Помогите с лечением [HackTool.Win32.KMSAuto.gt, not-a-virus:RiskTool.Win32.HackKMS.gl]

**Kaiman40** · 10.03.2020, 12:06

Помогите с лечением

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 10.03.2020, 12:07

Уважаемый(ая) Kaiman40, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

**Sandor** · 10.03.2020, 12:51

Здравствуйте!

Хорошо бы больше подробностей - что именно беспокоит?

**Kaiman40** · 10.03.2020, 13:13

Доброго дня.
Подозрение на удаленное подключение и перехват управления компьютером.

**Sandor** · 10.03.2020, 13:29

Вижу, Reimage Repair сегодня установлена. Для какой цели? Относится к нежелательному ПО, поэтому деинсталлируйте.

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

Код:

begin
 ExecuteRepair(20);
RebootWindows(false);
end.

Компьютер перезагрузится.

Затем:

Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
Прикрепите отчет к своему следующему сообщению.

**Kaiman40** · 10.03.2020, 13:48

Прикрепляю лог сканера

**Sandor** · 10.03.2020, 13:52

1.

Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
В меню Параметры включите дополнительно в разделе Действия по базовому восстановлению:
- Сбросить политики IE
- Сбросить политики Chrome
В меню Информационная панель нажмите Сканировать.
По окончании нажмите кнопку Карантин и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
Прикрепите отчет к своему следующему сообщению.
(Обратите внимание - C и S - это разные буквы).

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

2.
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

**Kaiman40** · 10.03.2020, 14:15

Логи сканирования

**Sandor** · 10.03.2020, 14:36

Файл AdwCleaner[C01].txt тоже покажите.

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.

Выделите следующий код:

Код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
HKU\S-1-5-21-1488533549-4178916085-2426261035-1002\...\MountPoints2: D - D:\HiSuiteDownLoader.exe
HKU\S-1-5-21-1488533549-4178916085-2426261035-1002\...\MountPoints2: {9e1ada81-e538-11e9-8194-00f48d984cae} - F:\HiSuiteDownLoader.exe
GroupPolicy: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

**Kaiman40** · 10.03.2020, 14:48

Прикрепляю логи

**Sandor** · 10.03.2020, 14:51

Программ удаленного управления в логах не замечено. Что ещё беспокоит?

**Kaiman40** · 10.03.2020, 14:56

Подскажите, а следы вообще были? Точно уверен что удаленное подключение и ограничивание учетной записи
было.

**Sandor** · 10.03.2020, 14:59

На чём основана ваша уверенность?

Сообщение от Kaiman40

следы вообще были?

Были следы адвари.

**Kaiman40** · 10.03.2020, 15:05

очень смущает файл в папке C:\usr\snmp\persist snmpapp.conf с содержимым

#
# net-snmp (or ucd-snmp) persistent data file.
#
################################################## ##########################
# STOP STOP STOP STOP STOP STOP STOP STOP STOP
#
# **** DO NOT EDIT THIS FILE ****
#
# STOP STOP STOP STOP STOP STOP STOP STOP STOP
################################################## ##########################
#
# DO NOT STORE CONFIGURATION ENTRIES HERE.
# Please save normal configuration tokens for snmpapp in SNMPCONFPATH/snmpapp.conf.
# Only "createUser" tokens should be placed here by snmpapp administrators.
# (Did I mention: do not edit this file?)
#
engineBoots 256
oldEngineID 0x80001f8880ab040000f5bfbf5b00000000

**Sandor** · 10.03.2020, 15:14

Нет причин для беспокойства.

Для ещё бОльшей уверенности проделайте завершающие шаги:
1.

Пожалуйста, запустите adwcleaner.exe
В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.

Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

**Kaiman40** · 10.03.2020, 15:32

Лог

**Sandor** · 10.03.2020, 15:54

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.19180 Внимание! Скачать обновления
Контроль учётных записей пользователя отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Учетная запись гостя включена. Пароль не установлен.
------------------------------- [ HotFix ] --------------------------------
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4474419 Внимание! Скачать обновления
HotFix KB4490628 Внимание! Скачать обновления
HotFix KB4512486 Внимание! Скачать обновления
HotFix KB4474419 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft .NET Framework 4.7.2 v.4.7.03062 Внимание! Скачать обновления
Microsoft Silverlight v.5.1.50907.0 Внимание! Скачать обновления
Foxit Reader v.9.3.0.10826 Внимание! Скачать обновления
^Локализованные версии могут обновляться позже англоязычных!^
Microsoft Office профессиональный плюс 2010 v.14.0.6029.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office Professional Plus 2010 v.14.0.6029.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
OpenOffice 4.1.6 v.4.16.9790 Внимание! Скачать обновления
-------------------------------- [ Arch ] ---------------------------------
7-Zip 18.05 (x64) v.18.05 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.45505 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 31 ActiveX & Plugins 64-bit v.31.0.0.153 Внимание! Скачать обновления
^Удалите старую версию и установите новые Flash Player ActiveX и Flash Player Plugin^
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 69.0.2 (x64 ru) v.69.0.2 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Firefox!^
Google Chrome v.71.0.3578.80 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^
---------------------------- [ UnwantedApps ] -----------------------------
UmmyVideoDownloader v.1.10.3.1 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!

Всё перечисленное влияет на безопасность. Рекомендуется исправить/обновить.

Читайте Советы и рекомендации после лечения компьютера.

**Kaiman40** · 10.03.2020, 16:10

Огромнейшее спасибо, как я могу Вас отблагодарить? И еще , не подскажите, есть ли какие-нибудь методики на определение подменой виртуальной машины?

**Sandor** · 10.03.2020, 16:25

Сообщение от Kaiman40

определение подменой виртуальной машины?

Поясните.

**CyberHelper** · 10.03.2020, 16:35

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

=CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 1
=CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 19
=C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
=E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
1. c:\windows\kmsauto.exe - not-a-virus:RiskTool.Win32.HackKMS.g=
  l
2. c:\windows\kmsem\kmservice.exe - [B]HackTool.Win32.KMSAuto.gt[/=
  B]

Помогите с лечением [HackTool.Win32.KMSAuto.gt, not-a-virus:RiskTool.Win32.HackKMS.gl] (заявка № 224657)

Опции темы