Перейти к содержанию

Система глючит


ROMIK

Рекомендуемые сообщения

печально.

 

1. очистите всеменные папки безопасной среды KIS (главное окно - безопасная среда- очистить)

 

2.

Скачайте ComboFix здесь, здесь, и сохраните на рабочий стол.

 

1.Внимание!Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Ссылка на комментарий
Поделиться на другие сайты

Ответа от ЛК пока нет.

 

ComboFix помог все в норме :)

 

На диске C появились папки Config.Msi, MSOCache, Qoobox а также файл Boot.bak.

 

На D папки msdownld.tmp, RECYCLER.

 

Что это и можно это удалить ?

 

Что было с системой ?

ComboFix.txt

Изменено пользователем ROMIK
Ссылка на комментарий
Поделиться на другие сайты

выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DelCLSID('16664848-0E00-11D2-8059-000000000000');
DelCLSID('{1537E849-0001-AAAA-8059-000000000001}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

компьютер перезагрузится.

 

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\3F5C371F8EA24F259D3DD0B4526E3AEA.TMP
c:\windows\DUMP416e.tmp

Driver::

NetSvc::

Folder::

Registry::

FileLook::

DirLook::

RegLock::
[HKEY_USERS\S-1-5-21-220523388-1177238915-725345543-1003\Software\Microsoft\SystemCertificates\AddressBook*]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

Config.Msi, MSOCache и msdownld.tmp - временные папки установщиков. можете удалить.

 

Содержимое папки C:\Qoobox\Quarantine заархивируйте с паролем virus и отошлите карантин через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).

Для получения ответа в более короткий срок отправьте ваш запрос через Личный кабинет.

В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите адрес своей электронной почты.

Полученный ответ сообщите в этой теме.

Изменено пользователем Roman_Five
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

Я вернулся :)

 

Скрипт выполнил, CFScript.txt сделал.

 

Отправил оба карантина и после вчерашней работы ComboFix,а и после сегодняшней. Ответа пока нет.

 

 

Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику.

 

AddRemove-HitmanPro35.reg.dat,

cache.dat.vir,

catchme.log,

DUMP416e.tmp.vir,

ealregsnapshot1.reg.vir,

Legacy_FILEMON.reg.dat,

newmrasearch.dll.vir,

qmgr0.dat.vir,

qmgr1.dat.vir,

result.txt.vir,

ShellExecuteHooks-{16664848-0E00-11D2-8059-000000000000}.reg.dat,

ShellIconOverlayIdentifiers-{1537E849-0004-AAAA-8059-000000000001}.reg.dat,

tcpip.reg,

tokens.dat.vir

 

Файлы в процессе обработки.

 

catchme.txt

 

Файл нулевой длины.

 

E21285C1_40E6_435c_A69F_3387E7BD89CB.gif.vir,

E9A4D648_ED73_4ea7_88B2_18332DBA4F3E.jpg.vir,

jestertb.dll.vir,

winlogon.bak.vir

 

Вредоносный код в файлах не обнаружен.

ComboFix.txt

Ссылка на комментарий
Поделиться на другие сайты

Плохого в логах не вижу.

 

Что с проблемой?

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall(Обязательно должен быть пробел между combofix и /u), нажмите кнопку "ОК"

 

Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

Ссылка на комментарий
Поделиться на другие сайты

:)

 

Хотелось бы узнать от чего лечили систему ? Что с ней было ?

 

Что с проблемой?

 

Выше писал все в норме.

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall(Обязательно должен быть пробел между combofix и /u), нажмите кнопку "ОК"

 

Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

 

Сделал.

Изменено пользователем ROMIK
Ссылка на комментарий
Поделиться на другие сайты

Что с ней было ?

наверняка Вам сможет сказать лишь разработчик Combofix...

накопилась некая критическая масса багов в системе (по разным причинам) - вот она и подглючивала.

Ссылка на комментарий
Поделиться на другие сайты

наверняка Вам сможет сказать лишь разработчик Combofix...

накопилась некая критическая масса багов в системе (по разным причинам) - вот она и подглючивала.

