Перейти к содержанию
Правила раздела

Что же с карантином делать? HEUR:Trojan.Win32.Generic

Клюква

От Клюква
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

Клюква Новичок

Клюква

Опубликовано
Опубликовано (изменено)

Свершилось - поймала паразита! Теперь не знаю, что делать с такой радостью. KIS 2011 нашёл его при проверке архива (который я не распаковывала), в архиве этом - скачанная из Сети контрафактная программа. :acute:

 

Выбрала предложенные "удалять" и "лечить" - после чего все работавшие программы одна за другой отрубились (при чём выскакивало сообщение неведомого мне смысла: нет каких-то dll, переустановить что-то там) - а потом на меня прыгнуло сообщение на страшном чёрном фоне "неверный образ" - осуществилась перезагрузка Windows (хотя я уж мысленно попрощалась и с Windows, и с ноутбуком), а после неё - самопроизвольная полная проверка на вирусы.

 

Теперь из карантина HEUR:Trojan.Win32.Generic удалить, ясное дело, не могу. Что делать-то, люди добрые, подскажите, пожалуйста? Так и оставить?

 

Самое главное-то: в "Правилах оформления запроса" про это не написано (для меня, чайника) - мне теперь в "Свойствах системы" "Восстановить параметры системы и предыдущие версии файлов" нажимать или нет? Раз защиту системы выключили для сбора логов - и там теперь стоит галочка "Защита системы отключена"? Я не знаю, что это значит - но звучит пугающе.

Умоляю - подскажите, будьте добренькие.

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

Изменено пользователем Клюква
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
Раз защиту системы выключили

включите обратно восстановление.

в системе чисто.

Рекомендуется:

- установить текущий пакет обновлений (SP) для Windows (может потребоваться активация Windows)

* выберите SP для своей версии Windows: Windows XP - SP3, Windows Vista x86 - SP2x86, Windows Vista x64 - SP2x64, Windows 7 x86 - SP1x86, Windows 7 x64 - SP1x64

- обновить Internet Explorer до версии 8.0 (даже если им не пользуетесь!)

- установить все обновления на Windows (может потребоваться активация Windows)

- проверить на наличие уязвимостей в ОС и используемом ПО / установить актуальные версии используемого ПО (подробнее)

 

Теперь из карантина HEUR:Trojan.Win32.Generic удалить, ясное дело, не могу.

почему? можно.

для начала ознакомьтесь со статьёй:

http://support.kaspersky.ru/faq/?qid=208638388

Ссылка на комментарий
Поделиться на другие сайты
Клюква Новичок

Клюква

Опубликовано
  • Автор
Опубликовано

Por favor, help!

В результате использования утилиты DW CureIt! были удалены пять троянов, а два безнадёжных трояна помещены в карантин. Проверка KIS 2011 созданной DW папки-карантина показывает, что вирусы в ней не обнаружены.

Подскажите, пожалуйста: что-то надо делать с этой папкой - или ничего и не сделаешь?

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
или ничего и не сделаешь?

загрузитесь в безопасном режиме и попробуйте её удалить

что-то надо делать с этой папкой

в идеале проверить эти 2 файла на virustotal.com и, если они чистые, восстановить

Ссылка на комментарий
Поделиться на другие сайты
Клюква Новичок

Клюква

Опубликовано
  • Автор
Опубликовано (изменено)

Ох, чайник я. ;)

 

проверить эти 2 файла на virustotal.com

Ой. Файлов в папке оказалось три - имя третьего файла убило. ;)

А первый-то файл зря оклеветан?

 

1. Testbundle23w_1254[10.exe

Result: 3/ 44 (6.8%)

DrWeb Trojan.Click1.30708

eSafe Win32.MiscNSISBindin

Fortinet Misc/NSISBinding

 

2. descript.ion

Result: 0/ 44 (0.0%)

 

3. hosts

Result: 0/ 44 (0.0%)

Но это не мой - мой-то на месте, где положено: ...\drivers\etc

И ещё один есть. C:\Windows\winsxs\amd64_microsoft-windows-w..nfrastructure-other_31bf3856ad364e35_6.1.7600.16385_none_6079f415110c0210\hosts

А на карантине - третий.

:)

Изменено пользователем Клюква
Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано
Но это не мой - мой-то на месте, где положено: ...\drivers\etc

наоборот. в карантине - родной. его CureIT удаляет и записывает на его место свой - почти идентичный, но точно легальный.

 

Testbundle23w_1254[10.exe

отправьте в вирлаб

http://support.kaspersky.ru/virlab/helpdesk.html

Ссылка на комментарий
Поделиться на другие сайты
Клюква Новичок

Клюква

Опубликовано
  • Автор
Опубликовано
наоборот. в карантине - родной. его CureIT удаляет и записывает на его место свой - почти идентичный, но точно легальный.
:) m0771.gif

Ааа! Понятно. (А то я как неандерталец, увидевший телевизор.)

