюда.

Логи необходимо добавлять к сообщению использую расширенный решим.


- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.

Хорошо.

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Удаляю все AdwCleaner , но после перезагрузки пк, появляются опять те же
PUP.Optional.Conduit, [Key] - HKU\S-1-5-21-1291388357-343419941-355798866-1000\Software\Conduit
PUP.Optional.Conduit, [Key] - HKCU\Software\Conduit - относится к BS.Player PRO
PUP.Optional.WinRepairPro, [Key] - HKU\S-1-5-21-1291388357-343419941-355798866-1000\Software\win
PUP.Optional.WinRepairPro, [Key] - HKCU\Software\win - к чему относится этот ключ, я не знаю.

Когда включаешь ПК, при входе в ОС, слышен звук, как-будто я подключил флешку или любое другой оборудование к пк.
Раньше такого не было, стало проявляться дня 2 назад.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Сделал

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Windows\SysWOW64\HsMgr.exe
File: C:\Windows\system\HsMgr64.exe
Zip: C:\Windows\SysWOW64\HsMgr.exe;C:\Windows\system\HsMgr64.exe;C:\Users\Spider\AppData\Roaming\inst.exe;C:\Users\Spider\AppData\Roaming\pcouffin.sys
File: C:\Program Files (x86)\uTorrent\utorrent.exe
File: C:\Program Files (x86)\Genius\Gila\mousehid.exe
File: C:\Program Files (x86)\Genius\Manticore\MThid.exe
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
FF HKLM-x32\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => not found
File: C:\Program Files (x86)\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
File: C:\Program Files\Intel\Intel(R) Smart Connect Technology Agent\iSCTAgent.exe
File: C:\Windows\System32\DRIVERS\ikbevent.sys
File: C:\Windows\System32\drivers\WPRO_41_2001.sys
File: C:\Users\Spider\AppData\Roaming\inst.exe
File: C:\Users\Spider\AppData\Roaming\pcouffin.sys
2016-11-23 11:02 - 2016-11-23 11:06 - 000000000 _____ () C:\Users\Spider\AppData\Local\{37D83861-E30B-4655-9E33-07D38D1B5EA4}
2016-11-23 11:02 - 2016-11-23 11:06 - 000000000 _____ () C:\Users\Spider\AppData\Local\{579BC1B0-F20B-41DF-A698-EAF6329C8605}
2016-11-23 11:02 - 2016-11-23 11:06 - 000000000 _____ () C:\Users\Spider\AppData\Local\{830950F2-8E6D-4237-B118-2E32BB3C9F0E}
2016-11-23 11:02 - 2016-11-23 11:06 - 000000000 _____ () C:\Users\Spider\AppData\Local\{EE7D6FF6-3F33-4009-ACE7-A90C18C8A4B3}
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} => -> No File
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} => -> No File
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [154]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51 [154]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

На рабочем столе образуется карантин вида [B]<date>.zip[/B] загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.


Обратите внимание, на следуюшие события, похоже у Вас диски (HDD/SDD) сыпятся, сохраните важные данные на стороний источник, далее проверьте состояния диска сервисными утилитам от производителя диска (HDD/SDD).
[CODE]
Error: (10/18/2018 06:09:05 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk2\DR2.

Error: (10/18/2018 06:09:04 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk2\DR2.

Error: (10/16/2018 07:22:15 PM) (Source: Disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.
[/CODE]

Хорошо, но только послезавтра, сейчас уже нет времени, завтра на работу.
Сыпется только Harddisk0\DR0 системный.

[QUOTE=Yen;1490307]
Сыпется только Harddisk0\DR0 системный.[/QUOTE]

Проверьте (если нет второго диска то возможно это флэшка) и другой, с ним тоже что-то не так:
[QUOTE]Harddisk2\DR2.[/QUOTE]

Harddisk2\DR2 - это внешний hdd, через Hard Disk Sentinel, наблюдать можно следующее.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

После выполнения указанных выше действий, получилось следующее:


На рабочем столе появилась вот такой архив:
21.10.2018_08.55.15.zip , загрузил его на "Прислать запрошенный карантин".

