[РЕШЕНО] Вирус, маскирующийся под qBitTorrentPro + SteamUpdate

[preamble]

В очередной раз здравствуйте!

 

После проверки ПК через KasperskyFree было обнаружено немало вредоносного софта, явно маскирующегося под относительно популярные программы.

 

Чистку антивирусом не проводил, хотелось бы изучить структуру и понять возможный нанесенный вред.

 

Заранее благодарю за ответ!

CollectionLog-2025.03.31-18.48.zip

[thyrex]

Откуда взялся этот компьютер, часть программ на котором совпадает с предыдущей темой, причем фейковая качалка здесь уже присутствует?

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files\nodejs\nodeupdate.vbs','');
 QuarantineFile('C:\Program Files\SteamUpdate\SteamUpdate.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\wext.vbs','');
 DeleteFile('C:\Program Files\qBittorrentPro\qBittorrentPro.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qBittorrentPro','x32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qBittorrentPro','x64');
 DeleteFile('C:\ProgramData\Microsoft\wext.vbs','64');
 DeleteSchedulerTask('EdgeUpdateTaskUser');
 DeleteSchedulerTask('ICTorrent2UpdaterV1_t1725310506649');
 DeleteSchedulerTask('ICTorrent2UpdaterV2_t1725310508722');
 DeleteFile('C:\Program Files\SteamUpdate\SteamUpdate.exe','64');
 DeleteFile('C:\Program Files\nodejs\nodeupdate.vbs','64');
 DeleteSchedulerTask('MyNode');
 DeleteSchedulerTask('OperaUpdateTask');
 DeleteSchedulerTask('OperaUpdate');
 DeleteSchedulerTask('qBittorrentProUpdaterV5_t1725310502480');
 DeleteSchedulerTask('qBittorrentProUpdaterV6_t1725310504546');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Quote

qBittorrent 8.2.8

SteamUpdate 5.3.9

удалите через Панель управления – Программы и компоненты или принудительно с помощью Geek Uninstaller

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[preamble]

А это ноутбук, который призван быть переносной версией основного ПК. Забавно, что установка систем на обеих машинах произошла почти день-в-день (24.11.2024 и 25.11.2024), оттуда и похожий набор дат и программ.

 

К сожалению, quarantine.7z  весит более 20мб (а именно, 45мб), поэтому, форма не дает его загрузить . Могу разделить по разным архивам и отправить в разных формах?

 

Программы удалил через панель управления, креплю логи

CollectionLog-2025.03.31-22.08.zip

Изменено 31 марта пользователем preamble

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[preamble]

