Перейти к содержанию

[РЕШЕНО] Поймали вирусы, переименовались службы


Рекомендуемые сообщения

Опубликовано

Windows Server 2019, провели проверку утилитой KVRT. Утилита нашла в системе 2 угрозы: Trojan.Multi.BroSubsc.gen (System Memory), HEUR:Trojan.Multi.Agent.gen (C:\Windows\System32\Tasks\dialersvc64). Для первой угрозы предложено Лечить, для второй Удалить. Пока не выполняли действий над угрозами. Также в системе было обнаружено переименование служб:

wuauserv_bkp
UsoSvc_bkp
BITS_bkp
WaaSMedicSvc_bkp
dosvc_bkp

Файлы логов AutoLogger, FRST в вложении.

 

FRST64.7z CollectionLog-2025.01.22-21.20.zip CollectionLog-2025.01.22-21.01.7z FRST64.7z

Опубликовано

Добавьте, пожалуйста, отчеты из KVRT

+

Добавьте, дополнительно, образ автозапуска в uVS

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Опубликовано
13 часов назад, Dmitriy_23 сказал:

Для первой угрозы предложено Лечить, для второй Удалить. Пока не выполняли действий над угрозами.

Да, надо выполнить рекомендации из отчета KVRT, через задачу C:\WINDOWS\SYSTEM32\TASKS\DIALERSVC64

запускается powershell с деструктивной функцией.

 

image.png

Опубликовано

Выполняем очистку системы без перезагрузки системы:

 

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы.

;uVS v4.99.6v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;---------command-block---------
unload %Sys32%\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE
deltsk %Sys32%\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\SEARCH\SETUP.EXE
delref WD_EXCLUSION:\.EXE
delref %SystemDrive%\USERS\USER_2\APPDATA\LOCAL\TEMP\DCONTROL.EXE
delref %SystemDrive%\PROGRAMDATA
delref %Sys32%\CONFIG\SYSTEMPROFILE
apply

QUIT

далее,

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

Сделайте еще раз проверку в KVRT

отчет о новой проверке добавьте в ваше сообщение.

Опубликовано
14 часов назад, Dmitriy_23 сказал:

Также в системе было обнаружено переименование служб:

wuauserv_bkp
UsoSvc_bkp
BITS_bkp
WaaSMedicSvc_bkp
dosvc_bkp

Файлы логов AutoLogger, FRST в вложении.

По исправлению.

Твики для восстановления работы системных служб имеет смысл извлечь из реестра подобной чистой системы

Windows Server 2019 Standard 1809 x64 (NT v10.0 SP0) build 17763  [C:\WINDOWS]

Чуть позже (после завершения очистки) напишу алгоритм восстановления системных, и удаления подменных служб

Опубликовано

Рекомендации выполнены.

report_2025.01.23_11.12.59.klr.enc1.7z 2025-01-23_11-11-47_log.txt

 

6 часов назад, safety сказал:

Твики для восстановления работы системных служб имеет смысл извлечь из реестра подобной чистой системы

Импортировал ветки реестра из рабочей (чистой) системы

Опубликовано (изменено)

Хорошо,

 

судя по логу выполнения скрипта

Завершение процессов...

Цитата

Успешно выгружен C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE [pid=17480]
Успешно выгружен C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE [pid=27024]
Успешно выгружен C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE [pid=29860]
Успешно выгружен C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE [pid=42220]
Успешно выгружен C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE [pid=43120]
Успешно выгружен C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE [pid=43272]


Удаление ссылок...
(!) Обнаружен подозрительно длинный параметр в файле: C:\WINDOWS\SYSTEM32\TASKS\DIALERSVC64

 

задача должна была быть удалена,

добавьте, пожалуйста, новый образ автозапуска для контроля.

Изменено пользователем safety
Опубликовано (изменено)

По новому образу:

powershell нет в процессах, значит задача с его запуском не запустилась, т.е. задача удалена. И это главное.

+

разработчик запросил этот файл для исправления:

Цитата

Ошибка компиляции json, отправьте указанный файл для решения проблемы:
C:\USERS\USER_9\APPDATA\LOCAL\Google\Chrome\User Data\Default\Preferences

-------------

 

По восстановлению работы поврежденных служб:

 

Запускаем каждый из полученных вами файлов *.reg от имени Администратора, разрешаем внести изменения в реестр

Перезагружаем систему,

 

Далее,

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
S2 BITS_bkp; C:\Windows\System32\qmgr.dll [1396224 2024-05-02] (Microsoft Windows -> Microsoft Corporation)
S3 dosvc_bkp; C:\Windows\system32\dosvc.dll [1567744 2024-05-02] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\Windows\system32\usocore.dll [907264 2024-08-28] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [360960 2024-05-02] (Microsoft Windows -> Microsoft Corporation)
S2 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3042816 2024-05-02] (Microsoft Windows -> Microsoft Corporation)
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Сделайте новые логи FRST для контроля.

Изменено пользователем safety
Опубликовано
44 минуты назад, safety сказал:

+

разработчик запросил этот файл для исправления:

Запаковал файл

Preferences.7z

Опубликовано

Хорошо, по файлу отпишу позже, ждем логи FRST после восстановления служб и очистки левых служб.

Опубликовано
1 час назад, safety сказал:

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Сделайте новые логи FRST для контроля.

Выполнено

Fixlog.txt FRST.txt

Опубликовано

службы _bkp очищены.

