Junior Member
Вес репутации
12
Индивидуальный кейс (очень интересный случай). НУЖНА ПОМОЩЬ!
Добрый день!
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) ScorpiOzzy , спасибо за обращение на наш форум! правилах оформления запроса о помощи .поддержите проект .
По логам чисто.
Junior Member
Вес репутации
12
Сообщение от
Vvvyg
По логам чисто.
Просто вакансию опубликовать на hh?.. и по каким принципам оценивать соискателей и выбирать? Может быть есть какие-то советы на этот счёт..- - - - -Добавлено - - - - -
Сообщение от
Vvvyg
По логам чисто.
А отчёт AVZ - тоже чисто?
На момент проверки, видимо, не было интернета, поэтому и не пинговались сайты.Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.Да для соглашения с предупреждением.Сканировать .
Junior Member
Вес репутации
12
Ну это не так) интернет был подключен.. для чего отключать интернет есил я наоборот я проверяю систему.. (в т.ч. существующие соединения)- - - - -Добавлено - - - - - [email protected] [email protected] - - - - -Добавлено - - - - - [email protected] ] - C:\Program Files (x86)\Adobe\Acrobat DC\Acrobat\Browser\WCFirefoxExtn\WebExtn\signed_ex tn\adobe_acrobat-1.0-windows.xpi[email protected] ] - C:\Program Files (x86)\Adobe\Acrobat DC\Acrobat\Browser\WCFirefoxExtn\WebExtn\signed_ex tn\adobe_acrobat-1.0-windows.xpi[email protected] _2.xlsx[email protected] с 24-28.10.xlsxwww.sysinternals.com ) C:\Windows\system32\Drivers\PROCEXP152.SYS- - - - -Добавлено - - - - - https://go.microsoft.com/fwlink/?lin...9&enterprise=0
Прикрепите файлы вложением, это невозможно анализировать.
Junior Member
Вес репутации
12
Сообщение от
Vvvyg
Прикрепите файлы вложением, это невозможно анализировать.
во вложении
Выделите и скопируйте в буфер обмена следующий код:
Код:
Start::
CreateRestorePoint:
CloseProcesses:
Task: {39CAB788-57E0-405E-91FF-67CD07906779} - System32\Tasks\Adobe Acrobat Update Task => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe (Нет файла)
S2 AdobeARMservice; "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe" [X]
S1 uzixodm4; C:\Windows\SysWOW64\Drivers\uzixodm4.sys [11264 2022-05-10] () [Файл не подписан]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\06806114.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\29421881.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\06806114.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\29421881.sys => ""="Driver"
FirewallRules: [TCP Query User{9BBEE4F8-E1C1-4F00-905E-F99C2FAF1DAB}C:\program files (x86)\bitrix24\bitrix24.exe] => (Block) C:\program files (x86)\bitrix24\bitrix24.exe => Нет файла
FirewallRules: [UDP Query User{0E924E63-4317-47CF-9B7B-F9E03E9D2A42}C:\program files (x86)\bitrix24\bitrix24.exe] => (Block) C:\program files (x86)\bitrix24\bitrix24.exe => Нет файла
FirewallRules: [{EACC7746-D476-4877-95DE-15829B80F428}] => (Allow) C:\Users\Менеджер ОП\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{95129993-8F9C-4ADA-AE73-70DF18C69081}] => (Allow) C:\Users\Менеджер ОП\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{33C4720B-C0A8-4B1E-BE79-6FEF7E39C54C}] => (Allow) C:\NIR-SOFT\NirSoft\x64\networktrafficview.exe => Нет файла
FirewallRules: [{1CB67C7C-0C4D-4DC2-AFF7-4C7E3B875090}] => (Allow) C:\NIR-SOFT\NirSoft\x64\networktrafficview.exe => Нет файла
FirewallRules: [{82644559-4DED-4D9F-8074-125A38C7CCC4}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{28BC0AFC-21DD-451E-A32A-B1C7FC8619E1}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{CDE120BF-1EA9-4B90-B986-BAB4CAD53AD5}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{614C6618-A299-48DA-8D07-518808B2C52A}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{17CF5A2C-E83A-4D03-9B73-3C35E108AB56}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{6F8BD625-4870-403C-A380-A20F5C363C61}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
Shortcut: C:\Users\Менеджер ОП\Downloads\Реестр смс заказов за октябрь 2022.csv — ярлык.lnk -> C:\Users\Менеджер ОП\Downloads\Реестр смс заказов за октябрь 2022.csv (Нет файла)
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft
C:\Windows\SysWOW64\Drivers\uzixodm4.sys
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
ipconfig /flushdns
ping vk.com
ping ya.ru
sfc /scannow
endbatch:
Reboot:
End::
Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt ). Упакуйте его в архив и прикрепите его к своему следующему сообщению.SecurityCheck by glax24 & Severnyj .Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).C:\SecurityCheck\SecurityCheck.txt .
