Перейти к содержанию

Рекомендуемые сообщения

Периодически Касперский находит Trojan.Multi.GenAutorunReg.a
Вылечить не может, никак.
Помогите справиться - он меняет нам пароль на пользователя sa в SQL.

CollectionLog-2022.05.27-11.30.zip

Изменено пользователем Sudar
Приложены логи
Ссылка на сообщение
Поделиться на другие сайты

Эта папка

Цитата

C:\Program Files\rdp wrapper

вам известна?

 

Также видны программы удаленного доступа Ammyy Admin, AnyDesk и TightVNC. Все ваши, пользуетесь?

 

Дополнительно, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты

Вероятно, подкидывали предыдущие админы. Сейчас точно не используем враппер.

Подключаемся удаленно через Ammy/AnyDesk/VNC/RDP - все нужны для обеспечения доступности.

 

Логи

Addition.txt FRST.txt

Изменено пользователем Sudar
Ссылка на сообщение
Поделиться на другие сайты
Цитата

Запущено с помощью rkadmin (ВНИМАНИЕ: Пользователь не является Администратором)

Переделайте, пожалуйста, логи, запустив утилиту правой кнопкой от имени администратора.

 

40 минут назад, Sudar сказал:

Подключаемся удаленно через Ammy/AnyDesk/VNC/RDP - все нужны для обеспечения доступности

Смените пароли на подключение.

Вот от имени этого пользователя запускайте:

Цитата

user (S-1-5-21-3692019249-3577775106-2095229392-1001 - Administrator - Enabled) => C:\Users\user

 

Ссылка на сообщение
Поделиться на другие сайты

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    IPSecPolicy: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{afd2f04e-3905-4b33-9174-467c64c8845f} <==== ВНИМАНИЕ (Ограничение - IP)
    File: C:\Windows\Logs\RunDllExe.dll
    FirewallRules: [{99DA06AC-92D9-449E-8E94-5B26D4C32975}] => (Allow) LPort=7776
    FirewallRules: [{740E99D0-A041-4189-9E8F-1684FABF0050}] => (Allow) LPort=8087
    FirewallRules: [{4BB2F8AA-0860-4D6A-A1BC-C4E7F1228702}] => (Allow) LPort=5900
    FirewallRules: [{0328DD53-C1B9-48E0-B6B1-74DFF281A00D}] => (Allow) LPort=14555
    FirewallRules: [{7A8F9640-8845-428F-933F-CCFA4B57E0E8}] => (Allow) LPort=3389
    FirewallRules: [{CE4248D1-1D6F-432D-94E1-41E7FC68B1BF}] => (Allow) LPort=1321
    cmd: DISM.exe /Online /Cleanup-image /Restorehealth
    cmd: sfc /scannow
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    C:\Windows\Temp\*.*
    C:\WINDOWS\system32\*.tmp
    C:\WINDOWS\syswow64\*.tmp
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Выполнение скрипта может занять длительное время, не прерывайте.

Ссылка на сообщение
Поделиться на другие сайты

Правила брандмауэра вернул - рабочее ПО отсекалось, по RDP доступ потеряли.

Fixlog.txt

помимо этой вирусной записи касперский находит еще одну - завести новую тему или здесь все отработаем? 

 

Изменено пользователем Sudar
Ссылка на сообщение
Поделиться на другие сайты

Если вы об этом

Цитата

FirewallRules: [{7A8F9640-8845-428F-933F-CCFA4B57E0E8}] => (Allow) LPort=3389

то напрасно. Рано или поздно будет взломан.

 

6 минут назад, Sudar сказал:

помимо этой вирусной записи касперский находит еще одну - завести новую тему или здесь все отработаем?

Если тот же компьютер, продолжаем здесь.

27.05.2022 в 10:26, Sudar сказал:

Периодически Касперский находит Trojan.Multi.GenAutorunReg.a

Это всё ещё продолжается? Полный текст обнаружения покажите, пожалуйста, так, чтоб было видно в каком файле.

 

Дополнительно:

 

Скачайте Malwarebytes v.4. Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
Самостоятельно ничего не помещайте в карантин!!!
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
Подробнее читайте в руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты
2 часа назад, Sandor сказал:

то напрасно. Рано или поздно будет взломан.