 

отправьте в вирлаб

http://support.kaspersky.ru/virlab/helpdesk.html

Спасибо!
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • SiGiDi
      Вирус Петя, что делать
      От SiGiDi
      Вчера установил файл, после его распаковки вылез экран смерти и после череп который моргает красно белым цветом, что мне делать

    • burbon
      Подскажите, что делать?
      От burbon
      Добрый день, просканировал систему через AVZ и увидел много красных сточек, однако в конце AVZ написал что, найдено вирусов 0, подозрений 0. И начались падения интернета, всё начало долго грузится и в играх пинг 200. Подскажите, что делать?
       
      Загружена база: сигнатуры - 297570, нейропрофили - 2, микропрограммы лечения - 56, база от 01.03.2016 12:37
      Загружены микропрограммы эвристики: 412
      Загружены микропрограммы ИПУ: 9
      Загружены цифровые подписи системных файлов: 790760
      Режим эвристического анализатора: Средний уровень эвристики
      Режим лечения: включено
      Версия Windows: 10.0.19045,  "Windows 10 Enterprise", дата инсталляции 11.12.2022 14:38:07 ; AVZ работает с правами администратора (+)
      Восстановление системы: включено
      1. Поиск RootKit и программ, перехватывающих функции API
      1.1 Поиск перехватчиков API, работающих в UserMode
       Анализ kernel32.dll, таблица экспорта найдена в секции .rdata
      Функция kernel32.dll:ReadConsoleInputExA (1133) перехвачена, метод ProcAddressHijack.GetProcAddress ->7580E3B4->75073800
      Функция kernel32.dll:ReadConsoleInputExW (1134) перехвачена, метод ProcAddressHijack.GetProcAddress ->7580E3E7->75073830
       Анализ ntdll.dll, таблица экспорта найдена в секции .text
      Функция ntdll.dll:NtCreateFile (296) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F03550->7164F210
      Функция ntdll.dll:NtSetInformationFile (600) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F03270->7164F370
      Функция ntdll.dll:NtSetValueKey (632) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F03600->7164F3E0
      Функция ntdll.dll:ZwCreateFile (1841) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F03550->7164F210
      Функция ntdll.dll:ZwSetInformationFile (2143) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F03270->7164F370
      Функция ntdll.dll:ZwSetValueKey (2175) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F03600->7164F3E0
       Анализ user32.dll, таблица экспорта найдена в секции .text
      Функция user32.dll:CallNextHookEx (1536) перехвачена, метод ProcAddressHijack.GetProcAddress ->7548BDE0->7164F100
      Функция user32.dll:SetWindowsHookExW (2399) перехвачена, метод ProcAddressHijack.GetProcAddress ->75490F70->7164F450
      Функция user32.dll:Wow64Transition (1504) перехвачена, метод CodeHijack (метод не определен)
       Анализ advapi32.dll, таблица экспорта найдена в секции .text
      Функция advapi32.dll:CveEventWrite (1234) перехвачена, метод ProcAddressHijack.GetProcAddress ->75E78072->75076200
      Функция advapi32.dll:I_ScRegisterPreshutdownRestart (1387) перехвачена, метод ProcAddressHijack.GetProcAddress ->75E78F99->75EDE320
       Анализ ws2_32.dll, таблица экспорта найдена в секции .text
       Анализ wininet.dll, таблица экспорта найдена в секции .text
       Анализ rasapi32.dll, таблица экспорта найдена в секции .text
       Анализ urlmon.dll, таблица экспорта найдена в секции .text
       Анализ netapi32.dll, таблица экспорта найдена в секции .text
      Функция netapi32.dll:NetFreeAadJoinInformation (130) перехвачена, метод ProcAddressHijack.GetProcAddress ->73CFD14A->652EDE90
      Функция netapi32.dll:NetGetAadJoinInformation (131) перехвачена, метод ProcAddressHijack.GetProcAddress ->73CFD179->652EE210
      1.4 Поиск маскировки процессов и драйверов
       Проверка не производится, так как не установлен драйвер мониторинга AVZPM
      2. Проверка памяти
       Количество найденных процессов: 11
       Количество загруженных модулей: 247
      Проверка памяти завершена
      3. Сканирование дисков
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\1807cacf-db3c-462b-8317-19e7b48a6549.tmp
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\429db0e8-0600-45ab-a18b-8c82e45cdd1a.tmp
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\6b5dd892-d3b3-4a50-ac70-4bcaee0c85a0.tmp
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\841b9781-9b96-4205-872a-a33139bb86fc.tmp
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\95822c3b-9fa1-4fcd-ad01-ae8455af46a2.tmp
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\c5858088-f9a7-40f8-a4e7-93894ce42607.tmp
      Прямое чтение C:\Users\Вася\AppData\Local\Temp\f70ce670-2204-4b50-9897-1cdba3afa2ce.tmp
      4. Проверка Winsock Layered Service Provider (SPI/LSP)
       Настройки LSP проверены. Ошибок не обнаружено
      5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
      6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
       Проверка отключена пользователем
      7. Эвристичеcкая проверка системы
      Проверка завершена
      8. Поиск потенциальных уязвимостей
      >> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)
      >> Службы: разрешена потенциально опасная служба SSDPSRV (Обнаружение SSDP)
      >> Службы: разрешена потенциально опасная служба Schedule (Планировщик задач)
      > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
      >> Безопасность: разрешен автозапуск программ с CDROM
      >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
      >> Безопасность: к ПК разрешен доступ анонимного пользователя
      >> Безопасность: Разрешена отправка приглашений удаленному помощнику
      Проверка завершена
      9. Мастер поиска и устранения проблем
       >>  Таймаут завершения служб находится за пределами допустимых значений
       >>  Разрешен автозапуск с HDD
       >>  Разрешен автозапуск с сетевых дисков
       >>  Разрешен автозапуск со сменных носителей
      Проверка завершена
      Просканировано файлов: 116562, извлечено из архивов: 26001, найдено вредоносных программ 0, подозрений - 0
      Сканирование завершено в 09.10.2024 08:36:47
      Сканирование длилось 00:12:19
       
