Перейти к содержанию

[РЕШЕНО] Поймали вирусы, переименовались службы


Рекомендуемые сообщения

Опубликовано (изменено)
Цитата

Я правильно понимаю, что это майнер?

Возможно, Powershell пытался загрузить вредоносное ПО

 

Сделайте контрольную проверку в KVRT, напишите по результату есть ли обнаружения вредоносов или нет.

 

По возможности обновите указанное ПО:

 

Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^

COMODO Internet Security v.12.2.2.8012 Внимание! Скачать обновления

Ghostscript GPL 10.01.2 (Msi Setup) v.10.01.2 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Oracle VM VirtualBox 7.0.20 v.7.0.20 Внимание! Скачать обновления
Microsoft SQL Server 2012 Native Client  v.11.4.7515.2 Данная программа больше не поддерживается разработчиком.

Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.32.31326 v.14.32.31326.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.32.31326 v.14.32.31326.0 Внимание! Скачать обновления

Adobe Acrobat v.23.006.20380 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^

Google Chrome v.131.0.6778.265 Внимание! Скачать обновления

Reg Organizer v.9.61 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция

Изменено пользователем safety
Опубликовано
19 минут назад, safety сказал:

Сделайте контрольную проверку в KVRT, напишите по результату есть ли обнаружения вредоносов или нет.

Остался Trojan.Multi.BroSubsc.gen System Memory Троянская программа.

report_2025.01.23_14.28.40.klr.enc1.7z

Опубликовано (изменено)

А если выбрать Лечить? и еще раз проверить?

 

Цитата

Вердикт Trojan.Multi.BroSubsc.gen выдается при проверке объектов автозапуска в случае, если в настройках браузеров (сейчас поддерживаются Сhrome, Yandex, Opera, Vivaldi, в будущем список будет расширен) прописаны детектирующиеся URL, которые выдают эти рекламные нотификации. При лечении статус таких URL меняется с «Разрешить» на «Заблокировать».
Указанная сигнатура была добавлена 13.02.2019 г.

https://habr.com/ru/articles/442026/

 

Браузер какой у вас был запущен при проверке KVRT?

Изменено пользователем safety
Опубликовано

пробуйте выполнить такой скрипт в uVS без перезагрузки системы

 

;uVS v4.99.6v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;---------command-block---------
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPBCGCPEIFKDJIJDJAMBAAKMHHPKFGOEC%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://DROPMEFILES.COM:443,*
apply
QUIT

 

Опубликовано
53 минуты назад, safety сказал:

А если выбрать Лечить? и еще раз проверить?

Данный вариант смогу проверить только вечером, т.к. нужна перезагрузка сервера, а сервер используется в роли терминального сервера и сейчас работают пользователи. 

 

55 минут назад, safety сказал:

Браузер какой у вас был запущен при проверке KVRT?

Goggle Chrome и скорее всего Yandex. Говорю "скорее всего", т.к. еще работают пользователи в терминале.

48 минут назад, safety сказал:

пробуйте выполнить такой скрипт в uVS без перезагрузки системы

Выполнено, лог в вложении.

2025-01-23_15-06-30_log.txt

Опубликовано (изменено)

Возможно, эта запись была помечена для удаления при лечении в KVRT

delref HTTPS://DROPMEFILES.COM:443,*

Вообщем, надо будет смотреть состояние после перезагрузки системы.

Я по этой причине все скрипты стараюсь писать без перезагрузки, так как это сервер.

Изменено пользователем safety
Опубликовано
5 часов назад, safety сказал:

Вообщем, надо будет смотреть состояние после перезагрузки системы.

Я по этой причине все скрипты стараюсь писать без перезагрузки, так как это сервер.

Перезагрузили сервер, провели еще раз проверку KVRT, система чистая. Спасибо вам большое!

Опубликовано

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • bl1nchik2287
      Автор bl1nchik2287
      Вирус в папке ProgramData, создает папку ztbhbqffszlu. После удаления восстанавливается. Началось после активации офис через KMS Auto. Видел похожую тему, потому прилагаю результаты скана frst64. Пожалуйста, помогите.
      FRST.txt Addition.txt
    • admin123
      Автор admin123
      1. Проверял через Dr.Web cureit - Ничего не найдено, пишет, что чисто
      2. Вчера захожу в диспетчер задач, а тут проводник грузит ЦП на  50 % постоянно, открываю Threads в Proccec Explorer, там какая то dll.
      Ещё заметил одну особенность, при отключение интернета эта нагрузка пропадает, подскажите что делать, винду не хочу переустанавливать.

      CollectionLog-2026.01.12-00.34.zip
    • Two2Face
      Автор Two2Face
      Добрый день. Сегодня залез в диспетчер задач, а там я заметил, что один из процессоров нагружает 18% ЦП. Это - 'Проводник'. После я решил посмотреть в программе Process Explorer, там наш проводник уже высвечивается, как - 'explorer.exe', без иконки (внизу бегают разные explorer.exe, которые высвечиваются с иконками в виде жёлтой папки, как в диспетчере задач, а этот без иконки и под 18%, но возможно здесь я чего-то не понимаю). Ещё память нагружена под 29, но у меня открыт гугл (много вкладок), Дискорд, ВПН и протокол, поэтому не могу быть полностью уверен в том, что в этом пункте тоже вирус (не знаю, нужно ли это здесь, но 5090 и 9950x3d). Кстати, когда я пытаюсь завершить проводник в диспетчере задач, то у меня комп постоянно уходит в перезагрузку (хотел закрыть процесс, что бы потом запустить новую задачу, вдруг завис). 


      CollectionLog-2026.01.11-07.51.zip
    • Николай PO
      Автор Николай PO
      Добрый день! Помогите пожалуйста. Производительность ноутбука на windows 11, не устанавливаются определенные антивирусы (malwarebytes и другие).
      Данная проблема на двух ноутбуках:
      1.появились мелкие подлагивания в играх иногда в других программах;
      2.не устанавливается антивирус malwarebytes, при установки других антивирусов и запуске проверки появляется синий экран;
      3.инструмент smartfix не устанавливается полностью;
      4. переустановка операционной системы не помогла;
      5.установка на другой ssd не помогла;
      6. переустановка биос не помогла.
      Прикрепляю результаты сканирования в Farbar Recovery Scan ToolAddition.txtFRST.txt
    • DEFFlorator
      Автор DEFFlorator
      Обнаружил данный вирус, так как при подключении к Инету сильно нагружается и греется ЦП. Использование почти всегда 100 %, частоты выше 3,5 ГГц при штатной 2,3 ГГц. После поисков ответов в инете обнаружил связанный с вирусом файл explorer.exe, в разделе "Безопасность" которого имеется некий админ. Изменение разрешений невозможно (требуется разрешение этого самого левого админа), при удалении сразу появляется вновь.
      Сам вирус находится в папке Program Files.



      CollectionLog-2026.01.09-13.55.zip

×
×
  • Создать...