System Infected: Trojan.Backdoor Activity 748

[Commilfo]

Привет,

Сегодня Symantec Endpoint Protection стал выдавать две проблемы, одну за другой, каждые минут 5:

• System Infected: Trojan.Backdoor Activity 748 атака заблокирована. Заблокирован трафик для следующего приложения: C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSH ELL.EXE
• Клиент заблокирует трафик 172.64.134.37 на следующие 600 секунд.

Полное сканирование ничего не находит.

[Info_bot]

Уважаемый(ая) Commilfo, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteFile('C:\WINDOWS\System32\098594AC-10E5-4D29-AF98-1670FB997BAC.ps1', '64');
 DeleteService('ss_conn_launcher_service');
 DeleteFileMask('c:\program files (x86)\lavasoft', '*', true);
 DeleteDirectory('c:\program files (x86)\lavasoft');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Web Companion', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Web Companion', '64');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Synapse3', '32');
 RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'Synapse3', '64');
 DeleteSchedulerTask('Microsoft\Windows\Flighting\aOKqY5qE');
 ExecuteWizard('SCU', 3, 3, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Commilfo]

Спасибо, прилагаю результат FRST.

[Vvvyg]

Удалите расширение Web Safety в хроме.

Очистите кеш и cookie в Хроме.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

На этом всё.

[Commilfo]

Спасибо!

Откуда оно взялось? Дело было в расширении для Chrome? Я не ставил этот Web Safety, не знал вообще, что он есть.

[Vvvyg]

Дата установки расширения - 2022-12-08.
Вредоносный скрипт для Powershell создан: 16.02.2023 01:36:02/

Скорее всего, оба установлены с пиратским софтом, но разным.

[Commilfo]

Понятно, спасибо. Не было заметно присутствия до вчера.
Это как-то можно было найти без вашего участия? Symantec Endpoint ненадежен?

[Vvvyg]

Время создания файла легко подменить, возможно, реально недавно возник. А может, SEP обновил базы и стал реагировать, правда, не на сам бэкдор, а на его активность.
Ни один антивирус не ловит все абсолютно вирусы. SEP неплох, попробуйте Касперского, если задумаетесь сменить.