Перейти к содержанию

Рекомендуемые сообщения

Периодически Касперский находит Trojan.Multi.GenAutorunReg.a
Вылечить не может, никак.
Помогите справиться - он меняет нам пароль на пользователя sa в SQL.

CollectionLog-2022.05.27-11.30.zip

Изменено пользователем Sudar
Приложены логи
Ссылка на сообщение
Поделиться на другие сайты

Эта папка

Цитата

C:\Program Files\rdp wrapper

вам известна?

 

Также видны программы удаленного доступа Ammyy Admin, AnyDesk и TightVNC. Все ваши, пользуетесь?

 

Дополнительно, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты

Вероятно, подкидывали предыдущие админы. Сейчас точно не используем враппер.

Подключаемся удаленно через Ammy/AnyDesk/VNC/RDP - все нужны для обеспечения доступности.

 

Логи

Addition.txt FRST.txt

Изменено пользователем Sudar
Ссылка на сообщение
Поделиться на другие сайты
Цитата

Запущено с помощью rkadmin (ВНИМАНИЕ: Пользователь не является Администратором)

Переделайте, пожалуйста, логи, запустив утилиту правой кнопкой от имени администратора.

 

40 минут назад, Sudar сказал:

Подключаемся удаленно через Ammy/AnyDesk/VNC/RDP - все нужны для обеспечения доступности

Смените пароли на подключение.

Вот от имени этого пользователя запускайте:

Цитата

user (S-1-5-21-3692019249-3577775106-2095229392-1001 - Administrator - Enabled) => C:\Users\user

 

Ссылка на сообщение
Поделиться на другие сайты

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    IPSecPolicy: [ActivePolicy] SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{afd2f04e-3905-4b33-9174-467c64c8845f} <==== ВНИМАНИЕ (Ограничение - IP)
    File: C:\Windows\Logs\RunDllExe.dll
    FirewallRules: [{99DA06AC-92D9-449E-8E94-5B26D4C32975}] => (Allow) LPort=7776
    FirewallRules: [{740E99D0-A041-4189-9E8F-1684FABF0050}] => (Allow) LPort=8087
    FirewallRules: [{4BB2F8AA-0860-4D6A-A1BC-C4E7F1228702}] => (Allow) LPort=5900
    FirewallRules: [{0328DD53-C1B9-48E0-B6B1-74DFF281A00D}] => (Allow) LPort=14555
    FirewallRules: [{7A8F9640-8845-428F-933F-CCFA4B57E0E8}] => (Allow) LPort=3389
    FirewallRules: [{CE4248D1-1D6F-432D-94E1-41E7FC68B1BF}] => (Allow) LPort=1321
    cmd: DISM.exe /Online /Cleanup-image /Restorehealth
    cmd: sfc /scannow
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    C:\Windows\Temp\*.*
    C:\WINDOWS\system32\*.tmp
    C:\WINDOWS\syswow64\*.tmp
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Выполнение скрипта может занять длительное время, не прерывайте.

Ссылка на сообщение
Поделиться на другие сайты

Правила брандмауэра вернул - рабочее ПО отсекалось, по RDP доступ потеряли.

Fixlog.txt

помимо этой вирусной записи касперский находит еще одну - завести новую тему или здесь все отработаем? 

 

Изменено пользователем Sudar
Ссылка на сообщение
Поделиться на другие сайты

Если вы об этом

Цитата

FirewallRules: [{7A8F9640-8845-428F-933F-CCFA4B57E0E8}] => (Allow) LPort=3389

то напрасно. Рано или поздно будет взломан.

 

6 минут назад, Sudar сказал:

помимо этой вирусной записи касперский находит еще одну - завести новую тему или здесь все отработаем?

Если тот же компьютер, продолжаем здесь.

27.05.2022 в 10:26, Sudar сказал:

Периодически Касперский находит Trojan.Multi.GenAutorunReg.a

Это всё ещё продолжается? Полный текст обнаружения покажите, пожалуйста, так, чтоб было видно в каком файле.

