Поиск сообщества

В нашу локальную сеть пробрались такие приколы как : MEM:Trojan.Win32.EquationDrug.gen MEM:Trojan.Win32.SEPEH.gen MEM:Rootkit.Win64.EquationDrug.a и т.п. Удаляем через KSC 11 со всех зараженных, но после перезагрузки они возвращаются более озлобленные. Помогите решить проблему. Как бороться с этой напастью?

Собственно сабж. Пишет нейтрализован, но при следующем сканировании та же картина. Прилагаю лог: avz_log.txt

Добрый день, возникла проблема с пк. После установки впн, роутер подвергался взлому, пк сам по себе начал плохо работать, лагало интернет соединение. Как обнаружил проблему, сбросил все настройки роутера, корректно настроил и удалил программу впн. Проверял пк касперским, малварой, но паранойя не отпускает, avz обнаружил странную активность. Так же пропал доступ к некоторым папкам. Анализ kernel32.dll, таблица экспорта найдена в секции .rdata Функция kernel32.dll:ReadConsoleInputExA (1132) перехвачена, метод ProcAddressHijack.GetProcAddress ->75D2DA98->773CF710 Перехватчик kernel32.dll:ReadConsoleInputExA (1132) нейтрализован Функция kernel32.dll:ReadConsoleInputExW (1133) перехвачена, метод ProcAddressHijack.GetProcAddress ->75D2DACB->773CF740 Перехватчик kernel32.dll:ReadConsoleInputExW (1133) нейтрализован Анализ ntdll.dll, таблица экспорта найдена в секции .text Функция ntdll.dll:NtCreateFile (295) перехвачена, метод ProcAddressHijack.GetProcAddress ->775D2F20->6CDE17A0 Перехватчик ntdll.dll:NtCreateFile (295) нейтрализован Функция ntdll.dll:NtSetInformationFile (598) перехвачена, метод ProcAddressHijack.GetProcAddress ->775D2C40->6CDE1900 Перехватчик ntdll.dll:NtSetInformationFile (598) нейтрализован Функция ntdll.dll:NtSetValueKey (630) перехвачена, метод ProcAddressHijack.GetProcAddress ->775D2FD0->6CDE1970 Перехватчик ntdll.dll:NtSetValueKey (630) нейтрализован Функция ntdll.dll:ZwCreateFile (1838) перехвачена, метод ProcAddressHijack.GetProcAddress ->775D2F20->6CDE17A0 Перехватчик ntdll.dll:ZwCreateFile (1838) нейтрализован Функция ntdll.dll:ZwSetInformationFile (2139) перехвачена, метод ProcAddressHijack.GetProcAddress ->775D2C40->6CDE1900 Перехватчик ntdll.dll:ZwSetInformationFile (2139) нейтрализован Функция ntdll.dll:ZwSetValueKey (2171) перехвачена, метод ProcAddressHijack.GetProcAddress ->775D2FD0->6CDE1970 Перехватчик ntdll.dll:ZwSetValueKey (2171) нейтрализован Анализ user32.dll, таблица экспорта найдена в секции .text Функция user32.dll:CallNextHookEx (1536) перехвачена, метод ProcAddressHijack.GetProcAddress ->75E1B4F0->6CDE1690 Перехватчик user32.dll:CallNextHookEx (1536) нейтрализован Функция user32.dll:SetWindowsHookExW (2399) перехвачена, метод ProcAddressHijack.GetProcAddress ->75E20740->6CDE19E0 Перехватчик user32.dll:SetWindowsHookExW (2399) нейтрализован Функция user32.dll:Wow64Transition (1504) перехвачена, метод CodeHijack (метод не определен) >>> Код руткита в функции Wow64Transition - ошибка стандартной нейтрализации (невозможно изменить область памяти, возможно противодействие со стороны руткита) Ошибка анализа библиотеки user32.dll Анализ advapi32.dll, таблица экспорта найдена в секции .text Функция advapi32.dll:CveEventWrite (1234) перехвачена, метод ProcAddressHijack.GetProcAddress ->76D859E2->773D2110 Перехватчик advapi32.dll:CveEventWrite (1234) нейтрализован Функция advapi32.dll:I_ScRegisterPreshutdownRestart (1387) перехвачена, метод ProcAddressHijack.GetProcAddress ->76D86909->75FCC120 Перехватчик advapi32.dll:I_ScRegisterPreshutdownRestart (1387) нейтрализован Анализ ws2_32.dll, таблица экспорта найдена в секции .text Анализ wininet.dll, таблица экспорта найдена в секции .text Анализ rasapi32.dll, таблица экспорта найдена в секции .text Анализ urlmon.dll, таблица экспорта найдена в секции .text Анализ netapi32.dll, таблица экспорта найдена в секции .text Функция netapi32.dll:NetFreeAadJoinInformation (130) перехвачена, метод ProcAddressHijack.GetProcAddress ->6C95DF0A->6C59AA70 Перехватчик netapi32.dll:NetFreeAadJoinInformation (130) нейтрализован Функция netapi32.dll:NetGetAadJoinInformation (131) перехвачена, метод ProcAddressHijack.GetProcAddress ->6C95DF39->6C59ADF0 Перехватчик netapi32.dll:NetGetAadJoinInformation (131) нейтрализован Помогите разобраться в чем дело, логи во вложении CollectionLog-2022.09.11-13.36.zip

