Перейти к содержанию

MEM: Trojan.Win32.SEPEH.gen лечится, затем востанавливается


Рекомендуемые сообщения

Здравствуйте. Вот уже продолжительное время борюсь с скрытой угрозой MEM: Trojan.Win32.SEPEH.gen. Пользуюсь Kspesky free. Переодически антивирус находит вирус, пробовал разные метоты лечения. Но вирус востанавливается и вновь съедает ресурсы ПК. Краем глаза, иногда, замечаю как на долю секунды открывается командная строка (предположение) и исчезает. Пользуюсь ноутбуком, в простое куллера шумят на всю, стоит активировать ноутбук шум прекращается. Просканировал пк Farbar может пригодиться, прежде чем создавать тему, читал форум, без помощи специалистов наврядли что получится. 

Addition.txt FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

Автологер не запускается, блокируется антивирусом. А то что сканирование выполнялось Farbar Recovery Scan Tool не поможет? 

2023-05-03_14-55-20.png

Ссылка на сообщение
Поделиться на другие сайты
4 часа назад, Filip2p сказал:

Автологер не запускается, блокируется антивирусом.

1) Если бы вы внимательно читали инструкцию, то прочли бы что на время сканирования антивирус надо отключать.

2)

13 часов назад, Filip2p сказал:

Пользуюсь Kspesky free.

Только что перепроверил касперским он не блокируется. Если у вас иначе, то хотя бы скрин покажите.

 

3) Пользуетесь вы по факту 3-мя антивирусами из-за чего у вас разумеется проблемы. Когда столько стоит в системе, то даже и без логов понятно что будут проблемы. А тем более если там ещё оптимизаторы.

 

Так что удаляйте Symantec Endpoint Protection, Kerish Doctor. А затем строго по правилам раздела.

Ссылка на сообщение
Поделиться на другие сайты
9 часов назад, regist сказал:

Так что удаляйте Symantec Endpoint Protection, Kerish Doctor. А затем строго по правилам раздела.

 Автологер запустился, и сам предупредил что бы приостановили защиту антивирусом. Но спасибо, что напомнили. Дело не оптимизаторе или антивирусе. Что-то стороннее запускается через svhost (предположение, когда пытался словить, один раз каспер удалил вирус, а керишь после перезагрузки восстановил удаленный файл svhost 4, название файла может быть не точным). Теперь антивирус переодически находит выше описсаный вирус, лечит его, но он по новой. Где он прячется ума не преложу. 

Ссылка на сообщение
Поделиться на другие сайты

@Filip2p можете сами предполагать сколько угодно, но без нас. Либо можете оперативно решить свою проблему, но для этого надо в точности следовать тому что здесь пишут и правилам раздела.

Ссылка на сообщение
Поделиться на другие сайты
7 часов назад, Sandor сказал:

Удалили?

Saymantech удалил, Kerish отключил. Логи прикрепил. Удалял во время логирования. Сейчас буду ставить логирование на чистую, следуя вашим рекомендациям, я правильно понял что керишь обязательно удалить, просто отключить на время логирования не получится?

 

5 часов назад, regist сказал:

следовать тому что здесь пишут и правилам раздела

Разве мои предположения не были полезны? Если бы специалисты не посмотрели логи farbar. Кто бы сказал что Керишь и саймантек лишние...

CollectionLog-2023.05.04-15.12.zip

Ссылка на сообщение
Поделиться на другие сайты
13 часов назад, Filip2p сказал:

Saymantech удалил

Следы ещё видны.

Очистите по соотв. инструкции: Чистка системы после некорректного удаления антивируса.

 

13 часов назад, Filip2p сказал:

Kerish отключил

Почему не удалили? Удалите, пользы от неё нет.

 

После этих процедур перезагрузите компьютер и соберите новый архив CollectionLog.

Ссылка на сообщение
Поделиться на другие сайты

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O7 - Policy: HKLM\Software\Microsoft\Windows Defender: [DisableAntiVirus] = 1
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 0
O7 - Policy: HKLM\Software\Policies\Microsoft\Windows Defender: [DisableAntiSpyware] = 1
O22 - Tasks: \Symantec Endpoint Protection\Symantec Endpoint Protection Autofix - C:\Program Files (x86)\Symantec\Symantec Endpoint Protection\14.3.3580.1100.105\Bin\SymErr.exe /ui (file missing)
O22 - Tasks: \Symantec Endpoint Protection\Symantec Endpoint Protection Error Analyzer - C:\Program Files (x86)\Symantec\Symantec Endpoint Protection\14.3.3580.1100.105\Bin\SymErr.exe /analyze (file missing)
O22 - Tasks: \Symantec Endpoint Protection\Symantec Endpoint Protection Error Processor - C:\Program Files (x86)\Symantec\Symantec Endpoint Protection\14.3.3580.1100.105\Bin\SymErr.exe /submit (file missing)
O22 - Tasks_Migrated: \Symantec Endpoint Protection\Symantec Endpoint Protection Autofix - C:\Program Files (x86)\Symantec\Symantec Endpoint Protection\14.2.5569.2100.105\Bin\SymErr.exe /ui (file missing)
O22 - Tasks_Migrated: \Symantec Endpoint Protection\Symantec Endpoint Protection Error Analyzer - C:\Program Files (x86)\Symantec\Symantec Endpoint Protection\14.2.5569.2100.105\Bin\SymErr.exe /analyze (file missing)
O22 - Tasks_Migrated: \Symantec Endpoint Protection\Symantec Endpoint Protection Error Processor - C:\Program Files (x86)\Symantec\Symantec Endpoint Protection\14.2.5569.2100.105\Bin\SymErr.exe /submit (file missing)

 

Перезагрузите компьютер.

