Неизвестный пользователь использует RMS для управления моим компьютером. [not-a-virus:RemoteAdmin.Win32.RMS.pr, not-a-virus:HEUR:RemoteAdmin.Win32.Agent.gen
]
Сегодня, когда я сидел за компьютером, у меня появилось диалоговое окно "RMS - чат", в котором мне писал другой пользователь. Поскольку с данными ситуациями я ещё не сталкивался, то общения с ним не начинал, а лишь выяснил, что он взломал мой компьютер, используя RMS. После этого я выключал компьютер и наткнулся на ваш сайт через смартфон. Надеюсь, что совместно мы сможем решить данную проблему. Прикрепил 2 файла. (У меня 64-х разрядная система, поэтому 1 пункт я пропустил)
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) Паша Османов, спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Информация
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Выполните скрипт в AVZ:
_________________________________________Код:BEGIN ClearQuarantine; TerminateProcessByName('c:\programdata\windowsvolume\volumedisk.exe'); QuarantineFile('C:\Users\Pavel\AppData\Roaming\Browsers\exe.resworb.bat',''); QuarantineFile('C:\Users\Pavel\AppData\Roaming\Browsers\exe.erolpxei.bat',''); QuarantineFile('C:\Users\Pavel\AppData\Roaming\Browsers\exe.emorhc.bat',''); QuarantineFile('c:\programdata\windowsvolume\volumedisk.exe',''); QuarantineFile('c:\programdata\windowsvolume\sysdisk.exe',''); DeleteFile('c:\programdata\windowsvolume\sysdisk.exe','32'); DeleteFile('c:\programdata\windowsvolume\volumedisk.exe','32'); DeleteFile('C:\Users\Pavel\AppData\Roaming\Browsers\exe.emorhc.bat','32'); DeleteFile('C:\Users\Pavel\AppData\Roaming\Browsers\exe.erolpxei.bat','32'); DeleteFile('C:\Users\Pavel\AppData\Roaming\Browsers\exe.resworb.bat','32'); DeleteFileMask('C:\Users\Pavel\AppData\Roaming\Browsers','*.bat',false); DeleteFileMask('c:\programdata\windowsvolume','*',true); DeleteDirectory('c:\programdata\windowsvolume'); ExecuteSysClean; ExecuteWizard('SCU',2,2,false); CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); RebootWindows(true); END.
> Компьютер будет перезагружен.
> Кэш и cookie-файлы браузеров будут очищены. Может потребоваться вход в аккаунты.
> Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine.zip.
> Сделайте новый отчеты AVZ.
> Сделайте отчет программы Check Browsers' LNK.
UPD: Обнаружил приложение RDP, которое, как я понял, связано с удалённым управлением. По-моему на данный момент она не установлена. Файл приложения просто удалил. Неделю назад у меня также появился какой-то пользователь с правами администратора. Эта программа была установлена от его имени. Её и связанные с ней файлы я удалял с помощью Revo Uninstaller Pro. Возможна, эта доп. информация будет полезна.Сообщение от Паша Османов
Смотрите мой ответ выше. Давайте действовать последовательно.
Проделал всё Вами сказанное.
Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.
Вот.
Дайвайте ещё проверим отчет
ADWCleaner.
Вот отчёт.
Если Mail.Ru Агент используется — снимите соотв. метку.
Удалите всё, что обнаружила программа согласно инструкции.
Сообщите, решена ли проблема.
Удалил все файлы. К сожалению, не могу точно сказать, решена ли проблема - не знаю, имеет ли тот пользователь до сих пор удалённый доступ к моему компьютеру или нет. Но в течение последних часов ничего подозрительного не наблюдалось. В любом случае, я Вам премного благодарен за оказанную помощь. Был бы рад узнать несколько советов, если таковые имеются.
Вредоносная программа, осуществляющая RMS соединение была удалена.
Эта программа и была моей проблемой. Так что удаление программы - её решение. Ещё раз благодарю за оказанную помощь.
Что Вас интересует?
Если конкретно, то каким образом лучше всего проверять компьютер на наличие вредоносных программ?
Наш метод наиболее эффективный, причём не реклама, а опыт и статистика это доказывают.
У нас имеются следующие возможности:
VirusDetector — бесплатный анализ системы на наличие вредоносного/рекламного/шпионского ПО.
Аудит безопасности — анализ состояния безопасности ОС Windows, рекомендации по обновлению и прочее. (услуга по подписке)
+ Ваша антивирусная программа с актуальными базами.
Хорошо, буду знать. Огромное Вам спасибо. Думаю, на этом тему можно закрывать.
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 2
- В ходе лечения обнаружены вредоносные программы:
- c:\programdata\windowsvolume\sysdisk.exe - not-a-virus:HEUR:RemoteAdmin.Win32.Agent.gen
- c:\programdata\windowsvolume\volumedisk.exe - not-a-virus:RemoteAdmin.Win32.RMS.pr
Уважаемый(ая) EtoPashka, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
