Перейти к содержанию

Рекомендуемые сообщения

21.06.2023 в 14:40, Viktor сказал:
21.06.2023 в 10:22, Friend сказал:

1. Пытаются ли разработчики продукта решить проблему с установкой антивируса после действия майнера, чтобы пользователи лишний раз не обращались в поддержку и антивирус сам удалял все последствия майнера после успешной установки, пример, одной темы на форуме? Или же майнер сильнее?

Решение проблемы есть – это Kaspersky Virus Removal Tool. На вопрос на форуме наш сотрудник сегодня ответит. Борьба малвары и антивируса – это борьба меча и щита, и те и другие совершенствуют свои техники и тактики.

 

Ссылка на комментарий
Поделиться на другие сайты

  • 1 месяц спустя...
  • Ответов 33
  • Создана
  • Последний ответ

Топ авторов темы

  • thyrex

    7

  • Viktor

    6

  • Friend

    4

  • andrew75

    4

Да, было бы неплохо доработать AV block remover так, чтобы он удалял задачи на запуск вредоносного батника, восстанавливающего майнер через PowerShell, и сам батник вместе с самораспаковывающимися архивами. Ну и KVRT, соответственно, тоже. Пока-что только Miner Search более-менее нормально удаляет этот майнер.

Хотя и с ним есть некоторые проблемы.

22 минуты назад, Friend сказал:

Да, кажись майнер еще начал создавать ветки ключей, которые мешают установки антивируса.

Как мне кажется, возникшая у того человека проблема была не из-за майнера, а из-за чего-то другого. Хотя рано ещё делать какие-либо выводы.

Но, если это окажется действительно так, то это печально.

Изменено пользователем NikitaDob
Ссылка на комментарий
Поделиться на другие сайты

  • 5 недель спустя...
On 22.08.2023 at 01:39, NikitaDob said:

Как мне кажется, возникшая у того человека проблема была не из-за майнера, а из-за чего-то другого. Хотя рано ещё делать какие-либо выводы.

Но, если это окажется действительно так, то это печально.

Столкнулся в конце августа с подобным случаем. Там были вынесены все пользователи из подветок антивирусов в HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node.

 

Из активных зловредов в системе был известный кейс с апдейтером Google Chrome:

C:\PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE

https://www.virustotal.com/gui/file/6e9b3d4db604e79c053e69230ba3fe2981a045796566f729c5dd782322d8ff2b/behavior

 

Quote

Полное имя                  C:\PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE
Имя файла                   UPDATER.EXE
Тек. статус                 ?ВИРУС? ВИРУС в автозапуске
                            
Обнаруженные сигнатуры      
Сигнатура                   Win64/GenKryptik.GIIA (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2023-08-28
                            
www.virustotal.com          2023-07-13 17:23 [2023-07-13]
K7AntiVirus                 Trojan ( 005a508c1 )
Symantec                    ML.Attribute.HighConfidence
ESET-NOD32                  a variant of Win64/GenKryptik.GIIA
Kaspersky                   Trojan.Win64.Reflo.caf
BitDefender                 Gen:Variant.Barys.382682
Avast                       Win64:Evo-gen [Trj]
Emsisoft                    Gen:Variant.Barys.382682 (B)
Microsoft                   Trojan:Win32/Wacatac.B!ml
                            
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
File_Id                     647305189F0000
Linker                      2.38
Размер                      10381312 байт
Создан                      04.06.2023 в 12:10:53
Изменен                     16.06.2023 в 18:07:21
                            
TimeStamp                   28.05.2023 в 07:39:04
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Версия файла                70,0,3538,110
Описание                    Google Chrome
Производитель               Google Inc.
                            
Доп. информация             на момент обновления списка
SHA1                        F646E84DC91A32D2C06CC36E6FC7DF1F6C3D0D87
MD5                         CBF41D5AA487E94FE7F1DBF6C1AE2ABB
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\GOOGLEUPDATETASKMACHINEQC
Task                        \GoogleUpdateTaskMachineQC
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{88932E95-EB12-423E-8FEB-B562CDB83B62}\Actions
Actions                     "C:\Program Files\Google\Chrome\updater.exe"
Задача создана              04.06.2023 в 12:10:53
Последний запуск            28.08.2023 в 11:14:07
Код ошибки                  0x0
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{88932E95-EB12-423E-8FEB-B562CDB83B62}\

После очистки системы, установка по теперь уже понятной причине не пошла.

Добавить пользователя в подветку реестра не получилось, возможно по причине того что regedit запускался с правами Администратора. Удаляли ветки вручную, но regedit запускался уже с правами Системы. psexec -i -d -s c:\windows\regedit.exe.

 

Далее, уже установка прошла успешно.

 

Не факт, конечно, что блокировка была выполнена  именно данным зловредом, но других активных зловредов уже не было, оставались только следы.