В карантине ничего плохого не замечено. Также не смог в логах найти какие-то признаки взлома вашего ПК.

Сообщите, что с проблемой?

Понятно, значит все хорошо.
Как то не раз я не мог зайти на свою почту, которая была под подозрением взлома ( какое-то время не подходил пароль, через несколько дней все стало нормально), и тут еще подобные письма.
Погуглил, и выяснил что это один из признаков взлома, по этому решил обратиться сюда.

________

Большое спасибо за то, что оказали помощь.
Вопрос решен.

На всякий случай смените пароль на почту и проверьте, чтобы не было настроено несанкционированой переадресации писем (в настройках). Также можете написать в тех. поддержку почтового сервера и спросить, если были посторонние входы на емайл.

В завершение:
1.
[list][*]Пожалуйста, запустите adwcleaner.exe[*]В меню [B]Настройки[/B] -[B] Удалить AdwCleaner[/B] - выберите [B]Удалить[/B].[*]Подтвердите удаление, нажав кнопку: Да.[/list]

Переименуйте FRST.exe (или FRST64.exe) в [B]uninstall.exe[/B] и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

Пароль на почте уже сменил.
adwcleaner.exe и FRST64.exe, просто удалил в корзину, затем из корзины полностью. не думал что придется проводить еще такие действия, думаю большой разницы нет ? или в реестре остались хвосты ?

В основном хвосты в корне диска C:
[CODE]C:\AdwCleaner
C:\FRST[/CODE]

Да, это я удалил.

Ну тогда на этом все.

P.S. Хвосты в реестре не критичны, если они остались от AdwCleaner.
[CODE]"HKLM\SOFTWARE\AdwCleaner"[/CODE]

Можете проверить в командной строке если он существует:
[CODE]Reg query "HKLM\SOFTWARE\AdwCleaner"[/CODE]

:)Спасибо еще раз.

Здравствуйте!
Сейчас поступило еще одно подобное письмо, удалил открывать не стал.
Скажите можно ли через почтовый ящик как-то залезть на компьютер ?
Он пишет, что мой ящик был взломан и письма он оправляет мне с моего ящика на мой ящик.
Уже 3-е письмо.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

То есть письма отправлены мне с моего почтового ящика с названием моего же адреса.
это как-будто я отправляю сам себе письма на свой же почтовый ящик.

Могли бы проверить заколовки письма, скорее всего адрес они просто подменяли.

В заголовке письма написан мой адрес и в корне письма написано от(мой адрес) кому(мой адрес).

Покажите [URL="https://www.reg.ru/support/pochta_general/pochta-reg-ru/dopolnitelno/kak-posmotret-pochtovye-zagolovki"]технические заголовки[/URL] (message header) или (служебные заголовки), нажмите ... должен быть выбор.

Письмо было удалено , как только поступит еще одно подобное, я пришлю сюда технические заголовки.

Вот и очередное письмо 3-е по счету:

[spoiler="Свойства письма"]Received: from mxfront9j.mail.yandex.net ([127.0.0.1])
by mxfront9j.mail.yandex.net with LMTP id xSRSO0qP
for <[email protected]>; Mon, 29 Oct 2018 07:48:24 +0300
Received: from 184-82-232-0.24.public.sila1-bcr02.myaisfibre.com (184-82-232-0.24.public.sila1-bcr02.myaisfibre.com [184.82.232.179])
by mxfront9j.mail.yandex.net (nwsmtp/Yandex) with ESMTP id FbVa8QGNKy-mMoSKwcc;
Mon, 29 Oct 2018 07:48:22 +0300
Return-Path: [email][email protected][/email]
X-Yandex-Front: mxfront9j.mail.yandex.net
X-Yandex-TimeMark: 1540788502
Authentication-Results: mxfront9j.mail.yandex.net; spf=softfail (mxfront9j.mail.yandex.net: transitioning domain of mail2000.ru does not designate 184.82.232.179 as permitted sender, rule=[~all]) [email protected]
X-Yandex-Spam: 4
Message-ID: <BB90A1A84D8A99446F5E57B27566BB90@K4B89KW8>
From: <[email protected]>
To: <[email protected]>
Subject: [email][email protected][/email] is compromised. Password must be changed
Date: 29 Oct 2018 17:35:20 +0600
MIME-Version: 1.0
Content-Type: text/plain;
charset="ibm852"
Content-Transfer-Encoding: 8bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.2180
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2180
X-Yandex-Forward: b2b0970be3c04dde453419692c565d2e