Проверяю компьютер AVZ и сразу получаю такой кусок лога: 1. Поиск RootKit и программ, перехватывающих функции API 1.1 Поиск перехватчиков API, работающих в UserMode Анализ kernel32.dll, таблица экспорта найдена в секции .rdata Функция kernel32.dll:ReadConsoleInputExA (1132) перехвачена, метод ProcAddressHijack.GetProcAddress ->774DDAB8->75E8AC20 Перехватчик kernel32.dll:ReadConsoleInputExA (1132) нейтрализован Функция kernel32.dll:ReadConsoleInputExW (1133) перехвачена, метод ProcAddressHijack.GetProcAddress ->774DDAEB->75E8AC50 Перехватчик kernel32.dll:ReadConsoleInputExW (1133) нейтрализован Анализ ntdll.dll, таблица экспорта найдена в секции .text Функция ntdll.dll:NtCreateFile (295) перехвачена, метод ProcAddressHijack.GetProcAddress ->77831B70->74971480 Перехватчик ntdll.dll:NtCreateFile (295) нейтрализован Функция ntdll.dll:NtSetInformationFile (598) перехвачена, метод ProcAddressHijack.GetProcAddress ->77831890->749715E0 Перехватчик ntdll.dll:NtSetInformationFile (598) нейтрализован Функция ntdll.dll:NtSetValueKey (630) перехвачена, метод ProcAddressHijack.GetProcAddress ->77831C20->74971650 Перехватчик ntdll.dll:NtSetValueKey (630) нейтрализован Функция ntdll.dll:ZwCreateFile (1837) перехвачена, метод ProcAddressHijack.GetProcAddress ->77831B70->74971480 Перехватчик ntdll.dll:ZwCreateFile (1837) нейтрализован Функция ntdll.dll:ZwSetInformationFile (2138) перехвачена, метод ProcAddressHijack.GetProcAddress ->77831890->749715E0 Перехватчик ntdll.dll:ZwSetInformationFile (2138) нейтрализован Функция ntdll.dll:ZwSetValueKey (2170) перехвачена, метод ProcAddressHijack.GetProcAddress ->77831C20->74971650 Перехватчик ntdll.dll:ZwSetValueKey (2170) нейтрализован Анализ user32.dll, таблица экспорта найдена в секции .text Функция user32.dll:CallNextHookEx (1536) перехвачена, метод ProcAddressHijack.GetProcAddress ->776494F0->74971370 Перехватчик user32.dll:CallNextHookEx (1536) нейтрализован Функция user32.dll:SetWindowsHookExW (2399) перехвачена, метод ProcAddressHijack.GetProcAddress ->7764E780->749716C0 Перехватчик user32.dll:SetWindowsHookExW (2399) нейтрализован Функция user32.dll:Wow64Transition (1504) перехвачена, метод CodeHijack (метод не определен) >>> Код руткита в функции Wow64Transition - ошибка стандартной нейтрализации (невозможно изменить область памяти, возможно противодействие со стороны руткита) Стоит ли волноваться?