 

Т.е. это не вирус/троян ?

Ссылка на комментарий
Поделиться на другие сайты

ComboFix придется скачать еще раз

 

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

Driver::
MEMSWEEP2
REGMON

RenV::
c:\windows\system32\Logonui .exe

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

cfscript.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

Ссылка на комментарий
Поделиться на другие сайты

ComboFix придется скачать еще раз

 

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

Driver::
MEMSWEEP2
REGMON

RenV::
c:\windows\system32\Logonui .exe

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

cfscript.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

Сейчас сделаю. А можно узнать зачем это ?

 

Сделал :) Карантин отправлять ?

 

Вопрос не по теме : почему когда вы (хелперы) даете скрипт AVZ пишете что комп перезагрузится , а то что после работы ComboFix будет перезагрузка не пишите ? ?

ComboFix.txt

Ссылка на комментарий
Поделиться на другие сайты

Теперь порядок. Все следы полностью зачищены

 

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

combofix-uninstall.jpg

 

Скачайте OTCleanIt, запустите, нажмите Clean up

Ссылка на комментарий
Поделиться на другие сайты

Сделал.

 

А можно вкратце следы от чего ?

Ответить я думаю не сложно :)

 

Появились некоторые побочные действия (связываю их с нашим лечением, хотя может я и ошибаюсь) :

 

1- после первой работы ComboFix во время загрузки компа буквально на секунду начал появлятся список выбора ОС, (хотя стоит только XP) одна из трех в списке XP остальные две пока не прочитал появляется на секунду и пропадает.

2-в самом начале загрузки появляется картинка и внизу надпись нажмите (вроде) TAB для входа куда то :) (не помню точно, но это и не столь важно), раньше эта картинка появлялась на пару секунд и продолжалась загрузка. Теперь же эта картинка висит минуту и больше а потом продолжается загрузка. :)

 

Вопрос: в чем дело ? :)

Изменено пользователем ROMIK
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Gillox
      От Gillox
      При игре в Тарков, а так же просто использовании пк без нагрузки время от времени крашется система. Думаю, подцепил майнер. Выдает синие экраны, либо пк просто перезагружается с черным экраном. Коды ошибок: 
      Memory_Management System Thread Exception not handled System Service Exception (Что вызвало проблему: Ntfs.sys) Kernel_Mode Heap Corruption CollectionLog-2024.11.04-18.56.zip
       
      Так же перестала работать панель уведомлений справа (при открытии она полностью пустая без значков и тут же закрывается) и комбинация win+shift+s перестает работать после первого использования после перезапуска пк.
    • Pomka.
      От Pomka.
      короче простым клубням тут не место ?
    • MiStr
      От MiStr
      То, над чем мы так долго работали; то, о чём вы не раз спрашивали; то, что теперь будет постоянно обновляться и публиковаться — текущий рейтинг фан-клубовцев. Наконец мы решили все организационные и технологические вопросы, получили и агрегировали данные по программам, участвующим в рейтинговой системе мотивации фан-клубовцев, и теперь готовы ежемесячно публиковать текущий рейтинг. Всё это для того, чтобы каждый фан-клубовец видел, на каком месте он находится в данный момент, мог оценить свои шансы на попадание в список приглашённых на празднование очередного дня рождения фан-клуба, зарядить себя мотивацией и с новыми силами продолжить участвовать в многочисленных программах, за активность в которых начисляются клабы.
       
      Рейтинг фан-клубовцев по состоянию на 03.02.2019 (Ник / количество клабов):
       
       
      Внимание! Опубликованные данные носят текущий информационный характер и не являются окончательным результатом. Публикация рейтинга не означает, что подсчитаны абсолютно все активности, в которых участвовал фан-клубовец до даты публикации рейтинга, поскольку информация об участии фан-клубовцев в программах поступает к нам с задержкой от нескольких дней до нескольких месяцев.
       