FRST.7z

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-3531577901-3421671551-141069675-1001\...\Run: [hiddify] => C:\Program Files\Hiddify\Hiddify.ex (Нет файла)
Task: {02DBFAD6-B476-43A0-8DAA-FAEC47DFE454} - System32\Tasks\Lenovo\Vantage\StartupFixPlan => C:\Program Files (x86)\Lenovo\VantageService\4.2.24.0\\uninstall.exe  /repair (Нет файла)
Task: {077BA067-7C15-40F0-B22E-C9DC2A54B4A2} - System32\Tasks\Microsoft\Windows\Location\Notifications => %windir%\System32\LocationNotificationWindows.exe  (Нет файла)
Task: {F3E6E7ED-A196-4E44-8803-55FAB3AD4E29} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Нет файла)
C:\Users\rainb\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\dmkoapmepmifamiobpfggoambndojenm
C:\Users\rainb\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\hlbpcopfjjoladmhcecnhdkgjclgchho
C:\Users\rainb\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\lahjoicbbncamijpghgoomklfbmnlmkd
S3 Rockstar Service; "C:\Program Files\Rockstar Games\Launcher\RockstarService.exe" [X]
R2 RuDesktop; "C:\Program Files\RuDesktop\RuDesktop" --service [X]
2025-03-25 15:55 - 2025-03-31 17:47 - 000003643 _____ C:\Users\rainb\ex-list2.json
2025-03-25 15:55 - 2025-03-31 17:47 - 000000383 _____ C:\Users\rainb\bs-list.json
2025-03-25 15:55 - 2025-03-25 15:55 - 000000207 _____ C:\Users\rainb\e-user.json
2025-03-25 15:55 - 2025-03-25 15:55 - 000000103 _____ C:\Users\rainb\e-country.json
2025-03-31 22:01 - 2024-08-27 21:27 - 000000000 ____D C:\Program Files\qBittorrentPro
2025-03-31 22:02 - 2024-08-27 21:25 - 000000000 ____D C:\Program Files\SteamUpdate
2024-08-27 21:27 - 2025-03-31 18:13 - 000000364 _____ () C:\Users\rainb\qBittorrentPro.dat
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
HKU\S-1-5-21-3531577901-3421671551-141069675-1001\Software\Classes\regfile:  <==== ВНИМАНИЕ
HKU\S-1-5-21-3531577901-3421671551-141069675-1001\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-3531577901-3421671551-141069675-1001\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-3531577901-3421671551-141069675-1001\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-3531577901-3421671551-141069675-1001\...\StartupApproved\Run: => "qBittorrentPro"
FirewallRules: [UDP Query User{6AE3F22D-FFAD-4659-9BAB-64E3083EA31B}C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\qtwebengineprocess.exe] => (Allow) C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\qtwebengineprocess.exe => Нет файла
FirewallRules: [TCP Query User{4E86573F-86FA-48EF-88DA-7D4D48A4EA3D}C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\qtwebengineprocess.exe] => (Allow) C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\qtwebengineprocess.exe => Нет файла
FirewallRules: [UDP Query User{B0BF44EE-AC62-4254-A38C-471073300159}C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe] => (Allow) C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe => Нет файла
FirewallRules: [TCP Query User{AFBDEEF8-B0AC-4B52-8BFE-C5B136590804}C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe] => (Allow) C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe => Нет файла
FirewallRules: [UDP Query User{664A7DCB-AEC9-4D4B-B0C3-6DFB896DDA64}C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe] => (Allow) C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe => Нет файла
FirewallRules: [TCP Query User{3B09B39D-E290-4F46-A3D6-BAF367CB1639}C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe] => (Allow) C:\users\rainb\appdata\roaming\yandex\yandextelemost\2.0.4.1714\yandextelemost.exe => Нет файла
FirewallRules: [UDP Query User{5822E3EA-BC7F-490B-A24B-5C2CC8DB28A1}C:\users\rainb\desktop\nekoray\nekobox.exe] => (Allow) C:\users\rainb\desktop\nekoray\nekobox.exe => Нет файла
FirewallRules: [TCP Query User{A23C54AD-41EF-439E-B49D-51F62E9DB377}C:\users\rainb\desktop\nekoray\nekobox.exe] => (Allow) C:\users\rainb\desktop\nekoray\nekobox.exe => Нет файла
FirewallRules: [UDP Query User{09640DD5-4610-4277-98BF-76A8BFD55A95}C:\program files\kodi\kodi.exe] => (Allow) C:\program files\kodi\kodi.exe => Нет файла
FirewallRules: [TCP Query User{C33FC949-0849-4BA6-89E8-F567B268026D}C:\program files\kodi\kodi.exe] => (Allow) C:\program files\kodi\kodi.exe => Нет файла
FirewallRules: [UDP Query User{546F8820-48BF-4940-AFFC-44BA66C18428}C:\users\rainb\desktop\nekoray\nekobox.exe] => (Allow) C:\users\rainb\desktop\nekoray\nekobox.exe => Нет файла
FirewallRules: [TCP Query User{844B545B-31AB-422A-8F1D-F28432D2D553}C:\users\rainb\desktop\nekoray\nekobox.exe] => (Allow) C:\users\rainb\desktop\nekoray\nekobox.exe => Нет файла
FirewallRules: [{E5F1B42E-516C-4721-9A0B-067F833D2765}] => (Allow) C:\Users\rainb\AppData\Roaming\Emby-Server\system\EmbyServer.exe => Нет файла
FirewallRules: [{25E08A00-3AB3-4058-A360-89212D4A419C}] => (Allow) C:\Users\rainb\AppData\Roaming\Emby-Server\system\EmbyServer.exe => Нет файла
FirewallRules: [{F76ED67D-9C74-4F62-A932-815B7BE8BD42}] => (Allow) LPort=8920
FirewallRules: [{A178858D-2722-4865-BA74-29F71F9975CA}] => (Allow) LPort=8096
FirewallRules: [{E9411252-6942-4E60-89EC-5FA085CD6515}] => (Allow) LPort=7359
FirewallRules: [UDP Query User{008C94D8-18A8-4A52-8023-D908BCA6EA51}C:\program files\jellyfin\server\jellyfin.exe] => (Allow) C:\program files\jellyfin\server\jellyfin.exe => Нет файла
FirewallRules: [TCP Query User{8468FF85-B71F-4780-BBA8-557855234B3C}C:\program files\jellyfin\server\jellyfin.exe] => (Allow) C:\program files\jellyfin\server\jellyfin.exe => Нет файла
FirewallRules: [UDP Query User{ECD3AC5A-DB82-4EDC-AD1F-0F8113A02462}C:\program files\kodi\kodi.exe] => (Allow) C:\program files\kodi\kodi.exe => Нет файла
FirewallRules: [TCP Query User{4DB85D4E-DF05-4A2F-BE5C-2DD693C9BC59}C:\program files\kodi\kodi.exe] => (Allow) C:\program files\kodi\kodi.exe => Нет файла
FirewallRules: [UDP Query User{CBB154B0-4F71-4CA8-8C36-125F07698A1F}C:\users\rainb\appdata\local\discord\app-1.0.9159\discord.exe] => (Allow) C:\users\rainb\appdata\local\discord\app-1.0.9159\discord.exe => Нет файла
FirewallRules: [TCP Query User{A1D79F1D-38D0-48FC-8280-3E1509A48A46}C:\users\rainb\appdata\local\discord\app-1.0.9159\discord.exe] => (Allow) C:\users\rainb\appdata\local\discord\app-1.0.9159\discord.exe => Нет файла
FirewallRules: [{10120B29-13BD-4D56-AB9F-7ED09A2A251B}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\SoulcaliburVI\SoulcaliburVI\Binaries\Win64\SoulcaliburVI.exe => Нет файла
FirewallRules: [{ADAAC8A9-E918-4BAD-B161-DDA0E0C4B79C}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\SoulcaliburVI\SoulcaliburVI\Binaries\Win64\SoulcaliburVI.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[preamble]