Hello!

I'm a programmer who cracked your email account and device about half year ago.
You entered a password on one of the insecure site you visited, and I catched it.

Of course you can will change your password, or already made it.
But it doesn't matter, my rat software update it every time.

Please don't try to contact me or find me, it is impossible, since I sent you an email from your email account.

Through your e-mail, I uploaded malicious code to your Operation System.
I saved all of your contacts with friends, colleagues, relatives and a complete history of visits to the Internet resources.
Also I installed a rat software on your device and long tome spying for you.

You are not my only victim, I usually lock devices and ask for a ransom.
But I was struck by the sites of intimate content that you very often visit.

I am in shock of your reach fantasies! Wow! I've never seen anything like this!
I did not even know that SUCH content could be so exciting!

So, when you had fun on intime sites (you know what I mean!)
I made screenshot with using my program from your camera of yours device.
After that, I jointed them to the content of the currently viewed site.

Will be funny when I send these photos to your contacts! And if your relatives see it?
BUT I'm sure you don't want it. I definitely would not want to ...

I will not do this if you pay me a little amount.
I think $848 is a nice price for it!

I accept only Bitcoins.
My BTC wallet: 17XHRucfd4kx3W5ty7ySLGiKHqmPUUdpus

If you have difficulty with this - Ask Google "how to make a payment on a bitcoin wallet". It's easy.
After receiving the above amount, all your data will be immediately removed automatically.
My virus will also will be destroy itself from your operating system.

My Trojan have auto alert, after this email is looked, I will be know it!

You have 2 days (48 hours) for make a payment.
If this does not happen - all your contacts will get crazy shots with your dirty life!
And so that you do not obstruct me, your device will be locked (also after 48 hours)

Do not take this frivolously! This is the last warning!
Various security services or antiviruses won't help you for sure (I have already collected all your data).

Here are the recommendations of a professional:
Antiviruses do not help against modern malicious code. Just do not enter your passwords on unsafe sites!

I hope you will be prudent.
Bye.
[/spoiler]

Как я понимаю, присылает один и тот же человек. По прежнему говорит то же самое , но уже добавились другие угрозы.
В прошлый раз я следовал вашим указаниям и вы проверили мой пк на наличие вирусов, ничего не было точно ?

По крайней мере в логах ничего не было найдено.

Насколько можно видеть отправитель:
[CODE]Received: from 184-82-232-0.24.public.sila1-bcr02.myaisfibre.com (184-82-232-0.24.public.sila1-bcr02.myaisfibre.com [184.82.232.179])[/CODE]
который не прошел проверку, т.е. спамер:
[CODE]spf=[B]softfail[/B] (mxfront9j.mail.yandex.net: transitioning domain of mail2000.ru does not designate 184.82.232.179[/CODE]
Скорее всего это обманка. Если вы совниваетесь, вы всегда можете обратиться в тех. поддерку Yandex за деталями.

Понятно, спасибо.

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:
[LIST][*]=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: [B]1[/B][*]=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: [B]4[/B][*]=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=
=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB =E2 =EA=E0=F0=E0=ED=F2=E8=ED=E0=F5 =ED=
=E5 =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB[/LIST]