Вирус

[Salieri]

Доброго времени суток , появился новый администратор, система блокирует доступ к просмотру, компьютер начал тормозить, греться, хром начал зависать.

Ниже прикреплю логи!CollectionLog-2023.09.15-17.02.zip

[thyrex]

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\zhurk\AppData\Roaming\amd64_microsoft-windows-appidcore.resources_31bf3856ad364e35_10.0.22621.1_ru-ru_040fa5e18d68f580\vulkan-1-999-0-0-0.exe','');
 QuarantineFile('C:\Users\zhurk\AppData\Roaming\amd64_system.reflection.emit_b03f5f7f11d50a3a_4.0.15840.3_none_1d71e8828458f472\iasdatastore.exe','');
 DeleteSchedulerTask('C-6-8-45-1364957677-1077969642-1192670919-4518\{82CTOCPY-QUF-L4DA-KL2V-OGDPAEGDARDQ}');
 DeleteSchedulerTask('C-9-2-83-1049968903-1131195973-1072399837-9805\{B6ZYVVV2-THWL-9P48-8GPN-LWVWFD3QZAUM}');
 DeleteFile('C:\Users\zhurk\AppData\Roaming\amd64_system.reflection.emit_b03f5f7f11d50a3a_4.0.15840.3_none_1d71e8828458f472\iasdatastore.exe','64');
 DeleteFile('C:\Users\zhurk\AppData\Roaming\amd64_microsoft-windows-appidcore.resources_31bf3856ad364e35_10.0.22621.1_ru-ru_040fa5e18d68f580\vulkan-1-999-0-0-0.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Salieri]

15.09.2023 в 19:55, thyrex сказал:

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\zhurk\AppData\Roaming\amd64_microsoft-windows-appidcore.resources_31bf3856ad364e35_10.0.22621.1_ru-ru_040fa5e18d68f580\vulkan-1-999-0-0-0.exe','');
 QuarantineFile('C:\Users\zhurk\AppData\Roaming\amd64_system.reflection.emit_b03f5f7f11d50a3a_4.0.15840.3_none_1d71e8828458f472\iasdatastore.exe','');
 DeleteSchedulerTask('C-6-8-45-1364957677-1077969642-1192670919-4518\{82CTOCPY-QUF-L4DA-KL2V-OGDPAEGDARDQ}');
 DeleteSchedulerTask('C-9-2-83-1049968903-1131195973-1072399837-9805\{B6ZYVVV2-THWL-9P48-8GPN-LWVWFD3QZAUM}');
 DeleteFile('C:\Users\zhurk\AppData\Roaming\amd64_system.reflection.emit_b03f5f7f11d50a3a_4.0.15840.3_none_1d71e8828458f472\iasdatastore.exe','64');
 DeleteFile('C:\Users\zhurk\AppData\Roaming\amd64_microsoft-windows-appidcore.resources_31bf3856ad364e35_10.0.22621.1_ru-ru_040fa5e18d68f580\vulkan-1-999-0-0-0.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

 

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

Не могу найти где там скрипт выполнить в меню, можно фото ?

[thyrex]

https://forum.kasperskyclub.ru/topic/7607-kak-vypolnit-skript-v-avz-i-pofiksit-v-hijackthis/