Всем привет! Прошу помочь! ситуация такая: Несколько пк в лок сети инфицировано вирусом который у нас не получается удалить. Признаки заражения (как мы поняли): - для всех word документов создается куча файлов с одноименным названием документа и приставкой вначале ~ (временные копии документа при редактировании), которые не удаляются автоматически (как должны). Создается их бесконечное кол-во. Документы хранятся на дисках системы. - работаем с гугл диском который через приложение гугл интегрирован в систему (там тоже самое) - очень тупит пк, долго загружается, долго перезагружается прям до 10 мин доходит - вкладки в браузерах бывает вообще не загружаются, либо с помощью скрипта на всех сайтах накладывается фрейм с таким же видом страницы (либо измененным!) который подменяет весь контент, читает пароли, т.д. - про странные процессы и службы я вообще молчу... Что уже делали для лечения? Проверяли утилитами AVZ, DoctorWeb, Malwarebytes Anti-Malware, HitmanPro, Kasperskiy Virus removul tool (и прочие), что-то еще... из под инфицированной системы ничего не находит! Если загружаться с DVD-R - то картина при сканировании не активной системы совсем другая. AVZ находит кучу подозрительных файлов и несколько из них он идентифицирует как - Win32.Jorik.kbot.j - Backdoor.Win32.Agent.angl - Trojan.downloader.win32 - и чето-там.alphabet.gen Пробовали загружаться из под Linux (ubuntu, kali) - вирус проявляет себя и там аналогично винде... При сканировании линуксовыми утилитами (calmav, chkrootkit, rkhunter, lynis,..) они выявляют разные системные аномалии, пишут что эти аномалии присущи руткитам, но ничего конкретного найти не могут. Я не специалист и не претендую на высшую степень истины, но кое что знаю.. и как я понял вирус использует свойства оперативную память для хранения своих файлов, резервирует области там с помощью процессора.. потому что low lewel format жесткого диска не помогает... С помощью одной из утилит Intel для анализа процессора удалось определить что у процессора установлена не родная микропрограмма (microcode), и обновить микропрограмму на указанную на сайте Intel (родную) не получается. Может ли вирус внедрять свой код в предустановленное производителем ПО оборудования?? Выкладываю логи, просканирован планшетный ПК HP ElitePad 900, который часто бывал в wi-fi сети, к которой подключены ПК локальной сети, с которой я начинал. Если нужно отсканирую один из ПК лок сети. Не знаю связано ли это с вирусом, или как это реализуется, но с моей карты сбербанка ежемесячно! уже почти год списывается рандомная сумма денег до 1000 руб. - в Сбербанк онлайн этой операции не видно, в отделении сбербанка мне сказали что они не могут посмотреть что это за операция, отключить тоже не могут! Это какая-то подписка что-ли... посмотреть кто, где и когда оформил эту подписку они тоже не могут -единственный выход как они сказали - перевыпустить карту... а я узнаю о том что в этом месяце зарплату хакеру я заплатил только лишь из вот таких смс: EMC8711 18.10.16 12:53 покупка 554р RBKM*GOOGLEAPPS.SOF Баланс:... Помогите пожалуйста разобраться с этим гадом!) CollectionLog-2016.11.25-06.31.zip

Только что общалась на фэйсбуке и вдруг Касперский обнаруживает Троянскую программу HEUR: Trojan.Win32.Generic !! Причем 4 одинаковых троянских программы вдруг из этой папки c:/document and settings/user/downloads/lana_del_rey_-_young_and_beautiful_zaycev_net.exe До этого я слушала, и это была песня!! Касперский антивирусник проверил и нашел какой-то руткит (что это такое??) . Поместил на карантин ( почему-то в подробном отчете только 3 программы ). Как дальше мне вести? Удалять эту "песенку"?