PDM:Trojan.Win32.Badur.a ?

[Affrar]

Здравствуйте. По неосторожности (проверял много архивов) был запущен exe файл в архиве. KIS 17 с обновлёнными сначала не отреагировал (и файл он не детектит). Я как можно быстрее закрыл процесс в диспетчере, однако перед этим Касперский предупредил, что программа действует похоже с PDM:Trojan.Win32.Badur.a, и пыталась получить доступ по адресу "http://174.138.96.64/request/autok?user=youllupuki&ver=9&key=80784fb5bbf8032b85 30b4c355ba180f". Вот результаты анализов в hybrid-analysis.com и virustotal.com

https://www.hybrid-analysis.com/samp...ironmentId=100

https://virustotal.com/ru/file/0bf6b...is/1488826569/

Файл я отправил в Касперский. Хотелось бы узнать, существует ли угроза сейчас или была ли угроза кражи данных?
Логи приложил.
Заранее большое спасибо.

[Info_bot]

Уважаемый(ая) Affrar, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Affrar]

-up-

[Affrar]

Файл стал детектится Касперским как not-a-virus:AdWare.Win32.ICLoader.dnig

[Affrar]

Мне кто-нибудь ответит?

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 StopService('gkernel');
 DeleteService('gkernel');
 DeleteFile('C:\Users\User\AppData\Local\Temp\gkernel.sys','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера.

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.

[Affrar]

mike 1, спасибо за ответ!
Скрипт выполнил. Файла gkernel.sys кажется в темпе уже не было. И я думал это сервис гареновский...
Прикладываю новые логи.

[mike 1]

Если долго не отвечают, то можно апнуть тему, либо написать в ЛС кому-нибудь из хелперов.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Affrar]

mike 1,
Сделал

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM-x32\...\Run: [] => [X]
   GroupPolicy: Restriction <======= ATTENTION
   R3 gkernel; \??\C:\Users\User\AppData\Local\Temp\gkernel.sys [X] <==== ATTENTION
   2016-09-16 17:19 - 2016-09-16 17:19 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
   C:\Users\User\AppData\Local\Temp\gkernel.sys

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Affrar]

mike 1,
Сделано. Лог прикрепляю. Архив не был создан (ни на рабочем столе ни в папке программы).
P.S.В AppData\Local\Temp я так и не нашёл файл gkernel.sys, как собственно и FRST судя по логу.

[mike 1]

Больше плохого не видно.

PDM:Trojan.Win32.Badur.a - это детект проактивной защиты. Обычно все вредоносные изменения откатываются антивирусом с помощью модуля мониторинг активности.

[Affrar]

mike 1,
Да, я понимаю. Просто файл не детектился сканером. После того как я отослал файл в касперский он через пару дней стал детектиться как not-a-virus:AdWare.Win32.ICLoader.dnig
Ну что же, большое спасибо!

[mike 1]

1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе
2. Запустите DelFix
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup
4. Нажмите на кнопку Run

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме

[Affrar]

mike 1,
Сделано

[mike 1]

Обновите и исправьте:

Internet Explorer 11.0.9600.18015 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя отключен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено

Adobe Flash Player 23 NPAPI v.23.0.0.207 Внимание! Скачать обновления
Google Chrome v.56.0.2924.87 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^

Советы и рекомендации после лечения компьютера

[Affrar]

mike 1,
Хром и флеш обновил, осла я не использую.
Автоматическое обновление я включать не хочу (тем более, там кажется сервера обновлений в файле hosts перенаправлены, это было сделано при выходе Win10), установлю вручную с наборов (там же, в принципе и 11 осёл есть)

Спасибо за лечение и рекомендации!