Junior Member
Вес репутации
12
Сообщение от
Vvvyg
Выделите и скопируйте в буфер обмена следующий код:
Код:
Start::
CreateRestorePoint:
CloseProcesses:
Task: {39CAB788-57E0-405E-91FF-67CD07906779} - System32\Tasks\Adobe Acrobat Update Task => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe (Нет файла)
S2 AdobeARMservice; "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe" [X]
S1 uzixodm4; C:\Windows\SysWOW64\Drivers\uzixodm4.sys [11264 2022-05-10] () [Файл не подписан]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\06806114.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\29421881.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\06806114.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\29421881.sys => ""="Driver"
FirewallRules: [TCP Query User{9BBEE4F8-E1C1-4F00-905E-F99C2FAF1DAB}C:\program files (x86)\bitrix24\bitrix24.exe] => (Block) C:\program files (x86)\bitrix24\bitrix24.exe => Нет файла
FirewallRules: [UDP Query User{0E924E63-4317-47CF-9B7B-F9E03E9D2A42}C:\program files (x86)\bitrix24\bitrix24.exe] => (Block) C:\program files (x86)\bitrix24\bitrix24.exe => Нет файла
FirewallRules: [{EACC7746-D476-4877-95DE-15829B80F428}] => (Allow) C:\Users\Менеджер ОП\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{95129993-8F9C-4ADA-AE73-70DF18C69081}] => (Allow) C:\Users\Менеджер ОП\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{33C4720B-C0A8-4B1E-BE79-6FEF7E39C54C}] => (Allow) C:\NIR-SOFT\NirSoft\x64\networktrafficview.exe => Нет файла
FirewallRules: [{1CB67C7C-0C4D-4DC2-AFF7-4C7E3B875090}] => (Allow) C:\NIR-SOFT\NirSoft\x64\networktrafficview.exe => Нет файла
FirewallRules: [{82644559-4DED-4D9F-8074-125A38C7CCC4}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{28BC0AFC-21DD-451E-A32A-B1C7FC8619E1}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{CDE120BF-1EA9-4B90-B986-BAB4CAD53AD5}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{614C6618-A299-48DA-8D07-518808B2C52A}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{17CF5A2C-E83A-4D03-9B73-3C35E108AB56}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
FirewallRules: [{6F8BD625-4870-403C-A380-A20F5C363C61}] => (Allow) C:\Program Files (x86)\AnyDesk\AnyDesk.exe => Нет файла
Shortcut: C:\Users\Менеджер ОП\Downloads\Реестр смс заказов за октябрь 2022.csv — ярлык.lnk -> C:\Users\Менеджер ОП\Downloads\Реестр смс заказов за октябрь 2022.csv (Нет файла)
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft
C:\Windows\SysWOW64\Drivers\uzixodm4.sys
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
ipconfig /flushdns
ping vk.com
ping ya.ru
sfc /scannow
endbatch:
Reboot:
End::
Запустите FRST.EXE/FRST64.EXE, нажмите один раз
Исправить и подождите. Программа создаст лог-файл (
Fixlog.txt ). Упакуйте его в архив и прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Загрузите, распакуйте на Рабочий стол и запустите
SecurityCheck by glax24 & Severnyj .
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши
Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например
C:\SecurityCheck\SecurityCheck.txt .
Приложите этот файл к своему следующему сообщению.
Сделал всё по инструкции.
Geek Uninstaller Free .
Junior Member
Вес репутации
12
В Geek Uninstaller Free нашел что 23 октября была установлена среда выполнения Microsoft Edge Webviev2 Runtime 553 мб.
Это к MS Edge относится, пусть.
Junior Member
Вес репутации
12
Сообщение от
Vvvyg
Удалите программу Web Companion, если не удалиюся штатно - воспользуйтесь программой
Geek Uninstaller Free .
Возможно, какие-то сайты блокирует провайдер, или защитник не дал обновить.
Всё на этом.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
Возможно какие-то сайты блокирует провайдер, или защитник не дал обновить - кого защитник не дал обновить? Не понял о чём это?
Я про то, чтов логах AVZ ни одного урла не пинговалось, и SecurityCheck не смог обновиться.
Junior Member
Вес репутации
12
Сообщение от
Vvvyg
Я про то, чтов логах AVZ ни одного урла не пинговалось, и SecurityCheck не смог обновиться.
Провайдер точно нечего не блокирует. По поводу сетевого экрана.. давайте проверим. Раньше просто не было такого.. и я нечего не добавлял (никаких новых правил). Я ранее создавал ветку на этом форуме с вопросом о заражении.. и там прикреплял логи, также все делал. И тогда не было таких ограничений. И та ситуация произошла до этой работы...
Отключите Защитник и попробуйте сделать новый лог SecurityCheck.
Junior Member
Вес репутации
12
А как именно это сделать? - - - - -Добавлено - - - - -
AM_DELTA_PATCH - Microsoft Delta Signature Update, MPCMDRUN.EXE - Защитник, остальные - системные процессы.Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe :
Код:
begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.
В папке с AVZ появится архив Events.7z , загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.
Junior Member
Вес репутации
12
https://drive.google.com/file/d/1A5L...usp=share_link
Последний раз редактировалось ScorpiOzzy; 06.12.2022 в 15:44 .
Сообщение от Vvvyg