Вернул эти: 8087, 9797, 5900, 3639, 7000, 7007, 7771, 7776, 8084, 1321

r_keeper, Store House и прочее.

 

2 часа назад, Sandor сказал:

Это всё ещё продолжается? Полный текст обнаружения покажите, пожалуйста, так, чтоб было видно в каком файле.

Другая запись MEM:Trojan.Win32.Cometer.gen

 

А по Trojan.Multi.GenAutorunReg.a - узнаем о его активности через некоторое время, когда учетное ПО снова не сможет построить отчет или внести новые данные.

 

После установки выяснили, что под брутфорс-атакой. Поменяли порт на внутренний и внешний RDP (хотя он уже был не стандартный), сменили внешний пор на VNC.

scan1.txt

Ссылка на сообщение
Поделиться на другие сайты

Ясно, спасибо, что сообщили.

 

По логу - можете удалить (поместить в карантин только это:

Цитата

Значение реестра: 2
PUM.Optional.DisableMRT, HKLM\SOFTWARE\POLICIES\MICROSOFT\MRT|DONTREPORTINFECTIONINFORMATION, Проигнорировано пользователем, 6575, 676881, 1.0.55566, , ame, , , 
PUM.Optional.DisableMRT, HKLM\SOFTWARE\WOW6432NODE\POLICIES\MICROSOFT\MRT|DONTREPORTINFECTIONINFORMATION, Проигнорировано пользователем, 6575, 676881, 1.0.55566, , ame, , , 

 

Ссылка на сообщение
Поделиться на другие сайты

Хорошо. Проделайте завершающие шаги:

 

1. Malwarebytes деинсталлируйте.

 

2.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

3.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • kptsv
      От kptsv
      Добрый день.
      Kaspersky Security для Windows Server 10.1.2.996 выдает сообщение, что обнаружены троянские программы HEUR:Trojan.MSIL.Inject.gen и HEUR:Trojan.Win32.Strab.gen. Проверка kvrt ничего не нашла. Dr.Web CureIt тоже ничего не нашел.
      Сообщение заносится в журнал каждый час. Как избавиться от напасти?
      CollectionLog-2024.02.29-08.17.zip kaspersky_log.csv.zip
    • bon1kk
      От bon1kk
      Здравствуйте! Столкнулся с проблемой..на компьютер попал троян...несколько дней назад он появился, я сразу же с помощью антивируса Касперского вроде как удалил его вместе с перезагрузкой компьютера. Через 2 дня вирус снова был обнаружен на компьютере. Как он попадает? И как избавиться от него навсегда? Касперский помогает лишь на несколько дней...работаю с ADS browser, в подобной теме видел что у ребят это вылезает из-за перехода по ссылке которую касперский метит, и не значит что файл в системе, верно!? В последний раз заходил на этот сайт, и сейчас снова показывает как подозрительный, может быть ли это из-за него?


    • Shkine
      От Shkine
      Доброго времени суток на днях заметил что защитник обнаружил троян. Но при попытке удалить его - ничего не происходит он снова появляется. Находил похожие от части темы, где использовали Farbar Recovery Scan Tool. Так что ко всем файлам прикладываю и его результаты. Буду благодарен за помощь.


      Addition.txt FRST.txt
    • Valeria_Tropina
      От Valeria_Tropina
      Не получается удалить этот вирус, уже несколько раз пыталась! 
      Помимо него есть еще несколько от которых я также не могу избавиться. 
      Еще три: 
      Trojan.BAT.Agent.bzg 
      Trojan.Multi.Agent.n 
      HEUR:Trojan.Win32.Convagent.gen 
    • Clf
      От Clf
      Добрый день!
      Такая же проблема как и в данной теме https://forum.kasperskyclub.ru/topic/439255-resheno-heurtrojanwin64minergen-pomogite-udalit/
       
      Помогите удалить HEUR:Trojan.Win64.Miner.gen

      Прикрепил логи по правилам оформления запроса созданные через AutoLogger

      Также прикрепил логи анализа системы при помощи Farbar Recovery Scan Tool 
      + образ автозапуска в uVS

       
      FRST.txt Addition.txt DENIS_2024-01-24_22-33-29_v4.15.1.7z
      CollectionLog-2024.01.24-23.06.zip
×
×
  • Создать...