Показано с 1 по 8 из 8.

Перехватчики API, Trojan, keylogger, backdoor - Нужна помощь! (заявка № 223983)

  1. #1
    Junior Member Репутация
    Регистрация
    16.11.2019
    Сообщений
    4
    Вес репутации
    1

    Перехватчики API, Trojan, keylogger, backdoor - Нужна помощь!

    Доброго времени суток!

    Прошу помощи с очисткой системы.

    Подозрения на троян ввиду странного поведениея системы (нагрузки, ошибки) подтвердились после сканирования AVZ.

    Имеются красные строки в логе AVZ:

    1.1 Поиск перехватчиков API, работающих в UserMode
    Анализ kernel32.dll, таблица экспорта найдена в секции .rdata
    Функция kernel32.dll:ReadConsoleInputExA (1095) перехвачена, метод ProcAddressHijack.GetProcAddress ->75064F8E->76A719C0
    Функция kernel32.dll:ReadConsoleInputExW (1096) перехвачена, метод ProcAddressHijack.GetProcAddress ->75064FC1->76A719F0
    Анализ ntdll.dll, таблица экспорта найдена в секции .text
    Функция ntdll.dll:NtCreateFile (268) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C840->734BB720
    Функция ntdll.dll:NtSetInformationFile (549) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C560->734BB540
    Функция ntdll.dll:NtSetValueKey (580) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C8F0->734BC900
    Функция ntdll.dll:ZwCreateFile (1651) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C840->734BB720
    Функция ntdll.dll:ZwSetInformationFile (1930) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C560->734BB540
    Функция ntdll.dll:ZwSetValueKey (1961) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C8F0->734BC900
    Анализ user32.dll, таблица экспорта найдена в секции .text
    Функция user32.dll:CallNextHookEx (1531) перехвачена, метод ProcAddressHijack.GetProcAddress ->77408DC0->734BB490
    Функция user32.dll:ChangeDisplaySettingsExW (1540) перехвачена, метод APICodeHijack.JmpTo[72E12956]
    Функция user32.dll:DisplayConfigGetDeviceInfo (1690) перехвачена, метод APICodeHijack.JmpTo[72E133D6]
    Функция user32.dll:EnumDisplayDevicesA (1749) перехвачена, метод APICodeHijack.JmpTo[72E133F6]
    Функция user32.dll:EnumDisplayDevicesW (1750) перехвачена, метод APICodeHijack.JmpTo[72E13466]
    Функция user32.dll:SetWindowsHookExW (2303) перехвачена, метод ProcAddressHijack.GetProcAddress ->77414600->73510DB0

    5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
    C:\Program Files (x86)\NVIDIA Corporation\CoProcManager\_etoured.dll --> Подозрение на троянскую DLL. Обнаружена маскировка реального имени DLL
    C:\Program Files (x86)\NVIDIA Corporation\CoProcManager\_etoured.dll>>> Поведенческий анализ
    Типичное для кейлоггеров поведение не зарегистрировано
    C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\GROOVEEX.DLL --> Подозрение на Keylogger или троянскую DLL
    C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\GROOVEEX.DLL>>> Поведенческий анализ
    Типичное для кейлоггеров поведение не зарегистрировано
    C:\Windows\SYSTEM32\VCRUNTIME140.dll --> Подозрение на Keylogger или троянскую DLL
    C:\Windows\SYSTEM32\VCRUNTIME140.dll>>> Поведенческий анализ
    Типичное для кейлоггеров поведение не зарегистрировано
    C:\Windows\SYSTEM32\MSVCP140.dll --> Подозрение на Keylogger или троянскую DLL
    C:\Windows\SYSTEM32\MSVCP140.dll>>> Поведенческий анализ
    Типичное для кейлоггеров поведение не зарегистрировано
    C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\1049\GrooveIntlResource.dll --> Подозрение на Keylogger или троянскую DLL
    C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\1049\GrooveIntlResource.dll>>> Поведенческий анализ
    Типичное для кейлоггеров поведение не зарегистрировано

    7. Эвристичеcкая проверка системы
    Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\Windows\SysWOW64\nvinit.dll"


    В дополниение к этой "красоте" по менеджеру портов AVZ имеется Троян: Порт 65000 TCP - Devil v1.03, Stacheldracht (nvstreamsvc.exe).

    Прошу помочь разбораться с этим вопросом. Спасибо!

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,314
    Вес репутации
    355
    Уважаемый(ая) Орех Грецкий, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    98,755
    Вес репутации
    3078
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. #4
    Junior Member Репутация
    Регистрация
    16.11.2019
    Сообщений
    4
    Вес репутации
    1

    Провел сканирование

    Цитата Сообщение от thyrex Посмотреть сообщение
    Логи:

  6. #5
    Junior Member Репутация
    Регистрация
    16.11.2019
    Сообщений
    4
    Вес репутации
    1
    Ап!
    Я надеюсь, что правильно логи собрал.
    Или не так что то?...

  7. #6
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    98,755
    Вес репутации
    3078
    Выполните скрипт в AVZ из папки Autologger
    Код:
    begin
     DeleteFile('C:\Windows\winstart.bat','64');
    ExecuteSysClean;
    RebootWindows(false);
    end.
    • Обратите внимание: будет выполнена перезагрузка компьютера.


    Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  8. #7
    Junior Member Репутация
    Регистрация
    16.11.2019
    Сообщений
    4
    Вес репутации
    1
    Скрипт выполнил. После перезагрузки еще раз сканировал. Прикрепляю логи.

    Извиняюсь. Тяжело когда из деревни

    - - - - -Добавлено - - - - -

    Цитата Сообщение от thyrex Посмотреть сообщение
    Выполните скрипт в AVZ из папки Autologger
    Код:
    begin
     DeleteFile('C:\Windows\winstart.bat','64');
    ExecuteSysClean;
    RebootWindows(false);
    end.
    • Обратите внимание: будет выполнена перезагрузка компьютера.


    Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
    Скрипт выполнил. После перезагрузки еще раз сканировал. Прикрепляю логи.

    Извиняюсь. Тяжело когда из деревни
    Вложения Вложения

  9. #8
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    98,755
    Вес репутации
    3078
    В логах порядок.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

Похожие темы

  1. Ответов: 6
    Последнее сообщение: 28.04.2012, 08:41
  2. Подозрительные перехватчики API
    От dazhdbog в разделе Помогите!
    Ответов: 1
    Последнее сообщение: 05.12.2009, 19:27
  3. Перехватчики API
    От DUSHA в разделе Помогите!
    Ответов: 2
    Последнее сообщение: 28.01.2009, 21:19
  4. Подозрение - перехватчики API
    От Homunculus в разделе Помогите!
    Ответов: 2
    Последнее сообщение: 30.01.2008, 21:59
  5. Ответов: 1
    Последнее сообщение: 25.05.2007, 10:53

Метки для этой темы

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00770 seconds with 19 queries