Показано с 1 по 7 из 7.

Самопроизвольная запись на флэшки подозрительных файлов. (заявка № 222946)

  1. #1
    Junior Member (OID) Репутация
    Регистрация
    09.06.2019
    Сообщений
    3
    Вес репутации
    1

    Самопроизвольная запись на флэшки подозрительных файлов.

    Вкратце ситуация такова. Полгода назад на новой работе столкнулся с тем, что на флэшках, побывавших в тамошних компьютерах самопроизвольно появляются папки BOOTEX.LOG c файлами с расширением .СHK и ярлыки с названиями, дублирующими имена уже существующих папок. В каждой папке - по одному такому ярлыку и по одному BOOTEX.LOG, это если флэшку долго держать подсоединенной. Если быстро что-то скинуть, то может появиться только одна две таких сладких парочки, или ничего не появиться. Изучение свойств ярлыка через контекстное меню показало, что он запускает командную строку с упоминанием одного из файлов папки BOOTEX.LOG. чЧо конкретно, не помню, да и синтаксисом не владею. Раз за разом я методично удалял все эти дела со своих флэшек эти папки и ярлыки и предупреждал маму, которая работает там же, ни в коем случае по подозрительным ярлыкам не щелкать. Ну, и, естественно, сразу же предупредил администрацию. Но там полный пофигизм: "мы проверяли, все компы чистые, бла-бла". А проблема никуда не ушла. Кроме меня, похоже, в коллективе, состоящим. в основном, из пожилых преподавателей женского пола, никто ее не замечает, хотя на то, что компьютеры "работают задумчиво" и "то печатают, то не печатают" жалуются постоянно.

    И вот вчера настал момент истины: мой ноутбук, не подключенный к Интернету, за которым обычно работает мама (и как раз накануне принесла очередную порцию "радости" с рабочего компа) начал вести себя аналогично - заражает флэшки вышеописанным образом. Иногда сразу, как вставишь, иногда - после часа и более соединения. Видимо, мама таки по ярлыку щелкнула. Прогнал CureIT - закарантинил файл GoogleUpdates.exe. Ничего от гугла я на этот ноут не ставил. Но и после этого процесс с таким именем продолжил иногда на короткое время появляться в таскменеджере и перфмоне. Там же видно и другую подозрительную активность, но я слишком плохо разбираюсь в системных процессах Win7, чтобы отделить мух от котлет. Однако, например, строка, оканчивающаяся на copyusb.cmd, явно неспроста. Сделал несколько снимков экрана, если надо, могу выложить. CureIT более ничего не находит. Еще такой вопрос: одинаковый размер файлов реестра в папке Windows\System32\Config - 256 Кб - это нормально? Копии их от 2 числа текущего месяца в папке RegBack все разного размера и меньше.

    Простите за сумбурное изложение - всю ночь бился с этой проблемой, глаза слипаются. Увы, не победить мне этого зверя самостоятельно, ни знаний, ни времени нет. Только на вашу помощь уповаю.

    P.s. Наткнулся на похожую тему: https://virusinfo.info/showthread.php?t=106800. В моем случае скандиск (вернее, чекдиск) точно не запускался.
    Вложения Вложения
    Последний раз редактировалось Илия Оголь; 09.06.2019 в 06:31.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,314
    Вес репутации
    352
    Уважаемый(ая) Илия Оголь, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    98,386
    Вес репутации
    3067
    Здравствуйте.

    Выполните скрипт в AVZ из папки Autologger
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
     then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     QuarantineFile('C:\Users\1\GoogleUpdates.exe','');
     DeleteFile('C:\Users\1\GoogleUpdates.exe','32');
     DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Schedule');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(false);
    end.
    • Обратите внимание: будет выполнена перезагрузка компьютера.


    Выполните скрипт в AVZ
    Код:
    begin
    CreateQurantineArchive('c:\quarantine.zip');
    end.
    c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

    Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. #4
    Junior Member (OID) Репутация
    Регистрация
    09.06.2019
    Сообщений
    3
    Вес репутации
    1
    Добрый вечер! Логи прикрепил. Попытка загрузить карантин закончилась выдачей следующего сообщения:

    Результат загрузки
    Ошибка загрузки. Данный файл уже был загружен.
    Вложения Вложения

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    98,386
    Вес репутации
    3067
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
    6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member (OID) Репутация
    Регистрация
    09.06.2019
    Сообщений
    3
    Вес репутации
    1
    Сделал, но без "Driver MD5", такого в новой версии Farbar Recovery Scan Tool нет.
    Вложения Вложения

  8. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    98,386
    Вес репутации
    3067
    По логам видны проблемные ярлыки только в папке ДОКУМЕНТЫ на Рабочем столе. Их нужно либо править вручную, указав путь к нужному файлу, либо вообще удалить.

    1. Выделите следующий код:
    Код:
    Start::
    CreateRestorePoint:
    Task: {39CF4A98-5C1B-44AA-B4F0-C49132CBC19A} - \GoogleUpdates -> No File <==== ATTENTION
    Reboot:
    End::
    2. Скопируйте выделенный текст (правая кнопка мышиКопировать).
    3. Запустите Farbar Recovery Scan Tool.
    4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.
    • Обратите внимание: будет выполнена перезагрузка компьютера.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

Похожие темы

  1. Ответов: 2
    Последнее сообщение: 27.01.2017, 20:32
  2. Ответов: 3
    Последнее сообщение: 04.03.2014, 13:44
  3. Ответов: 1
    Последнее сообщение: 30.07.2010, 18:37
  4. червь small.NAB и множество подозрительных файлов
    От Михалыч в разделе Помогите!
    Ответов: 19
    Последнее сообщение: 22.02.2009, 01:55
  5. Ответов: 5
    Последнее сообщение: 19.01.2005, 21:00

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00268 seconds with 18 queries