Здравствуйте! Недавно у меня перехватили специальный ключ пароль с биржи crypto-bridge и украли все средства.Ключ по глупости хранил на винте. В общем залезли в мой комп, прочли и перехватили. Суть в том что я не могу определить вирус через который это было сделано. Сканировал Avast, Drweb CureIt, и сейчас еще касперским прошелся. Ничего криминального они не находят. Только AVZ показывает красным:
Функция kernel32.dll:ReadConsoleInputExA (1123) перехвачена, метод ProcAddressHijack.GetProcAddress ->7471BB8E->739F1680
Функция kernel32.dll:ReadConsoleInputExW (1124) перехвачена, метод ProcAddressHijack.GetProcAddress ->7471BBC1->739F16B0
Функция user32.dll:Wow64Transition (1505) перехвачена, метод CodeHijack (метод не определен)
Функция advapi32.dll:CveEventWrite (1234) перехвачена, метод ProcAddressHijack.GetProcAddress ->75CD2804->73A25780
Функция advapi32.dll:I_ScRegisterPreshutdownRestart (1387) перехвачена, метод ProcAddressHijack.GetProcAddress ->75CD372B->7387CF10
Функция netapi32.dll:NetFreeAadJoinInformation (130) перехвачена, метод ProcAddressHijack.GetProcAddress ->70ECC27A->6D104FE0
Функция netapi32.dll:NetGetAadJoinInformation (131) перехвачена, метод ProcAddressHijack.GetProcAddress ->70ECC2A9->6D105350
Мне кажется что злоумышленник до сих пор имеет доступ к моему компу, так как сегодня при попытки копи-паста помимо обычного текста добавилось следующее слово "test" только раз 30 подряд, словно кто-то проверяет и добавляет в буфер эти слова. Так же обнаружил что стандартный брандмауэр виндовса был выключен(сейчас уже включен). На компьютере еще остались некоторые мелкие кошельки которые злоумышленник не трогает или не может тронуть. Хотелось бы поинтересоваться в опасности ли они? Или хакер имеет доступ только к тому что я копирую в буфер? Буду очень благодарен помощи местных Гуру в этом деле. Файлик отчета прикрепил. Спасибо!
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) Voffcheg, спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.
Приложите этот файл к своему следующему сообщению.
После перезагрузки случайно закрыл программу.В общем потом открыл, еще раз просканировал(ничего не найдено).Лог(С01) прикрепил из папки Logs . Да, все верно, у провайдера Mikrotik, мало того, у них были проблемы пару недель назад причем поговаривали что их хакнули, а некоторые говорили что полетел центральный узел, восстанавливались больше суток. К тому же после их восстановления у меня постоянно вылазит google капча(типа мой ip хреновенький). IP не подменен, проверял сервисом 2ip, но работает все плохо. Фишинг вряд ли, я хоть и знатный рукожоп, но захожу по одной и той же ссылке. Пароль был сохранен в google smart lock.Он бы наверное и не вставился если бы сайт был другим. Еще кое что забыл сказать. Несколько дней до атаки, пытались зайти в мой профиль чата discord, пришло уведомление на почту: IP-адрес: 194.187.251.12 Местоположение: Brussels, Brussels Capital, Belgium. Тогда я просто сменил пароль.Еще очень непонятна ситуация с копи-пастом и добавлением слов "testtesttest"...
"testtest..." AVZ добавляет во время проверки.
А попасть из-за взломанного роутера на другой сайт - элементарно.
Обновите браузеры - и всё на этом.
Действительно AVZ была включена когда появлялись эти надписи. Браузеры обновил. Большое спасибо за помощь. Хотел еще по интересоваться какой бы вы порекомендовали антивирус для дома? До этого случая всегда использовал avast, но наверное теперь это не лучший вариант...Или они примерно все одинаковые и все сводится лишь к "везению" и рукожопости пользователя?
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Помогите определить и устранить вирус
Сообщение от Vvvyg
