[РЕШЕНО] MEM:Trojan.Win32.SEPEH.gen

[casus 0]

Скачал и распаковал установочный файл и поймал MEM:Trojan.Win32.SEPEH.gen, касперский находит вирус, удаляет его, но после перезагрузки он появляется снова,  в диспетчере задач отображается как значок шестерёнки без названия.

Изменено 12 июня, 2023 пользователем casus

[Mark D. Pearlstone 1 528]

Порядок оформления запроса о помощи

[casus 0]

1 час назад, Mark D. Pearlstone сказал:

Порядок оформления запроса о помощи

Извините, не вижу где ошибка в оформлении.

[Mark D. Pearlstone 1 528]

Перечитывайте тогда, пока не поймёте.

[casus 0]

1 час назад, Mark D. Pearlstone сказал:

Перечитывайте тогда, пока не поймёте.

Я серьёзно не вижу что я не написал, могу разве что добавить что ноут начинает взлетать после перезапуска, пока не удалю из диспетчера задач пустой процесс который грузит 50% проца

CollectionLog-2023.06.12-21.35.zip

Извините, не увидел что не подцепился архив)

Изменено 12 июня, 2023 пользователем casus

[Sandor 1 288]

Здравствуйте!

 

11 часов назад, casus сказал:

касперский находит вирус

Вы подразумеваете KVRT? Так как судя по логам, установлен 360 TS.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[casus 0]

2 часа назад, Sandor сказал:

Здравствуйте!

 

Вы подразумеваете KVRT? Так как судя по логам, установлен 360 TS.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

KVRT. Только процесс безымянный у меня отключен.

Addition.txt FRST.txt

Изменено 13 июня, 2023 пользователем casus

[Sandor 1 288]

Пишите, пожалуйста, в нижнем поле быстрого ответа. Не нужно полностью цитировать предыдущее сообщение, это затрудняет читаемость темы.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение - Windows Defender <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\ibknafobnmndicojahlppolcaaibngjf
  CHR HKU\S-1-5-21-1584305812-2692446820-3099670444-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
  Unlock: C:\WINDOWS\SysWOW64\zybicsiy\pwzutnnh.exe
  VirusTotal: C:\WINDOWS\SysWOW64\zybicsiy\pwzutnnh.exe
  2023-06-12 14:14 - 2023-06-12 14:14 - 000000000 _____ () C:\ProgramData\06748315747040993017.exe
  2023-06-12 14:14 - 2023-06-12 14:14 - 000000000 _____ () C:\ProgramData\18058692531571149070.exe
  2023-06-12 14:14 - 2023-06-12 14:14 - 000000000 _____ () C:\ProgramData\24367969787350083895.exe
  Hosts:
  Zip: c:\FRST\Quarantine\
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

На рабочем столе появится архив Date_Time.zip (Дата_Время)
Отправьте его на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

Подробнее читайте в этом руководстве.

[casus 0]

Fixlog.txt

Безопасно вводить слетевшие пароли если вирус так и висит?

Изменено 13 июня, 2023 пользователем casus

[Sandor 1 288]

Мы ещё не закончили.

Вы карантин отправили? Если не удалось, выложите его на файлообменник (или облако) и ссылку на скачивание отправьте мне личным сообщением.

 

Дополнительно:

1. Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку;
2. Запустите файл TDSSKiller.exe.
3. Нажмите кнопку "Начать проверку". Не меняйте настройки сканирования по умолчанию.
4. В процессе проверки могут быть обнаружены объекты двух типов:
   • вредоносные (точно было установлено, какой вредоносной программой поражен объект);
   • подозрительные (тип вредоносного воздействия точно установить невозможно).
5. По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.
6. Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить.
7. Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить).
8. Самостоятельно без указания консультанта ничего не удаляйте!!!
9. После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат.
10. Прикрепите лог утилиты к своему следующему сообщению.

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\)
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.3.0.0.44_10.05.2020_13.39.01_log.txt

[casus 0]

TDSSKiller.3.1.0.28_13.06.2023_11.24.09_log.txt

[Sandor 1 288]

Ещё раз повторите сканирование и удалите обнаруженный вредонос

Цитата

C:\WINDOWS\SysWOW64\zybicsiy\pwzutnnh.exe

Новый лог прикрепите.

[casus 0]

TDSSKiller.3.1.0.28_13.06.2023_11.37.42_log.txt

[Sandor 1 288]

Лог неполный. Перезагрузите компьютер и соберите его ещё раз, пожалуйста. Антивирус при этом отключите на время.

[casus 0]

TDSSKiller.3.1.0.28_13.06.2023_11.51.33_log.txt