Перейти к содержанию

Вирус забрал права на папки установки


Роман Шерстнёв

Рекомендуемые сообщения

Здравствуйте, есть ли какой-нибудь bat или exe, автоматизирующий решение нашей проблемы? На некоторые рабочие станции под управлением Windows 7, за которыми не уследили админы, проник червь, который распространяется по сети через уязвимость MS17-010. При попадании в систему делает много нехорошего, включая добавление учетки john в группу локальных админов, установку майнеров и rdpwrapper.

 

Но больше всего раздражает то, что он создает заглушки чтобы было невозможно ничего установить из антивирусного ПО. Забирает права на директории, в которые должен устанавливаться агент администрирования и сам KES 4 Windows в папках Program Files и ProgramData (чаще всего убирает права у Trusted Installer). Я не вирусный аналитик и поэтому не знаю всех действий вируса. Прошу если это известная малварь, то поделиться скриптом, который чистит все её последствия, либо хотя бы восстанавливает права на папки Program Files и ProgramData как они должны быть в нормальной системе чтобы ни KES, ни агент не выдавал ошибок при установке. Запустить его смогу как от NT SERVICE\TrustedInstaller, так и от NT AUTHORITY\SYSTEM.

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

25.03.2023 в 10:34, Роман Шерстнёв сказал:

если это известная малварь, то поделиться скриптом

Да, известная.

 

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.

 

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

 

25.03.2023 в 10:34, Роман Шерстнёв сказал:

распространяется по сети через уязвимость MS17-010

Ясное дело, эту уязвимость нужно закрыть.

Ссылка на комментарий
Поделиться на другие сайты

27.03.2023 в 12:52, Sandor сказал:

Здравствуйте!

 

Да, известная.

 

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.

 

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

 

Ясное дело, эту уязвимость нужно закрыть.

Спасибо

Ссылка на комментарий
Поделиться на другие сайты

3 часа назад, Роман Шерстнёв сказал:

Спасибо

Лог работы утилиты прикрепите и потом коллекшен лог по правилам раздела.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • bzhero
      Автор bzhero
      Добрый день. Выполняю установку Kaspersky Standart с официального сайта. В окне с установщиком доходит до 90%, а далее вирус закрывает установщик, когда заново пытаюсь установить - все сначала. И так уже несколько раз. Когда пытаюсь зайти в антивирус (открыть приложение) из "Безопасности Windows" - ничего не происходит. Помогите пожалуйста
       