 

Удалите старые и соберите новые логи FRST.txt и Addition.txt

 

Ссылка на сообщение
Поделиться на другие сайты

 "Удалите старые и соберите новые логи FRST.txt и Addition.txt"

Не совсем понимаю как это сделать. Сделал, как обычно, автологером, после фикса, все строки присутствовали.

CollectionLog-2023.05.11-20.56.zip

Изменено пользователем Filip2p
Ссылка на сообщение
Поделиться на другие сайты
14 часов назад, Filip2p сказал:

Не совсем понимаю как это сделать

Вы ведь ранее это уже делали:

03.05.2023 в 10:33, Filip2p сказал:

Просканировал пк Farbar может пригодиться

 

Вот инструкция:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты

Kerish Doctor 2023 по-прежнему в перечне установленных. Удалите, он бесполезен.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    RemoveProxy:
    HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-1057206102-1305735596-770578909-1001\...\MountPoints2: {b2892823-2fbf-11eb-a342-3c2c30e33372} - "G:\autorun.exe" 
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxySettingsPerUser] 1 <==== ВНИМАНИЕ (Ограничение - ProxySettings)
    Hosts:
    HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-1057206102-1305735596-770578909-1001\Software\Classes\.scr: scrfile =>  <==== ВНИМАНИЕ
    cmd: DISM.exe /Online /Cleanup-image /Restorehealth
    cmd: sfc /scannow
    cmd: winmgmt /salvagerepository
    cmd: winmgmt /verifyrepository
    cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
    cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
    cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
    cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически. Выполнение скрипта может занять длительное время (до получаса). Дождитесь окончания.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • anastasiy
      От anastasiy
      Подскажите, прилетел toolbtcminer2711 так определил его drweb cureit, поможет ли форматирование ? и мог он увести  данные с расширений?
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • justplotva
      От justplotva
      Здравствуйте, появилась проблема, видел у многих на этом сайте подобную. С помощью dr.web cureit обнаружил NET:MALWARE.URL и tool.btcmine.2711, dr.web выдаёт ошибку лечения, буду благодарен за помощь. Логи собирал в безопасном режиме с доступом в сеть
      CollectionLog-2023.06.04-16.26.zip
    • BartSimpson77
      От BartSimpson77
      Помогите, пожалуйста.
       
      Поймал вирус, удалились все икони кроме компьютера, корзины и панели управления.
      С диска D удалилась вся информация, кроме games и steam.
      Возможно из-за какой-то проверки Денуво.
      До этого заходил в чужой аккаунт стим и пытался скачать и активировать игру.
      Утилиты касперского и доктор веба ничего не нашли.
      Прилагаю логи во вложении.
       
      Что делать, как восстанавливать?

      report1.log report2.log
    • Hardjoker8909
      От Hardjoker8909
      Здравствуйте! Извините что влезаю, но у меня тоже такая проблема. Помогите пожалуйста, вот файл с предыдущей инструкции
      Fixlog.txt
      Хотя кажется проблема уже решена. Спасибо за помощь!
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Andrew99
      От Andrew99
      Обычно я очень аккуратен, но вот первый раз в жизни словил серьезный вирус, до этого максимум трояны раз в несколько лет. Видел уже точно такую же ситуацию на этом форуме от пользователя Tossik. В целом почти все как у него. Не открываются сайты с антивирусом. С трудом скачал dr.web curelt. Было обнаружено NET:MALWARE.URL tool.btcmine.2711 от MicrosoftHost.exe. С tool.btcmine.2711 происходит перемещение в карантин , с NET:MALWARE.URL ошибка лечения . После перезагрузки все по новой. Через какое то время после открытия закрывается диспетчер задач. Сразу же закрывается папка ProgramData. Как я понимаю, вирус находится именно там в папке WindowsTask, судя по результатам Dr. Web. Переустанавливать Windows очень не хочется, потому что придется под чистую форматировать оба диска, а на жестком у меня очень важные данные по работе. Не знаю, стоило ли вообще создавать новую тему, или сделать все как было в теме Tossik. Наверное двух полностью одинаковых ситуаций не бывает. Сбор логов проводил в безопасном режиме с поддержкой сетевых драйверов
      CollectionLog-2023.06.03-10.15.zip
×
×
  • Создать...