Перехватчики API, Trojan, keylogger, backdoor - Нужна помощь!

[Орех Грецкий]

Доброго времени суток!

Прошу помощи с очисткой системы.

Подозрения на троян ввиду странного поведениея системы (нагрузки, ошибки) подтвердились после сканирования AVZ.

Имеются красные строки в логе AVZ:

1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .rdata
Функция kernel32.dll:ReadConsoleInputExA (1095) перехвачена, метод ProcAddressHijack.GetProcAddress ->75064F8E->76A719C0
Функция kernel32.dll:ReadConsoleInputExW (1096) перехвачена, метод ProcAddressHijack.GetProcAddress ->75064FC1->76A719F0
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtCreateFile (268) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C840->734BB720
Функция ntdll.dll:NtSetInformationFile (549) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C560->734BB540
Функция ntdll.dll:NtSetValueKey (580) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C8F0->734BC900
Функция ntdll.dll:ZwCreateFile (1651) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C840->734BB720
Функция ntdll.dll:ZwSetInformationFile (1930) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C560->734BB540
Функция ntdll.dll:ZwSetValueKey (1961) перехвачена, метод ProcAddressHijack.GetProcAddress ->7771C8F0->734BC900
Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:CallNextHookEx (1531) перехвачена, метод ProcAddressHijack.GetProcAddress ->77408DC0->734BB490
Функция user32.dll:ChangeDisplaySettingsExW (1540) перехвачена, метод APICodeHijack.JmpTo[72E12956]
Функция user32.dll:DisplayConfigGetDeviceInfo (1690) перехвачена, метод APICodeHijack.JmpTo[72E133D6]
Функция user32.dll:EnumDisplayDevicesA (1749) перехвачена, метод APICodeHijack.JmpTo[72E133F6]
Функция user32.dll:EnumDisplayDevicesW (1750) перехвачена, метод APICodeHijack.JmpTo[72E13466]
Функция user32.dll:SetWindowsHookExW (2303) перехвачена, метод ProcAddressHijack.GetProcAddress ->77414600->73510DB0

5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\Program Files (x86)\NVIDIA Corporation\CoProcManager\_etoured.dll --> Подозрение на троянскую DLL. Обнаружена маскировка реального имени DLL
C:\Program Files (x86)\NVIDIA Corporation\CoProcManager\_etoured.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\GROOVEEX.DLL --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\GROOVEEX.DLL>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Windows\SYSTEM32\VCRUNTIME140.dll --> Подозрение на Keylogger или троянскую DLL
C:\Windows\SYSTEM32\VCRUNTIME140.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Windows\SYSTEM32\MSVCP140.dll --> Подозрение на Keylogger или троянскую DLL
C:\Windows\SYSTEM32\MSVCP140.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано
C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\1049\GrooveIntlResource.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\Microsoft Office\root\VFS\ProgramFilesX86\Microsoft Office\Office16\1049\GrooveIntlResource.dll>>> Поведенческий анализ
Типичное для кейлоггеров поведение не зарегистрировано

7. Эвристичеcкая проверка системы
Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\Windows\SysWOW64\nvinit.dll"

---

В дополниение к этой "красоте" по менеджеру портов AVZ имеется Троян: Порт 65000 TCP - Devil v1.03, Stacheldracht (nvstreamsvc.exe).

Прошу помочь разбораться с этим вопросом. Спасибо!

[Info_bot]

Уважаемый(ая) Орех Грецкий, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

https://virusinfo.info/pravila.html

[Орех Грецкий]

https://virusinfo.info/pravila.html

Логи:

[Орех Грецкий]

Ап!
Я надеюсь, что правильно логи собрал.
Или не так что то?...

[thyrex]

Выполните скрипт в AVZ из папки Autologger

begin
 DeleteFile('C:\Windows\winstart.bat','64');
ExecuteSysClean;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

[Орех Грецкий]

Скрипт выполнил. После перезагрузки еще раз сканировал. Прикрепляю логи.

Извиняюсь. Тяжело когда из деревни

- - - - -Добавлено - - - - -

Выполните скрипт в AVZ из папки Autologger

begin
 DeleteFile('C:\Windows\winstart.bat','64');
ExecuteSysClean;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

Скрипт выполнил. После перезагрузки еще раз сканировал. Прикрепляю логи.

Извиняюсь. Тяжело когда из деревни

[thyrex]

В логах порядок.