Перейти к содержанию
Правила раздела
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

[РЕШЕНО] Троян Phonzy.A!ml

Simphonia193610

Автор Simphonia193610
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Simphonia193610

Simphonia193610

Опубликовано
Опубликовано (изменено)

Здравствуйте, скачивал VST плагины для FL Studio и скачал какой то бандл. Спустя день Windows Defender оповестил меня об этом вирусе. Скачал Kaspersky, провёл полное сканирование, он ничего не нашел, также скачивал Dr.Web cureit, он также ничего не обнаружил. Запуск компьютера в безопасном режиме не помогает, троян всё равно активно работает. (Я это понимаю потому, что вентиляторы моего ноутбука крутятся на полную мощность) Windows Defender также мне отображает об этой угрозе. Когда нажимаю "Применить действия - Удалить" ничего не происходит и вирус никак не может удалиться. У меня Windows 11. В диспетчере задач нету никаких неизвестных процессов, при открытии задач мои вентиляторы никак не сбавляют мощность

CollectionLog-2022.12.20-23.21.zip

Изменено пользователем Simphonia193610
Неправильное название антивируса
mike 1

mike 1

Опубликовано
Опубликовано

DriverPack если не используете, то можно очистить все найденное. В каком файле Windows Defender находит угрозу?

Simphonia193610

Simphonia193610

Опубликовано
  • Автор
Опубликовано (изменено)
6 минут назад, mike 1 сказал:

DriverPack если не используете, то можно очистить все найденное. В каком файле Windows Defender находит угрозу?

Driverpack'om не пользуюсь

 

6 минут назад, mike 1 сказал:

DriverPack если не используете, то можно очистить все найденное. В каком файле Windows Defender находит угрозу?

 

 

IMG_20221220_235656_333.png

Изменено пользователем Simphonia193610
mike 1

mike 1

Опубликовано
Опубликовано

А на рабочем столе этого файла нет? Что показывает проверка с помощью сервиса VirusTotal этого файла?

Simphonia193610

Simphonia193610

Опубликовано
  • Автор
Опубликовано
19 часов назад, mike 1 сказал:

А на рабочем столе этого файла нет? Что показывает проверка с помощью сервиса VirusTotal этого файла?

Эту папку с рабочего стола я удалил (кинул в корзину и очистил её). Соответственно в VirusTotal уже не могу проверить, я не понимаю откуда он ее там видит, если ее там нету

19 часов назад, mike 1 сказал:

А на рабочем столе этого файла нет? Что показывает проверка с помощью сервиса VirusTotal этого файла?

Ой, я ошибся похоже, обнаружил у себя .7z архив, я его сейчас удалил (до этого я удалил распакованный 7z архив)

 

19 часов назад, Simphonia193610 сказал:

Эту папку с рабочего стола я удалил (кинул в корзину и очистил её). Соответственно в VirusTotal уже не могу проверить, я не понимаю откуда он ее там видит, если ее там нету

Ой, я ошибся похоже, обнаружил у себя .7z архив, я его сейчас удалил (до этого я удалил распакованный 7z архив)

Но Windows Defender до сих пор отображает этот Троян

 

19 часов назад, Simphonia193610 сказал:

Но Windows Defender до сих пор отображает этот Троян

Через приложение EveryThing на Рабочем столе я обнаружил как раз таки .exe файл который был указан в скриншоте выше, попробовал удалить его через это приложение, ничего не вышло. Этот вирус нигде не отображается (я пытался зайти через проводник по "C:\Users\samar\Desktop" и найти этот файл (функция отображения скрытых файлов и папок у меня включена) но он не отображается.

mike 1

mike 1

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  2. Убедитесь, что под окном Optional Scan отмечены как на скриншоте ниже
  3. Нажмите кнопку Scan.
  4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Simphonia193610

Simphonia193610

Опубликовано
  • Автор
Опубликовано
12 часов назад, mike 1 сказал:

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  2. Убедитесь, что под окном Optional Scan отмечены как на скриншоте ниже
  3. Нажмите кнопку Scan.
  4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 


3munStB.png

Я заметил также одну особенность, что когда я включаю ноутбук он сразу запускает вентиляторы и они работают на почти полную мощность,но это пока я не подключен к интернету, как только я подключаюсь к интернету мощность вентиляторов сразу убавляется

