[РЕШЕНО] Trojan:PowerShell/Powdow.HNDD!MTB

[FedyaSochi]

Addition.txt FRST.txt

 

Похоже проблема решена 🙌 Спасибо всем огромное🤝 Двое суток не спал из-за этой сволочи. Обнял приподнял 🫶

[safety]

да, задачи с vmware ушли.

этот файл проверьте:

C:\PROGRAMDATA\CHROMEDRIVER\LOGS.DAT

Возможно было логирование данных, может что-то и утекло.

 

Цитата

Date: 2025-02-01 07:46:47
Description:
Программа Антивирусная программа Microsoft Defender обнаружила вредоносные или другие потенциально нежелательные программы.
Имя: Trojan:PowerShell/Powdow.HNDD!MTB
ИД: 2147931935
Серьезность: Критический
Категория: Троян
Путь: containerfile:_C:\ProgramData\chromedriver\logs.dat; file:_C:\ProgramData\chromedriver\logs.dat->(UTF-16LE)
Начало обнаружения: Локальный компьютер
Тип обнаружения: Конкретный
Источник обнаружения: Защита в реальном времени:
Пользователь: DESKTOP-JFE2ANS\Пользователь
Название процесса: C:\Users\73B5~1\AppData\Local\Temp\Wordpadarchive_x86.exe

--------------

если других проблем на ПК не осталось:

 

завершающие шаги:

 

    Загрузите SecurityCheck by glax24 & Severnyj, https://safezone.cc/resources/security-check-by-glax24.25/ сохраните утилиту на Рабочем столе и извлеките из архива.
    Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
    Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
    Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
    Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
    Прикрепите этот файл к своему следующему сообщению.

Изменено 3 февраля пользователем safety

[FedyaSochi]

04.02.2025 в 02:17, safety сказал:

этот файл проверьте:

C:\PROGRAMDATA\CHROMEDRIVER\LOGS.DAT

Именно этот файл и собирал все логи, я его удалил, теперь не проверить. Но остался файл C:\Users\Пользователь\AppData\Local\Temp\Wordpadarchive_x86.exe папке  который запускал одноименный процесс

SecurityCheck.txt

 

20 часов назад, FedyaSochi сказал:

Но остался файл C:\Users\Пользователь\AppData\Local\Temp\Wordpadarchive_x86.exe

Кстати об этом файле не нашел ни одного упоминания в сети, иконка у него говорящая сама за себя в виде глаза. Пока еще не удалил, мне его удалить или он нужен будет для исследования?

[safety]

Сам по себе этот файл чистый, подписан Microsoft.

https://www.virustotal.com/gui/file/bf24b2f3e3a3c60ed116791b99e5421a4de34ac9c6e2201d34ab487e448ce152/details

Возможно с измененным именем, например таким:

Tracefmt (Tracefmt.exe) — это программа командной строки, которая форматирует и отображает сообщения трассировки из файла журнала трассировки событий (ETL) или сеанса трассировки в режиме реального времени. Tracefmt может отображать сообщения в окне командной строки или сохранять их в текстовом файле.

 

Судя по тому что файл был активен, он был запущен другим процессом. В теме он не нужен. Можно удалить. Самостоятельно не запускается, возможно запускался через задачу с vmware.

--------------

SecurityCheck гляну чуть позже.

 

По возможности обновите данное ПО:

 

OpenOffice 4.1.13 v.4.113.9810 Внимание! Скачать обновления
------------------------------- [ Backup ] --------------------------------
Microsoft OneDrive v.24.244.1204.0003
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 22.01 (x64) v.22.01 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
WinRAR 6.11 (64-разрядная) v.6.11.0 Внимание! Скачать обновления

K-Lite Codec Pack 17.2.0 Full v.17.2.0 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Yandex v.24.12.4.1049 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

 

Изменено 5 февраля пользователем safety

[safety]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".