[РЕШЕНО] HEUR:Trojan.Multi.GenBadur.genw

[skobochki]

System Memory
Троянская программа

Не работает теперь нормально интернет, иногда блокируется подключение

KVRT удалить не смог

CollectionLog-2024.12.26-03.40.zip FRST.7z

[thyrex]

Здравствуйте.

 

Цитата

 

Client Helper 6.1.6

qBittorrent 8.2.9

 

удалите через Панель управления - Программы и компоненты

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\Client Helper\Client Helper.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\wext.vbs','');
 TerminateProcessByName('c:\program files\qbittorrent\pro\qbittorrentpro.exe');
 DeleteFile('c:\program files\qbittorrent\pro\qbittorrentpro.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\wext.vbs','64');
 DeleteSchedulerTask('EdgeUpdateTaskUser');
 DeleteSchedulerTask('EdgeUpdate');
 DeleteSchedulerTask('qBittorrentProUpdaterV5_t1729079853941');
 DeleteSchedulerTask('qBittorrentProUpdaterV6_t1729079856011');
 DeleteSchedulerTask('RunGame');
 DeleteFile('C:\Program Files\Client Helper\Client Helper.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[skobochki]

Все сделано

CollectionLog-2024.12.26-04.19.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[skobochki]

а.7z

[thyrex]

1 час назад, thyrex сказал:

Цитата

Client Helper 6.1.6

qBittorrent 8.2.9

удалите через Панель управления - Программы и компоненты

Это я для себя написал что-ли? Приступайте к удалению, а только потом выполните остальное.

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
2024-10-16 21:57 - 2024-12-26 04:13 - 000000000 ____D C:\Users\psiblade\AppData\Roaming\qBittorrentPro
2024-10-16 21:57 - 2024-12-21 21:11 - 000000323 _____ C:\Users\psiblade\qBittorrentPro.dat
2024-10-16 21:57 - 2024-10-16 21:57 - 000000000 ____D C:\Users\psiblade\AppData\Local\qbittorrentpro-updater
AlternateDataStreams: C:\ProgramData\battle_sync_dump:912756DFE8 [6018]
AlternateDataStreams: C:\ProgramData\network_sync_dump:4045592F0E [6018]
AlternateDataStreams: C:\ProgramData\system.conf:0F57F3FDE6 [6018]
AlternateDataStreams: C:\ProgramData\system.conf:422D4106AB [6018]
AlternateDataStreams: C:\ProgramData\tick_sync_dump:F138B23BB5 [6018]
AlternateDataStreams: C:\ProgramData\total_check_dump:B72ECBE159 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Access.lnk:A1B76439FE [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoHotkey Dash.lnk:B4B3884CBE [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoHotkey Window Spy.lnk:88F1223DAF [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Blend for Visual Studio 2022.lnk:D689419597 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\BlueStacks 5.lnk:088221F38A [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\BlueStacks Multi-Instance Manager.lnk:FE00AE19CB [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Dropbox Redeem Launcher.lnk:5F7248A1A5 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mapset Verifier.lnk:C098E66317 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\qBittorrent.lnk:56C52B7616 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Visual Studio 2022.lnk:F94DB65675 [6018]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Visual Studio Installer.lnk:C2E9D79AC5 [5162]
FirewallRules: [TCP Query User{8972FA9F-70B2-4845-825D-1AF92366D349}C:\users\psiblade\appdata\local\discord\app-1.0.9158\discord.exe] => (Allow) C:\users\psiblade\appdata\local\discord\app-1.0.9158\discord.exe => Нет файла
FirewallRules: [UDP Query User{7FB1EF98-E2FB-403E-A12B-004F543B71EC}C:\users\psiblade\appdata\local\discord\app-1.0.9158\discord.exe] => (Allow) C:\users\psiblade\appdata\local\discord\app-1.0.9158\discord.exe => Нет файла
FirewallRules: [{CB057633-666F-4B6E-A137-CF1F3370DDF3}] => (Allow) C:\Program Files (x86)\BlueStacks X\Cloud Game.exe => Нет файла
FirewallRules: [{BF0CC14D-E1F3-4A2E-AE5C-8B7C8A1057C2}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Factorio\bin\x64\factorio.exe => Нет файла
FirewallRules: [{CEC959D2-6764-4239-9CFB-38A3576DDD77}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Factorio\bin\x64\factorio.exe => Нет файла
FirewallRules: [{C6EF604B-AF23-49A3-80A2-1D89EED57386}] => (Allow) D:\SteamLibrary\steamapps\common\Total War ROME REMASTERED\launcher\launcher.exe => Нет файла
FirewallRules: [{D70BAB5E-E068-4F87-9F05-A64F0C573F48}] => (Allow) D:\SteamLibrary\steamapps\common\Total War ROME REMASTERED\launcher\launcher.exe => Нет файла
FirewallRules: [{24B84926-F17E-4852-876D-36DA4A66D811}] => (Allow) C:\Program Files (x86)\Overwolf\0.266.1.25\OverwolfBrowser.exe => Нет файла
FirewallRules: [{28E4A6C4-298F-49E6-9508-706C1D99583C}] => (Allow) C:\Program Files (x86)\Overwolf\0.266.1.25\OverwolfBrowser.exe => Нет файла
FirewallRules: [{CC970709-44AA-4E45-BE2E-9C773F2F8C7E}] => (Block) C:\Program Files (x86)\Overwolf\0.266.1.25\OverwolfBrowser.exe => Нет файла
FirewallRules: [{C45C2668-4851-4345-A11E-5283E6107CE7}] => (Block) C:\Program Files (x86)\Overwolf\0.266.1.25\OverwolfBrowser.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[skobochki]

9 минут назад, thyrex сказал:

1 час назад, thyrex сказал:

Цитата

Client Helper 6.1.6

qBittorrent 8.2.9

удалите через Панель управления - Программы и компоненты

Это я для себя написал что-ли? Приступайте к удалению, а только потом выполните остальное.

С удалением Client Helper есть проблема: unistall файла нету
qBittorrent удалил

Fixlog.txt

[thyrex]

Удалите принудительно с помощью Geek Uninstaller

[skobochki]

Готово

 

Что мне нужно делать дальше?

[thyrex]

Проблема решена?

 

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[skobochki]

SecurityCheck.txt

Да, вроде проблема решена

Спасибо

[thyrex]

По возможности исправьте:

 

Git v.2.46.0 Внимание! Скачать обновления
PuTTY release 0.81 (64-bit) v.0.81.0.0 Внимание! Скачать обновления
Python 3.12.5 (64-bit) v.3.12.5150.0 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.94.2 Внимание! Скачать обновления
AnyDesk v.ad 8.0.14 Внимание! Скачать обновления
FileZilla 3.67.0 v.3.67.0 Внимание! Скачать обновления
Microsoft OneDrive v.24.226.1110.0003 Внимание! Скачать обновления
7-Zip 24.08 (x64) v.24.08 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Discord v.1.0.9158 Внимание! Скачать обновления
Java 8 Update 421 v.8.0.4210.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u431-windows-i586.exe - Windows Offline)^
 

На этом закончім.

[skobochki]

Спасибо, можно закрывать тему

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".