 

Дополнительно:

 

Скачайте Malwarebytes v.4. Установите и запустите.
(На предложение активации лицензии ответьте "Позже" и "Использовать бесплатную версию").
Запустите Проверку и дождитесь её окончания.
Самостоятельно ничего не помещайте в карантин!!!
Нажмите кнопку "Сохранить результаты - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
Подробнее читайте в руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты
2 часа назад, Sandor сказал:

то напрасно. Рано или поздно будет взломан.

Вернул эти: 8087, 9797, 5900, 3639, 7000, 7007, 7771, 7776, 8084, 1321

r_keeper, Store House и прочее.

 

2 часа назад, Sandor сказал:

Это всё ещё продолжается? Полный текст обнаружения покажите, пожалуйста, так, чтоб было видно в каком файле.

Другая запись MEM:Trojan.Win32.Cometer.gen

 

А по Trojan.Multi.GenAutorunReg.a - узнаем о его активности через некоторое время, когда учетное ПО снова не сможет построить отчет или внести новые данные.

 

После установки выяснили, что под брутфорс-атакой. Поменяли порт на внутренний и внешний RDP (хотя он уже был не стандартный), сменили внешний пор на VNC.

scan1.txt

Ссылка на сообщение
Поделиться на другие сайты

Ясно, спасибо, что сообщили.

 

По логу - можете удалить (поместить в карантин только это:

Цитата

Значение реестра: 2
PUM.Optional.DisableMRT, HKLM\SOFTWARE\POLICIES\MICROSOFT\MRT|DONTREPORTINFECTIONINFORMATION, Проигнорировано пользователем, 6575, 676881, 1.0.55566, , ame, , , 
PUM.Optional.DisableMRT, HKLM\SOFTWARE\WOW6432NODE\POLICIES\MICROSOFT\MRT|DONTREPORTINFECTIONINFORMATION, Проигнорировано пользователем, 6575, 676881, 1.0.55566, , ame, , , 

 

Ссылка на сообщение
Поделиться на другие сайты

Хорошо. Проделайте завершающие шаги:

 

1. Malwarebytes деинсталлируйте.

 

2.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

3.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Scotty
      От Scotty
      Приветствую. Сегодня на своём ПК открыл файл размером 450 МБ расширение scr (не буду вдаваться в подробности). При попытке открытия файл сразу после двойного клика он моментально удалился антивирусом Kaspersky Security Cloud, а в отчетах отобразилось, что обнаружен, остановлен и удалён объект Trojan.Win32.Badex.c . Гуглил этот Бадекс, но ничего не нашёл. Что это за троян? Да, он удалён, но каковы последствия моей попытки его запуска? Не оставил ли он после себя какую-то активность? На данный момент я произвёл полную проверку и ничего не обнаружено. Но тем не менее хотел бы узнать тут, есть ли что-то, что антивирус мог не обнаружить? Могло ли что-то остаться в системе от этого Трояна? Или я дал недостаточно информации?
    • Shmaister
      От Shmaister
      MEM:Trojan.Win64.Generic.mem не удаляется после перезагрузки, каждый раз появляется вновь. Помогите решить проблему
    • SilverDevice
    • Дмитрий Ы
      От Дмитрий Ы
      Добрый день, недавно антивирус kaspersky нашел вирус MEM: Trojan.Win32.SEPEH.gen, нажал удалить с перезагрузкой и не сработало.
      Со временем он его снова находит. Подскажите как удалить?
       

    • OrtoChi
      От OrtoChi
      Здравствуйте, прошу помочь мне в удалении MEM:Trojan.Win64.Generic.mem , использовал Kaspersky Virus Removal Tool, он его видит но лечение с перезагрузкой не помогает избавиться от трояна. 
      CollectionLog-2022.03.04-16.15.zip
×
×
  • Создать...