 

завершающие шаги:

 

    Загрузите SecurityCheck by glax24 & Severnyj, https://safezone.cc/resources/security-check-by-glax24.25/ сохраните утилиту на Рабочем столе и извлеките из архива.
    Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
    Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
    Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
    Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
    Прикрепите этот файл к своему следующему сообщению.

 

Опубликовано
3 часа назад, safety сказал:

Загрузите SecurityCheck by glax24 & Severnyj, https://safezone.cc/resources/security-check-by-glax24.25/ сохраните утилиту на Рабочем столе и извлеките из архива.

Выполнено.

SecurityCheck.txt

 

6 часов назад, safety сказал:

через задачу C:\WINDOWS\SYSTEM32\TASKS\DIALERSVC64

запускается powershell с деструктивной функцией.

Я правильно понимаю, что это майнер?

Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • shougo04
      Автор shougo04
      Всем привет. Первый раз пишу сюда, отчаялся сильно. Уже качал Malwarebytes который на компе выявил 1 троян, несколько значений реестра от программы DriverIdentifier и что-то ещё, что я забыл. После того как я всё это удалил, вручную почистил реестр от подозрительных, старых, лишних значений, всё равно тыкаю Диспетчер задач - нагрузка ЦП (не видюхи) 40%+ и при открытии диспетчера падает соответственно до 1-3%. Так же использовал программу M1nerSearch, которая так же удалила 4 файла и 1 значение реестра по-моему, лог сохранился, если что прикреплю. 
       
      Я зашёл в Speccy и там обнаружил вкладку "планировщик задач" где увидел очень подозрительные процессы.  В планировщике задач обнаружил Client Helper(который MinerSearch как вирус определял), и Edgeupdate которые как я выяснил могут являться знаками наличия вируса. Вирусы получал крайне редко, и то очень давно, поэтому несильно шарю в них, извините.
      Я сейчас скачаю программу Revo uninstaller и попробую с помощью неё ещё что-нибудь сделать. Так же отмечу что вытаскивал кабель инета, устанавливал CCleaner, чистил комп, чистил реестр с помощью неё, потом обратно инет подключал. Так же исправлял ошибки реестра программой Wise Registry Cleaner.
       
      На всякий случай прикрепил 2 лога от MinerSearch, 1-й в котором указаны кол-во запусков 1 это тот лог, который при первом запуске мне и показал 5 проблем. 
      2 лог это лог уже второй проверки после всех вышеописанных манипуляций с ПК, он не обнаружил проблем, но как видите они остались, так что хз.
       
       
      Скрин подозрительной активности в Планировщике.
       
       
      MinerSearch_12_17_2025_7-15-07_PM.log MinerSearch_12_17_2025_8-23-48_PM.log
    • Кустас
      Автор Кустас
      Компьютер начал ОЧЕНЬ сильно тупить, даже проводник пр и входе в папку открывает её секунд 10.
      CollectionLog-2025.12.13-21.05.zip
    • 420427
      Автор 420427
      Здравствуйте, какой-то вирус залез в комп, помогите, пожалуйста, избавиться.
      CollectionLog-2025.12.12-15.19.zip
    • NoEndOutcry
      Автор NoEndOutcry
      Добрый день, у меня проблема с тормозами и постоянными перезагрузками на компьютере с виндовс 10, своими силами решить не удалось, автозапуск чистил, антивирусом проверял, посторонних процессов не вижу. 
       

      Процессор    AMD Ryzen 9 5900X 12-Core Processor               3.70 GHz
      Оперативная память    128 ГБ
       
      Проблема проявляется иногда раз в неделю в виде синего экрана, иногда 10 раз за день, как сегодня. Комп повисает и просто перестает на что-то реагировать. Регулярно начинают выть вентиляторы, хотя нагрузки никакой нет, а железо достаточно мощное что бы мелкие фоновые задачи решать не греясь. Подозреваю что закрался майнер или какой-то вирус. Установлен касперский премиум, но он проблем не видит. 
      В диспетчере задач тоже не вижу ничего подозрительного. Прогнал сканирование и логгер, результаты прикладываю. 
      Буду признателен совету как поступить для дальнейшей диагностики и по решению проблемы. 
       

      CollectionLog-2025.12.10-14.30.zip
    • Dmitry2811
      Автор Dmitry2811
      сегодня играл в игру и обратил внимание, что в целом комп стал совсем слабо тянуть по производительности, потыкался в диспетчере задач с ЦП, все стало норм, обратил внимание что снова появились просадки, когда открывал диспетчер то все было ок, дальше самое интересное)))
      я начал изучать подробности и процессы и диспетчер сам начал закрываться, я сразу же полез в браузер качать антивирусы и все такое прочее, как вдруг браузер резко начал сам выключаться)) с командной строкой и диспетчером задач то же самое, после перезагрузки еле как успел врубить безопасный режим, скачал cureit, нашло 28 пунктов, далее будут на фото, сори что в таком качестве, я не знаю правильно сделал или нет что удалил их, но на нервяке был сильном, через AV block remover прогнал, удалил пользователя John, потом на второй раз прошел cureit, нашло одного трояна, и второй раз шлифанул через AVBR, через скрытый файл hosts вернул доступ к сайтам, прошу прощения что так расписал, но на таком нервяке сейчас…помогите пожалуйста, добить этот треш
       
×
×
  • Создать...