Trojan.Multi.GenAutorunReg.a

[Sudar]

Периодически Касперский находит Trojan.Multi.GenAutorunReg.a
Вылечить не может, никак.
Помогите справиться - он меняет нам пароль на пользователя sa в SQL.

CollectionLog-2022.05.27-11.30.zipПолучение информации...

Изменено 27 мая, 2022 пользователем Sudar
Приложены логи

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[Sudar]

Логи приложил 

[Sandor]

Эта папка

  Цитата

C:\Program Files\rdp wrapper

Показать  

вам известна?

 

Также видны программы удаленного доступа Ammyy Admin, AnyDesk и TightVNC. Все ваши, пользуетесь?

 

Дополнительно, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Sudar]

Вероятно, подкидывали предыдущие админы. Сейчас точно не используем враппер.

Подключаемся удаленно через Ammy/AnyDesk/VNC/RDP - все нужны для обеспечения доступности.

 

Логи

Addition.txtПолучение информации... FRST.txtПолучение информации...

Изменено 27 мая, 2022 пользователем Sudar

[Sandor]

  Цитата

Запущено с помощью rkadmin (ВНИМАНИЕ: Пользователь не является Администратором)

Показать  

Переделайте, пожалуйста, логи, запустив утилиту правой кнопкой от имени администратора.

 

  В 27.05.2022 в 09:22, Sudar сказал:

Подключаемся удаленно через Ammy/AnyDesk/VNC/RDP - все нужны для обеспечения доступности

Показать  

Смените пароли на подключение.

Вот от имени этого пользователя запускайте:

  Цитата

user (S-1-5-21-3692019249-3577775106-2095229392-1001 - Administrator - Enabled) => C:\Users\user

Показать  

 

[Sudar]

Переделал

Addition.txtПолучение информации... FRST.txtПолучение информации...

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  IPSecPolicy: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{afd2f04e-3905-4b33-9174-467c64c8845f} <==== ВНИМАНИЕ (Ограничение - IP)
  File: C:\Windows\Logs\RunDllExe.dll
  FirewallRules: [{99DA06AC-92D9-449E-8E94-5B26D4C32975}] => (Allow) LPort=7776
  FirewallRules: [{740E99D0-A041-4189-9E8F-1684FABF0050}] => (Allow) LPort=8087
  FirewallRules: [{4BB2F8AA-0860-4D6A-A1BC-C4E7F1228702}] => (Allow) LPort=5900
  FirewallRules: [{0328DD53-C1B9-48E0-B6B1-74DFF281A00D}] => (Allow) LPort=14555
  FirewallRules: [{7A8F9640-8845-428F-933F-CCFA4B57E0E8}] => (Allow) LPort=3389
  FirewallRules: [{CE4248D1-1D6F-432D-94E1-41E7FC68B1BF}] => (Allow) LPort=1321
  cmd: DISM.exe /Online /Cleanup-image /Restorehealth
  cmd: sfc /scannow
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  C:\Windows\Temp\*.*
  C:\WINDOWS\system32\*.tmp
  C:\WINDOWS\syswow64\*.tmp
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Выполнение скрипта может занять длительное время, не прерывайте.

[Sudar]

Правила брандмауэра вернул - рабочее ПО отсекалось, по RDP доступ потеряли.

Fixlog.txtПолучение информации...

помимо этой вирусной записи касперский находит еще одну - завести новую тему или здесь все отработаем? 

 

Изменено 30 мая, 2022 пользователем Sudar

[Sandor]

Если вы об этом

  Цитата

FirewallRules: [{7A8F9640-8845-428F-933F-CCFA4B57E0E8}] => (Allow) LPort=3389

Показать  

то напрасно. Рано или поздно будет взломан.

 

  В 30.05.2022 в 11:15, Sudar сказал:

помимо этой вирусной записи касперский находит еще одну - завести новую тему или здесь все отработаем?

Показать  

Если тот же компьютер, продолжаем здесь.

  В 27.05.2022 в 07:26, Sudar сказал:

Периодически Касперский находит Trojan.Multi.GenAutorunReg.a

Показать  

Это всё ещё продолжается? Полный текст обнаружения покажите, пожалуйста, так, чтоб было видно в каком файле.

 

Дополнительно:

 

Скачайте Malwarebytes v.4. Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
Самостоятельно ничего не помещайте в карантин!!!
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
Подробнее читайте в руководстве.
 

[Sudar]

  В 30.05.2022 в 11:23, Sandor сказал:

то напрасно. Рано или поздно будет взломан.

Показать  

Вернул эти: 8087, 9797, 5900, 3639, 7000, 7007, 7771, 7776, 8084, 1321

r_keeper, Store House и прочее.

 

  В 30.05.2022 в 11:23, Sandor сказал:

Это всё ещё продолжается? Полный текст обнаружения покажите, пожалуйста, так, чтоб было видно в каком файле.

Показать  

Другая запись MEM:Trojan.Win32.Cometer.gen

 

А по Trojan.Multi.GenAutorunReg.a - узнаем о его активности через некоторое время, когда учетное ПО снова не сможет построить отчет или внести новые данные.

 

После установки выяснили, что под брутфорс-атакой. Поменяли порт на внутренний и внешний RDP (хотя он уже был не стандартный), сменили внешний пор на VNC.

scan1.txtПолучение информации...

[Sandor]

Ясно, спасибо, что сообщили.

 

По логу - можете удалить (поместить в карантин только это:

  Цитата

Значение реестра: 2
PUM.Optional.DisableMRT, HKLM\SOFTWARE\POLICIES\MICROSOFT\MRT|DONTREPORTINFECTIONINFORMATION, Проигнорировано пользователем, 6575, 676881, 1.0.55566, , ame, , , 
PUM.Optional.DisableMRT, HKLM\SOFTWARE\WOW6432NODE\POLICIES\MICROSOFT\MRT|DONTREPORTINFECTIONINFORMATION, Проигнорировано пользователем, 6575, 676881, 1.0.55566, , ame, , , 

Показать  

 

[Sudar]

Спасибо за помощь!

[Sandor]

Хорошо. Проделайте завершающие шаги:

 

1. Malwarebytes деинсталлируйте.

 

2.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

3.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Sudar]

SecurityCheck.txtПолучение информации...