      Напоминаем, что согласно правилам рейтинговой системы, любые вопросы, связанные с начислением клабов, принимаются в течение 30 дней с момента обновления рейтинга участника. По истечении этого срока количество начисленных клабов не пересматривается. Поэтому если у вас возникли вопросы по начислению клабов, то отправьте письмо мне с копией Elly. В письме сообщите, какой размер вашего рейтинга должен быть и приложите соответствующие расчёты. Письма без конкретных расчётов или содержащие неконкретную информацию вида "Мне кажется, у меня должно быть немного больше" рассматриваться не будут.
    • Gennadiy
      От Gennadiy
      Здравствуйте!
       
      Вчера устанавливал приложения для прокси Cloudflare Warp и WireGuard (потом их удалил) и смотрел в YouTube инструкцию как всё это сделать. И при открытом YouTube (больше я ничего не делал и никуда не заходил) выскочило вдруг окно Касперского со следующей информацией:
      Событие: Остановлен переход на сайт
      Пользователь: NEOS\Пользовательдва
      Тип пользователя: Инициатор
      Имя приложения: firefox.exe
      Путь к приложению: C:\Program Files\Mozilla Firefox
      Компонент: Интернет-защита
      Описание результата: Запрещено
      Тип: Вредоносная ссылка
      Название: bro.kosmohubeq.space/code/mizweojtg45ha3ddf42dsnbx
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Веб-страница
      Имя объекта: mizweojtg45ha3ddf42dsnbx
      Путь к объекту: bro.kosmohubeq.space/code
      Причина: Облачная защита
       
      Посмотрите, пожалуйста, нет ли никакого вируса.
      CollectionLog-2024.07.29-18.33.zip
    • KL FC Bot
      От KL FC Bot
      Чем раньше действия злоумышленников попадут в сферу внимания защитных решений и экспертов, тем эффективнее получится минимизировать, а то и вовсе предотвратить ущерб. Поэтому, работая над новыми правилами детектирования для нашей SIEM-системы KUMA (Kaspersky Unified Monitoring and Analysis Platform), мы уделяем особое внимание выявлению активности хакеров на самом начальном этапе атаки — то есть на этапе сбора информации о защищаемой инфраструктуре. То есть к действиям, относящимся к тактике Discovery по классификации Enterprise Matrix MITRE ATT&CK Knowledge Base.
      В последнее время все чаще внимание атакующих привлекает инфраструктура контейнеризации, в которой нередко находят достаточно опасные уязвимости. Например, в нашем майском отчете об эксплойтах и уязвимостях описывается уязвимость CVE-2024-21626, эксплуатация которой позволяет совершить побег из контейнера. Поэтому в обновлении KUMA SIEM за третий квартал 2024 года среди правил для выявления нетипичного поведения, которое может свидетельствовать об активности злоумышленников на этапе первичного сбора данных, мы добавили правила детектирования, которые ловят попытки сбора данных об используемой инфраструктуре контейнеризации, а также следы различных попыток манипуляций с самой системой контейнеризации.
      Сделано это было с помощью детектирующих правил R231, R433 и R434, которые уже доступны пользователям KUMA SIEM через систему обновления правил. В частности, они служат для детектирования и корреляции следующих событий:
      доступ к учетным данным внутри контейнера; запуск контейнера на неконтейнерной системе; запуск контейнера с избыточными правами; запуск контейнера с доступом к ресурсам хоста; сбор информации о контейнерах с помощью стандартных инструментов; поиск слабых мест в контейнерах с помощью стандартных инструментов; поиск уязвимостей безопасности в контейнерах с помощью специальных утилит. С учетом вышеописанного обновления сейчас на платформе доступно более 659 правил, из них 525 правил с непосредственно детектирующей логикой.
      Мы продолжаем ориентироваться на Enterprise Matrix MITRE ATT&CK Knowledge Base, которая сегодня включает в себя 201 технику, 424 подтехники и тысячи процедур. На данный момент наше решение покрывает 344 техники и подтехники MITRE ATT&CK.
      Кроме того, мы доработали множество старых правил путем исправления или корректировки условий, например, для снижения количества ложных срабатываний (false-positives).
       
      View the full article
×
×
  • Создать...