Готово
 

Fixlog.txt

[thyrex]

Проблема решена?

[preamble]

Да, как будто бы, да. После очередного скана Kaspersky Free он еще указал на остаток какого-то файла в директории майнера и все. По-видимому, сейчас "чисто".

 

Правда, лично я не до конца понял возможный вектор атаки. Судя по всему, что-то из этого занималось майнингом, а иной софт неясно чем, полагаю, что некий "стилер" ничего не слил, так как аккаунты не взломаны...

 

В любом случае, огромное вам спасибо за помощь, в очередной раз!)

Изменено 31 марта пользователем preamble

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[preamble]

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Приложение NVIDIA 11.0.1.189 v.11.0.1.189 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.98.0 Внимание! Скачать обновления
Wireshark 4.4.2 x64 v.4.4.2 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.40.33810 v.14.40.33810.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.40.33816 v.14.40.33816.0 Внимание! Скачать обновления
Яндекс.Диск v.3.2.42.5054 Внимание! Скачать обновления
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
Discord v.1.0.9003 Внимание! Скачать обновления
Telegram Desktop v.5.12.3 Внимание! Скачать обновления
AmneziaVPN v.4.7.0.0 Внимание! Скачать обновления
qBittorrent v.4.6.6 Внимание! Скачать обновления
Java SE Development Kit 8 Update 341 (64-bit) v.8.0.3410.25 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE Development Kit (jdk-23_windows-x64_bin.exe).
Java 8 Update 431 (64-bit) v.8.0.4310.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^
Java 8 Update 431 v.8.0.4310.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-i586.exe - Windows Offline)^
K-Lite Codec Pack 17.6.6 Basic v.17.6.6 Внимание! Скачать обновления

 

---------------------------- [ UnwantedApps ] -----------------------------
Bonjour v.3.1.0.1 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

На этом закончим.

[preamble]

Спасибо большое за помощь!

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".