В целом, на данный момент ПК работает нормально, не считая мелких багов. Языковая панель(значок в трее) пропадет, печать на сетевй принтер отвалится. Симптоматика такая.
На компе стоит Malwarebytes, который регулярно пишет:
Категория: Троянская программа
Домен: winhost.xyz
IP-адрес: 185.244.43.165
Порт: 80
Тип: Исходящий трафик
Файл: C:\Windows\System32\lsass.exe
В папке "C:\ProgramData" так же регулярно создается файл temp5.exe, в котором один из антивирусников определил Trojan.Starter.7997
Kaspersky Virus Removal Tool находит в памяти Trojan.Win64.EquationDrug.gen
Помогите, заранее благодарен.
Будь в курсе!Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) wildcat55, спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.
Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе ClearLNK прикрепите.
Скачайте, распакуйте и запустите утилиту AV block remove, следуйте инструкциям.
Файл AV_block_remove.log из папки с программы прикрепите к своему сообщению.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.
Нажмите кнопку Сканировать.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.
Приложите этот файл к своему следующему сообщению.
Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Вчера скачал свежий Kaspersky Virus Removal Tool, который обнаружил кучу гадостей в папке C:\ProgramData
В частности там была папка RunDll
На текущей момент система работает стабильно, Dr.Web CureIt обнаружил еще пару вирусов.
В Журнале Windows\Приложение регулярно выскакивает предупреждение:
"Система Windows обнаружила, что файл реестра используется другими приложениями или службами. Файл будет сейчас выгружен. Приложения или службы, которые используют файл реестра, могут впоследствии работать неправильно.
ПОДРОБНО -
6 user registry handles leaked from \Registry\User\S-1-5-21-3227934139-728615110-1626452443-1000:
Process 684 (\Device\HarddiskVolume1\Windows\System32\lsass.ex e) has opened key \REGISTRY\USER\S-1-5-21-3227934139-728615110-1626452443-1000
Process 684 (\Device\HarddiskVolume1\Windows\System32\lsass.ex e) has opened key \REGISTRY\USER\S-1-5-21-3227934139-728615110-1626452443-1000
Process 3888 (<Unknown>) has opened key \REGISTRY\USER\S-1-5-21-3227934139-728615110-1626452443-1000
Process 684 (\Device\HarddiskVolume1\Windows\System32\lsass.ex e) has opened key \REGISTRY\USER\S-1-5-21-3227934139-728615110-1626452443-1000\Software\Microsoft\SystemCertificates\Disallo wed
Process 684 (\Device\HarddiskVolume1\Windows\System32\lsass.ex e) has opened key \REGISTRY\USER\S-1-5-21-3227934139-728615110-1626452443-1000\Software\Microsoft\SystemCertificates\My
Process 684 (\Device\HarddiskVolume1\Windows\System32\lsass.ex e) has opened key \REGISTRY\USER\S-1-5-21-3227934139-728615110-1626452443-1000\Software\Microsoft\SystemCertificates\CA"
Что это значит?
Пароль на какие ресурсы?
Уважаемый(ая) wildcat55, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