FRST.txt Addition.txt

mike 1

mike 1

Опубликовано
Опубликовано

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
        
    CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-887027648-2083623767-613766944-1001\...\Run: [Firefox Browser] => C:\Firefox\X-Firefox.exe (Нет файла)
C:\Users\samar\Desktop\Arturia - FX Collection 2021.1 R2 VST, VST3, x64 (NO INSTALL, SymLink Installer) [03.03.2021].exe
FirewallRules: [{FB8A752F-3498-4FF8-BDE3-7C609DD395B3}] => (Allow) C:\Users\samar\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{41C49636-5A7A-428D-9F53-B8366BE32199}] => (Allow) C:\Users\samar\AppData\Local\Programs\Opera\79.0.4143.22\opera.exe => Нет файла
FirewallRules: [{59BB6FE3-F059-47B2-9C8D-A84B0CBDB8D5}] => (Allow) C:\Program Files (x86)\DriverPack\tools\aria2c.exe => Нет файла
FirewallRules: [{327D531B-51B5-4FE1-BB97-C3DEACB1C0EB}] => (Allow) C:\Users\samar\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{FA8D2A45-8D9A-4314-9A04-E290AAC6DE7E}] => (Allow) C:\Users\samar\AppData\Local\Programs\Opera\64.0.3417.73\opera.exe => Нет файла
Folder: C:\Users\samar\Desktop\



  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

  4. Обратите внимание, что компьютер будет перезагружен.

  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Simphonia193610

Simphonia193610

Опубликовано
  • Автор
Опубликовано
1 час назад, mike 1 сказал:

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
        
    
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-887027648-2083623767-613766944-1001\...\Run: [Firefox Browser] => C:\Firefox\X-Firefox.exe (Нет файла)
C:\Users\samar\Desktop\Arturia - FX Collection 2021.1 R2 VST, VST3, x64 (NO INSTALL, SymLink Installer) [03.03.2021].exe
FirewallRules: [{FB8A752F-3498-4FF8-BDE3-7C609DD395B3}] => (Allow) C:\Users\samar\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{41C49636-5A7A-428D-9F53-B8366BE32199}] => (Allow) C:\Users\samar\AppData\Local\Programs\Opera\79.0.4143.22\opera.exe => Нет файла
FirewallRules: [{59BB6FE3-F059-47B2-9C8D-A84B0CBDB8D5}] => (Allow) C:\Program Files (x86)\DriverPack\tools\aria2c.exe => Нет файла
FirewallRules: [{327D531B-51B5-4FE1-BB97-C3DEACB1C0EB}] => (Allow) C:\Users\samar\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{FA8D2A45-8D9A-4314-9A04-E290AAC6DE7E}] => (Allow) C:\Users\samar\AppData\Local\Programs\Opera\64.0.3417.73\opera.exe => Нет файла
Folder: C:\Users\samar\Desktop\


     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

  4. Обратите внимание, что компьютер будет перезагружен.

  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Вот лог, мой компьютер не был перезагружен и архив тоже не создался

Fixlog.txt

mike 1

mike 1

Опубликовано
Опубликовано
Цитата

fixlist содержимое:
*****************
CreateRestorePoint: CloseProcesses: HKU\S-1-5-21-887027648-2083623767-613766944-1001\...\Run: [Firefox Browser] => C:\Firefox\X-Firefox.exe (Нет файла) C:\Users\samar\Desktop\Arturia - FX Collection 2021.1 R2 VST, VST3, x64 (NO INSTALL, SymLink Installer) [03.03.2021].exe FirewallRules: [{FB8A752F-3498-4FF8-BDE3-7C609DD395B3}] => (Allow) C:\Users\samar\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла FirewallRules: [{41C49636-5A7A-428D-9F53-B8366BE32199}] => (Allow) C:\Users\samar\AppData\Local\Programs\Opera\79.0.4143.22\opera.exe => Нет файла FirewallRules: [{59BB6FE3-F059-47B2-9C8D-A84B0CBDB8D5}] => (Allow) C:\Program Files (x86)\DriverPack\tools\aria2c.exe => Нет файла FirewallRules: [{327D531B-51B5-4FE1-BB97-C3DEACB1C0EB}] => (Allow) C:\Users\samar\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла FirewallRules: [{FA8D2A45-8D9A-4314-9A04-E290AAC6DE7E}] => (Allow) C:\Users\samar\AppData\Local\Programs\Opera\64.0.3417.73\opera.exe => Нет файла Folder: C:\Users\samar\Desktop\
*****************

"HKU\CreateRestorePoint: CloseProcesses: S-1-5-21-887027648-2083623767-613766944-1001\Software\Microsoft\Windows\CurrentVersion\Run" => не найдено

==== Конец от Fixlog 17:47:18 ====

Как-то очень странно скопировали содержимое скрипта в файл. 