                           

 

 

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

21.08.2023 в 21:39, NikitaDob сказал:

Да, было бы неплохо доработать AV block remover так, чтобы он удалял задачи на запуск вредоносного батника, восстанавливающего майнер через PowerShell, и сам батник вместе с самораспаковывающимися архивами.

скоро

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Flawor_Swift
      Автор Flawor_Swift
      Доброго времени суток! В состоянии покоя через некоторое время ноутбук начинает сильно шуметь, как будто бы я на нем активно активно работаю. Из необычного еще  окно "Безопасность  Windows" При открытии фризит и выдает черный экран на пару минут. Другие проявления типичные майнеру, по типу невозможности зайти на сайты, создавать папки или запускать антивирусы отсутствуют.  KVRT и Cureit  не нашли ничего вредоносного

      CollectionLog-2024.11.14-01.14.zip
    • Fast_diesel
      Автор Fast_diesel
      Касперский тотал секьюрити вирус HEUR: Trojan. Multi.GenBadur.genw Расположение: Системная память, после лечения с перезагрузкой опять его нашел, а потом лечение с перезагрузкой и опять он тут. KTS его тоже находит, лечит, но после перезагрузки он опять тут. Windows 11, с последними обновлениями.
      Данная проблема возможно появилась после скачивания и установки игр с Torrent с сайта https://stoigr.org/dlya-geimpada/10267-hogwarts-legacy.html
      CollectionLog-2024.11.08-21.18.zip
    • wolfson
      Автор wolfson
      Доброго дня. Столкнулся с проблемой. На компьютере, вероятно, был майнер который загружал ссд и оперативку. Решил переустановить виндовс 10, но к несчастью, после перезагрузки, всё заканчивается на выборе носителя с установенной ОС Windows с сайта производителя. До этого хотел обновить биос и всё делал по инструкции с сайта материнки, но процесс зависает и пишет, что файл поврежден. После, по видосикам с ютуба, скачал avbr и miner search, всё делал по инструкции. И, вроде как, всё хорошо, но переустановить виндовс всё так же не получается. С биосом такая же проблема. 
      Люди добрые, огромнейшая просьба подсказать как справиться с данной проблемой. Спасибо заранее.
    • Medoed Stepa
      Автор Medoed Stepa
      Недавно заметил что у меня очень сильно начал греться процессор, после запуска компьютера, FPS  начал проседать и.т.д
      Захожу в диспетчер задач вначале высокая загрузка, потом падает ( на форумах говорится что это нормально в первые 2-3с пока диспетчер задач считывает информацию), но  проблема в том что заходя через приложение MyASUS, показывается загрузка процессора которая в среднем составляет 30-40%, при только открытом этом приложении , дальше при открытии диспетчера задач загрузка падает до 3%  что в диспетчере задач что в приложении , но при закрытии сразу возрастает до 40%, так же сегодня заметил что если отключить интернет то загрузка тоже падает . Одним словом майнер в чистом виде.
      Писать бы на форум не стал не попробовав базовые способы решения , что было сделано: полная проверка через KVRT , Dr web Cureit , ручная проверка через монитор ресурсов , все виды проверок через Microsoft Defender (он кстати нашел троян и 1 вирус, но всё равно удалив их проблема не решилась)
       Физические проблемы с процессором и видеокартой сомнительны так как при запуске приложений-игр ,производительность заметно возрастает если держать свернутым диспетчере задач (производительность не возрастала бы в обратном случае)
      Все драйвера обновлены до последних версий и windows тоже, так же проверял на системные сбои через приложение LatencyMon (проблемы не были найдены)
      Из последнего ,что запускал необычного обходы для dicord и youtube  -Zapret , через командные строки , А так всегда пользуюсь только лицензированным ПО  и соблюдаю цифровую гигиену.
      Есть предположение что так как Zapret был запущен через командую строку от имени администратора ,антивирусы не могут его найти так как считают его расширением или программным ПО - Приложением (на данный момент  Zapret был деинсталлирован через командную строку (предположительно)) 
       
      Снизу прикрепил ,то что нашел Microsoft Defender
       
       


    • David Faker
      Автор David Faker
      Здравствуйте. Недавно скачал Microsoft Office и, видимо, там попался майнер. Долго боролся с ним. Еле запустил avbr. Потому что даже смена имени и директории не помогала. Вирус запрещал использовать msconfig, диспетчер задач, разнообразные службы Windows, в некоторых ситуациях запрещал использование CMD
       
      После первой попытки запустить AVbr - видимо сработала какая-то защита майнера и он обрубал все попытки разобраться в проблеме, не давая ничего сделать в этом направлении.
       
      Если кто встречался - поможет запуск AVbr в безопасном режиме.
       
      Помогите пожалуйста понять, удалился ли майнер с компьютера, а также остались ли хвосты. Прилагаю файлы с FRST. Заранее, спасибо вам большое
      FRST.txt Addition.txt
×
×
  • Создать...