      на вирусы в ccleaner и через windows проверил - ничего не показало
       
      ничего подозрительного не скачивал. Все файлы проверял через VirusTotal
    • ГГеоргий
      pdm:exploit.win32.generic
      От ГГеоргий
      pdm:exploit.win32.generic
      Здравствуйте
      начиная с 1 го августа ловим сработки на нескольких наших группах.
      первая группа - физические ПК с KES
      вторая группа - виртуальные машины с KSLA
      проблема появилась одновременно на всех устройствах

      закономерность в сработках отследить трудно
      ругается всегда на файл svchost
      Описание из события на KES:
      Описание результата: Обнаружено
      Тип: Троянское приложение
      Название: PDM:Exploit.Win32.Generic
      Пользователь: NT AUTHORITY\LOCAL SERVICE (Системный пользователь)
      Объект: C:\Windows\System32\svchost.exe
      Причина: Поведенческий анализ
      Дата выпуска баз: 02.08.2024 20:19:00
      SHA256: 6FC3BF1FDFD76860BE782554F8D25BD32F108DB934D70F4253F1E5F23522E503
      MD5: 7469CC568AD6821FD9D925542730A7D8

      описание с KSLA (сначала "обнаружено" затем "запрещено")
      Объект: C:\Windows\System32\svchost.exe
      Результат: Запрещено: PDM:Exploit.Win32.Generic
      Причина: Опасное действие
      Пользователь: NT AUTHORITY\СИСТЕМА

      откуда снимать трассировки и отчеты не ясно
      все что нашли по зависимостям это именно одновременные сработки
      на Virus total проверяли, ничего не нашли
      KATA тоже показывает что все ок но угрозу это видит
      ваш сайт проверки false positive тоже показывает что всё ок с подписью от microsoft

      через ката видим
      параметры запуска:
      C:\\Windows\system32\svchost.exe -k localservice -p -s remoteregistry
      файл C:\\Windows\System32\svchost.exe

      по флагам похоже на удаленный доступ к реестру
      подскажите куда копать?
      false positive или нет?
      На пк и виртуалках стоит Windows 10
      KES 12.5 на физических
      KSLA 5.2 на виртуалках
    • Zafod
      HEUR:Trojan-Ransom.Win32.Generic
      От Zafod
      Произошло шифрование файлом Locker.exe из под учётной записи администратора домена admin$ (создан вирусом). Время когда учётка админа (admin$) была создана удалено из логов (из логов пропали сутки). На сервере установлен Kaspersky Endpoint Security под управлением KSC, вирус был обнаружен, скопирован в карантин, удалён, но данные всё равно зашифрованы. Машина с KSC так же зашифрована и не стартует.
      1.zip
    • Anton S
      Шифровальщик HEUR:Trojan-Ransom.Win32.Generic
      От Anton S
      Добрый день.
      С 4:00 22.07.24 зашифровало все данные на ПК и ещё несколько по сети. Злоумышленник после оплаты пропал... Хотя и прислал "PHOBOS decryption tool", но без ключей, видимо попался мошенник. Удалось запустить Касперского нашёл "HEUR:Trojan-Ransom.Win32.Generic" в нескольких местах. 
      x-decrypt@worker.com.rar FRST.txt Addition.txt
×
×
  • Создать...