      Сообщение от модератора kmscom Тема перемещена из раздела Компьютерная помощь
    • Павел Кудрявцев
      Автор Павел Кудрявцев
      Доброго времени суток!
      Пытаюсь установить антивирус себе на компьютер, чувствую, что компьютер всё равно выдает маломальски какие-то ошибки, точно что-то словил.
      Поставил себе dr.web просканировал всё, но всё равно стабильной работы не наблюдается, решил установить себе нормальный антивирус.
      При загрузке не произошло ничего особенного, но вот уже при установке начались определенного рода танцы, при установке программа просит перезагрузить компьютер, а после примерно на 60% установочник просто вылетает и ничего дальше не происходит, скачивал программу для удаления всех следов антивируса на компьютере, но и она ничего не находит, пытался вручную удалить и всё равно тишина.
      после многочисленных способов всё равно программа не хочет ставится на устройство 
      А хочется всё таки установить, чтобы успешно просканировать весь компьютер и быть на полноценной защите
      Что делать при данной ситуации? Пожалуйста подскажите...
    • Taker1993
      Автор Taker1993
      Добрый день. Борюсь с этим майнером уже приличное время, пробовал разные антивирусы и думал что он пропал, так как используя несколько разных антивирусов от основной части майнера я вроде избавился, но заметил ещё тогда что много ошибок в системе 0xc0000017 при исполнении команд dism в командной строке (которую я вчера исправил), при обновлении всех компонентов windows и т.п. (пробовал откатывать удаляя по гайдам папку с апдейтами используя утилиты для активации обнов - но безрезультатно), также есть ошибка с безопасностью, в начале была проблема с целостностью ядра и я удалил два мешающих файла исправив проблему, но ошибка с этим так до конца и  не решилась и он пишет про отсутствие TPM - а конкретно NET HELPMSG 2182 Problem with BITS; также есть проблема с невозможностью запуска диспетчера устройств и других подобных окон и некоторых команд в комбинации Win+R. Почему я думал, что избавился от майнера полностью: грузить систему перестало на постоянке и сильных нагрузок не было, а с остальным думал уже ничего не сделаешь и нужно переустанавливать Windows, оставил на потом, так как есть немало сторонних лицензионных программ,, которые шли вместе с ноутбуком и я боялся к ним потерять доступ, ну и так как не было точек восстановления и если даже они были я не могу к ним получить доступ, а оказывается всё-таки нет майнер на месте.
      Несколько месяцев спустя заметил, а конкретно вчера: что изменилась возможность администрирования и я не могу получить доступ к системным файлам, не мог удалить, изменять, переименовывать файлы которые вызывали нарушение целостности ядра (xusb21.sys и STTub30.sys), но по итогу через стороннюю утилиту я их удалил (один из них STTub30.sys я потом воcстановил найдя на github). Вернул также сегодня в ночь через реестр доступ к DISM и сделал успешный запуск и восстановление по команде Dism /Online /Cleanup-Image /RestoreHealth, а SFC и прежде работала, но это ничего не поменяло; вообще все последние именно операции делал по одному гайду и там после восстановления DISM советовали воспользоваться Farbar Recovery Scan Tool 64-бит, но наткнулся поздновато и это не помогло, так как нужен составленный fixlist.txt, да и Fabar раз 6 выдал ошибку при сканировании bcdedit.exe (в процессе написания текста сделал повторное сканирование c Fabar и ошибок было уже штуки 3-4 bcdedit.exe, а результаты этого сканирования прикрепил в качестве файлов Addition.txt и FRST.txt вдруг пригодятся).
      Сегодня заметил, что даже с включённым лицензионным Касперычем майнер снова поменял и ограничил что-то там в брандмауэре Windows - было уведомление (понимаю, что он уже давно в исключениях, но всё же). Ни Kaspersky Virus Removal Tool, ни Dr.Web Cruelt! ни нашли ничего, вероятно майнер добавил их уже в исключения, так как при удалении основных компонентов майнера я уже пользовался ими раньше, но до этого я пользовался AV block Remover и он удалял майнер, но спустя время он появляется снова. 
      Был бы очень рад если бы получилось решить данную проблему, Windows лицензионный шедший вместе с ноутом переустанавливать всё же не хочется и я не уверен что и там не будет ошибок в процессе.
      Заранее всем откликвнушимся большое спасибо и с пасхой!
      CollectionLog-2025.04.20-14.19.zip Addition.txt FRST.txt
    • Elly
      Автор Elly
      Друзья!
      Сезон прогнозов по Формуле-1 в самом разгаре! 
      Готовы проверить, насколько хорошо вы разбираетесь в мире скоростей, стратегии и легендарных гонщиков? 🚥 Присоединяйтесь к нашей викторине по Формуле-1 и покажите, кто тут настоящий эксперт!
      Вас ждут вопросы о культовых гонках, великих чемпионах, рекордах и захватывающих моментах с трассы. Сможете ли вы набрать поул-позицию среди знатоков?
       
      НАГРАЖДЕНИЕ
      Без ошибок — 1500 баллов Одна ошибка — 1200 баллов Две ошибки — 800 баллов  
      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 20:00 26.03.2025 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @Мирный Атом(пользователя @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответ будет дан в рамках созданной переписки, коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
    • para87
      Автор para87
      Я обнаружил что системная папка Windows  стала весить  200+ гб Я ОФЕГЕЛ КАК ТАК . Я удалил  через выполнить весь  %temp% и  %WinDir%\Temp также точки восстановления. После перезагрузки папка windows стала в норму. А дальше в течении 5 чесов работы  пк папка system32 стала увеличивается  и также растет до 100+ гб перегружаем комп и диск освобождается. Дальше ПК работает файлы снова растут в папке system32. за 5 чёсов папка разрослась до 100+гб.  перегружаем пк и снова диск освободился  ПК работает и снова начала расти в папка system32. до 100гб+ В диспетчере задач активность дика С была в мб/с в простои пк. Не долго думая я удалил раздел диска  "С" И переустановил Windows.  Щас все прекратилось больше папка не растет активность диска в диспетчере стало в кб/с а была в мб/с.  И что такое могло быть? Касперский + при полной проверки не чего не находил.  Система такая Windows 11 Pro  сборка 26100.3323. Щас все хорошо написал потому что меня такое очень удивила что это такое было кто сталкивался с таким напашите может я зря венду снес.
      Windows
×
×
  • Создать...