Не могу избавиться от Tool.BtcMine.2492 [HEUR:Trojan.Win32.Miner.gen]

[shlyambur]

С февраля месяца (если не раньше) с интервалом в 3-7-10 дней возвращается зловред и "майнит", отбирая на себя все ресурсы ЦПУ. Вирус маскируется под системный процесс System.exe якобы от издателя COM Surrogate
Антивирус NOD32 Endpoint подозрительного ничего не находит, за исключением того, когда пару недель было "тихо", а в каратнине появились записи про блокировку объектов:
123.png

Прибить удается cureit-ом, но не на долго. Обновил систему всеми последними обновками. Пробовал штатный виндовый антивирус - так же ничего не сообщает, даже при запущеном вирусе. Подозрительных программ нет, лишних заданий по расписанию тоже, в автозагрузке, вроде бы как, все, что нужно. Система на ВПС, поэтому, из-под реаниматора какого-нить антивируса проверить не могу.

Прошу помощи, т.к. не знаю куда копать...

[Info_bot]

Уважаемый(ая) shlyambur, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 TerminateProcessByName('C:\Windows\Temp\System.exe');
 QuarantineFile('C:\Windows\Temp\System.exe', '');
 DeleteFile('C:\Windows\Temp\System.exe', '');
 DeleteFile('C:\Windows\Temp\System.exe', '64');
 ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Перезагрузите сервер

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке Прислать запрошенный карантин над над первым сообщением в теме.

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt, прикрепите его к сообщению.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[shlyambur]

сделал все, как и указали
1. файл карантина отправил - "Файл сохранён как 210330_103702_quarantine_6062ff4e54e16.zip"
2. лог AVZ а также логи FRST в прикрепленных файлах

[Vvvyg]

Есть подозрение, что проникают в систему, скорее всего, по RDP и подсаживают майнер.

Смените пароль пользователя Administrator.
Лучше не использовать для удалённого доступа учётки со стандартными именами.
Также нужно заблокировать брутфорс по RDP, сейчас ваш сервер можно ломать до победного конца. Вот годная инструкция, единственно, там предлагают использовать x86 версию IPBan и прямая ссылка на устаревшую версию, используйте x64 актуальный билд.

Скачайте утилиту Universal Virus Sniffer отсюда, распакуйте, запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы Дополнительно -> Твики -> 39 "Включить отслеживание процессов и задач".
Перезагрузите систему, если майнер появится снова, сделайте полный образ автозапуска uVS.

Зачем все эти порты открыты наружу? Чтобы облегчить взлом?

88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2021-03-30 04:48:08Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds Windows Server 2012 R2 Datacenter 9600 microsoft-ds (workgroup: LOKRI)
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: lokri.local, Site: Default-First-Site-Name)
3269/tcp open tcpwrapped
5504/tcp open msrpc Microsoft Windows RPC
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
9389/tcp open mc-nmf .NET Message Framing
45769/tcp open unknown
49154/tcp open msrpc Microsoft Windows RPC
49155/tcp open msrpc Microsoft Windows RPC
49157/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
49158/tcp open msrpc Microsoft Windows RPC
49159/tcp open msrpc Microsoft Windows RPC
49177/tcp open msrpc Microsoft Windows RPC
49189/tcp open msrpc Microsoft Windows RPC
49194/tcp open msrpc Microsoft Windows RPC
49214/tcp open msrpc Microsoft Windows RPC

Система, кстати, обновлена?