Simphonia193610

Simphonia193610

Опубликовано
  • Автор
Опубликовано
6 минут назад, mike 1 сказал:

Как-то очень странно скопировали содержимое скрипта в файл. 

Исправил, вот новый файл

Fixlog (1).txt

1 минуту назад, Simphonia193610 сказал:

Исправил, вот новый файл

Fixlog (1).txt 2.94 kB · 0 загрузок

Windows Defender больше не обнаруживает тот вирус

mike 1

mike 1

Опубликовано
Опубликовано

Видимо глюк был Windows Defender. Его кстати лучше отключить при установленном Kaspersky Security Cloud. 

Simphonia193610

Simphonia193610

Опубликовано
  • Автор
Опубликовано
35 минут назад, mike 1 сказал:

Видимо глюк был Windows Defender. Его кстати лучше отключить при установленном Kaspersky Security Cloud. 

Не думаю что глюк ибо у меня и вправду компьютер работал на полную мощность и сам файл существовал. (Я с помощью одной программы это узнал) вроде после запуска вашего скрипта оно удалилось. Поэтому огромное спасибо за помощь. 

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Bloodii
      Trojan:MSIL/Injector.AH!MTB
      Автор Bloodii
      Через временные промежутки выскакивает обнаружение. Первый скрин долбит комп.



      HOME-PC_2026-05-04_10-04-51_v5.0.5v x64.7z
    • mkukgh
      [РЕШЕНО] Поймал MEM:Trojan.Win32.SEPEH.gen
      Автор mkukgh
      Добрый день. Каспер находит сабж, но не устраняет проблему, долго ждал после предложения лечить с перезагрузкой, но без результата, сейчас каспер находит угрозы в файлах windows\system32\winlogon.exe и svchost.exe на скриншоте, устранять или нет? файлы системный критичные, боюсь нажимать "устранить". Логи приложил. Спасибо.

      CollectionLog-2026.04.10-14.28.zip
    • BReDD
      Trojan:PowerShell/Bynoco. RR!amc
      Автор BReDD
      Подскажите плз, активатором KMS запустил майнера и этого гада (Trojan:PowerShell/Bynoco.RR!ams) на свой ПК с ОС Win 10х64. C помощью KRD вычистил зловредов, нашел кучу исключений в Windows Defender, удалил все. Так же капитально вычистил планировщик и автозапуск. Не трогал лишь службы, но там ничего криминального не заметил. Вроде все норм, проверка показывает, что ничего нет, но комп стал медленнее грузиться и значки на панели и в трее стали выходить с задержкой 3-5 минут. Чувствую, что где тоеще хвосты есть, возможно в реестре, но не могу найти. Создание нового юзера тоже ничего не дало. Есть ли средство, как убрать последствия за этим трояном?
       
      Сообщение от модератора thyrex Перенесено из темы
    • Mikhazen
      Скачал вирус "Trojan.Python.Obfus.f"
      Автор Mikhazen
      Что мне делать. Кинули ссылку и скачался файл, открыл его в Пайтон 3.14.... закинул на вирус тотал и мне Касперский кинул детект. Trojan.Python.Obfus.f . на сайте Касперского пишет такое, что обращался к именам 
       
      BSS:Trojan.Win32.Generic
       
      HEUR:Trojan-Dropper.Python.Obfus.gen
       
      Trojan.Python.Agent.og
       
      Я удалил сам текстовый файл crypted.py, но память начала грузиться до 50%, антималвэйр на цп ≈10-20 процентов кидает. Что делать? Есть ли способ без сноса винды? Т.к. там все файлы по работе
    • Artemnehacker
      поймал вирус стилер через анидеск
      Автор Artemnehacker
      Я был на проверке читов в майнкрафте через андисек мне закинули мне вредоносную програму предварительно отключив антивирус. После проверки читов, я запустил антивирус обратно (windows defender) после чего мне высветилсь плашка readme и потом (windows defender) удалил вирус , часть файлов было зашифровано в формате TOK, и украдены сеансы дискорд телеграм. Спустя 2 недели начала шалить винда, и появляться черные квадраты на обоях + начала нагриватся видеокарта. Хочу проверить удалил ли я вирус. 
      CollectionLog-2026.03.27-14.23.zip
×
×
  • Создать...