MEM:Trojan.Win32.SEPEH.gen

[НиК25]

Появился MEM:Trojan.Win32.SEPEH.gen на компьютере. Пробовали использовать KES 11.3 (расширенный) - не вылечил. Использовали KVRT - нашёл, но не вылечил. Пробовали утилиту Dr. Web - даже не нашёл. Расположение файла не получается найти, просто в системной памяти. 

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[safety]

+

добавьте отчет по обнаружению угроз и сканированию из антивируса Касперского.

+

дополнительно сделайте образ автозапуска системы в uVS с отслеживанием процессов и задач.

 

Если антивирус будет блокировать запуск, или получение файла образа - временно отключите защиту антивируса.

 

1. Скачайте архив с актуальной версией утилиты uVS c зеркала программы отсюда (1) или отсюда(2) (здесь дополнительно встроен архиватор 7zip), распакуйте данный архив с программой в отдельный каталог.

2. запустите из каталога с модулями uVS файл Start.exe
(для Vista, W7- W11 выберите запуск от имени Администратора)
3. В стартовом окне программы - нажать "запустить под текущим пользователем". (если текущий пользователь с правами локального администратора)

3.1 Если запросили обычный образ автозапуска, переходим сразу к п.4
Если запросили образ автозапуска с отслеживанием процессов и задач:
В главном меню выбираем "Дополнительно" - Твики" - нажимаем "твик 39" и перегружаем систему. После перезагрузки переходим к п.2 и выполняем все действия из 2, 3, 4, 5, 6.

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

 

5. Дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время*.txt) автоматически добавится в архив 7z. (если используется uVS из зеркала со встроенным архиватором 7z)

[НиК25]

Здравствуйте ещё раз! Интернет не очень, сразу не получилось

HOME-PC_2025-11-05_16-01-19_v5.0.3v x64_040505.7z

[safety]

Скорее всего это реакция на запуск задачи с этим файлом:

"C:\Users\73B5~1\AppData\Local\Temp\{7DD10BD7-5E4D-442A-A0C4-BA58C2E42FC6}\Pilo_Digi32.exe"

данный файл порождает цепочку запуска, и создается фейковый процесс:

FAKE:C:\USERS\73B5~1\APPDATA\LOCAL\TEMP\PULSEREGIS.EXE [12924]

т.е. процесс с измененным кодом, на который возможно реагирует Касперский детектом SEPEH

 

Изменено 6 ноября пользователем safety

[safety]

Предположительно, реакция SEPEH со стороны антивируса на данную цепочку запуска, источником которой, является задача

 

 

Как это очистить:

 

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу с перезагрузкой системы

;uVS v5.0.3v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
delfake
;---------command-block---------
delall %SystemDrive%\USERS\ПОЛЬЗОВАТЕЛЬ\APPDATA\LOCAL\TEMP\{7DD10BD7-5E4D-442A-A0C4-BA58C2E42FC6}\PILO_DIGI32.EXE
apply
REGT 40

restart

После перезагрузки системы:

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

Проверьте, есть ли новые детекты SEPEH в системе.

+

добавьте новые логи FRST для контроля

Изменено 6 ноября пользователем safety