Взломан ПК при установке windows с флешки/возможно был удаленый доступ через DarkComet.

[yunior95]

Узнал что коллега следил за мои пк больше года пришлось переустановить винду, подскажите как мне проверить полностью систему(не вшит ли троян в bios/uefi). Раньше процессор мог работать по 10-20 дней даже после отключения(отключал пк полностью, при включение в диспетчере показывалось, что проц работает).Подскажите также про учетную запись sso_pop_device(я ее не создавал, появилась вчера) в гугл сказано, что это позволяет включить возможность аутентификации с помощью доверенной третьей стороны, используя установленные у вас сервисы SSO, как я понял это учетная запись единого входа, но ее нужно настраивать вручную, а я этого не делал.Прикрепляю также файл avz.log2, показывает множество перехватов по типу Функция kernel32.dll:ReadConsoleInputExA (1130) перехвачена, метод ProcAddressHijack.GetProcAddress ->7621CF90->76C68880 функция user32.dll:EnumWindows (1774) перехвачена, метод ProcAddressHijack.GetProcAddress ->76D10360->75533A00, а также > Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
>>> Безопасность: В IE разрешена загрузка подписанных элементов ActiveX без запроса
>>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>>> Безопасность: В IE разрешен запуск программ и файлов в IFRAME без запроса
>> Безопасность: Разрешена отправка приглашений удаленному помощнику
>> Проводник - включить отображение расширений для файлов известных системе типов
Проверка завершена
9. Мастер поиска и устранения проблем
>> Заблокирована настройка автоматического обновления
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей

[Info_bot]

Уважаемый(ая) yunior95, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Похвальная обеспокоенность безопасностью, при этом используете сборку Windows с отключенными обновлениями, палёный Eset

На перехваты не обращайте внимания.

SUPERAntiSpyware - совершенно бесполезная программа, удалите.
Driver Booster тоже не рекомендую использовать, основные драйвера система обновляет самостоятельно.

Запустите HijackThis, расположенный в папке Autologger (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора))и пофиксите только эти строки:

O15 - Trusted Zone: http://webcompanion.com
O21 - HKLM\..\ShellIconOverlayIdentifiers\00asw: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O22 - Task: \Avast Software\Overseer - C:\Program Files\Common Files\AVAST Software\Overseer\overseer.exe /from_scheduler:1

Выполните скрипт в AVZ:

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet001\Control\Remote Assistance','fAllowToGetHelp', 0);
 SetServiceStart('TermService', 4);
ExecuteWizard('SCU',2,2,true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Для того, чтобы получить удалённый доступ к компьютеру, нужно, как правило, ещё настраивать роутер.

Буткиты в BIOS/UEFI бывают, но пока ещё экзотика.

Учётка sso_pop_device, возможно, по умолчанию есть в Pro версии Windowa 10, не нужна - удалите.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[yunior95]

Добрый вечер, не мог раньше ответить заблокировали доступ в интернет и в роутер http://joxi.ru/zANN04Gi6JMBVA http://joxi.ru/BA07dONFPlEJz2, по поводу учетки sso_pop_device я ее удалял вчера несколько раз, она потом создавалась(также отображался гостевой акаунт), поставил чистую win 10 домашнюю для одного пользователя, сразу после установки в свойство системы был добавлен удаленный доступ и учетка sso_pop_device. По поводу роутера раньше был без пароля( admin admin), поменял мес назад, но как понял его можно взломать через Linux Kali/lanGhost.

[Vvvyg]

Взломать роутер снаружи можно только, если к нему снаружи открыт доступ, у большинства он по умолчанию всё же закрыт. Обновите, по возможности, прошивку роутера.

По логам видно, что система, как и в прошлый раз, сборка с ovgorskiy, а не чистая.

Выполните в AVZ скрипт:

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
 SetServiceStart('TermService', 4);
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Удалите sso_pop_device через Диспетчер учетных данных - через поиск в настройках выйдете. Но страшного нет в ней, она на всех системах есть.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[yunior95]

после сканирования FRST64, создалось 2 файла, потом начал сканировать еще 2 раза и перезаписывать их , так и должно быть?)))вообщем скину 2 результата.А по поводу профиля sso_pop_device удаляю через диспетчер учеток, он его заново создает это так на всех win?

[Vvvyg]

У меня единожды FRST сканирует, может, дважды Scan нажали?

sso_pop_device после удаления через Диспетчер учетных данных восстанавливается, и это нормально.

В системе проблем не видно, разбирайтесь с роутером.

[yunior95]

Понял, спасибо вам большое)))

[Vvvyg]

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.