[РЕШЕНО] Троян из письма MEM:Trojan.Win32.SEREN.gen

[UBAH1985]

здравствуйте

Открыл файл из письма, имитирующий вордовский документ.  При проверке kvrt нашел, что у меня троян mem:trojan.win32.sepeh.gen и trojan.win64.Agent.smevay в System Memory . Лечение с перезагрузкой не помогает. Очень прошу помочь

CollectionLog-2026.03.24-13.51.zip

[Sandor]

Здравствуйте!

 

Через Параметры -> Приложения деинсталлируйте нежелательное ПО:

Цитата

Adobe Flash Player 10 ActiveX

Auslogics Disk Defrag 12.1.0.0

IOBit Driver Booster v12.6.0.620

uTorrentClient 2.8.1

 

Что не сможете удалить стандартно, удалите принудительно с помощью Geek Uninstaller

 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\pahar\AppData\Roaming\6893914e.js', '');
 QuarantineFile('C:\Users\pahar\AppData\Roaming\utorrent\pro\uTorrentClient.exe', '');
 DeleteSchedulerTask('ComponentsUpdateSvc');
 DeleteSchedulerTask('UpdateTorrent');
 DeleteFile('C:\Users\pahar\AppData\Roaming\6893914e.js', '64');
 DeleteFile('C:\Users\pahar\AppData\Roaming\utorrent\pro\uTorrentClient.exe', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

 

Изменено 24 марта пользователем Sandor

[UBAH1985]

CollectionLog-2026.03.24-14.51.zip

[Sandor]

Хорошо, продолжаем.

Скачайте утилиту DoesNotBelong и сохраните её на Рабочем столе.

Пожалуйста, сохраните все несохраненные файлы и закройте все программы, так как этот инструмент попытается закрыть все некритические процессы в ходе сканирования. Это касается и интернет-браузеров.

• Щелкните правой кнопкой мыши по DoesNotBelong.exe и запустите его от имени администратора.
• После прочтения заявления об отказе от ответственности нажмите «Да», чтобы начать сканирование
• Скрипт создаст точку восстановления системы и приступит к сканированию, которое может занять некоторое время.
• По завершении работы программы окно командной строки закроется, и в корневом каталоге диска С будет создан журнал под названием DoesNotBelong_[дата]_[время].txt.
• Пожалуйста, запакуйте отчет DoesNotBelong_[дата]_[время].txt. и прикрепите к своему следующему сообщению.
  

 

И далее:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[UBAH1985]

Addition.txtAddition.txt

Addition.txt FRST.txt Shortcut.txt DoesNotBelong_2026_03_24__15_21_09.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  C:\Users\pahar\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\akioloobpgimddojbhkpfhnbidkmkono
  CHR HKU\S-1-5-21-381162119-3259511584-95954262-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
  CHR HKU\S-1-5-21-381162119-3259511584-95954262-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh]
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  CHR HKLM-x32\...\Chrome\Extension: [cdjkkeofanojcdolaakkckkmfcjejlij]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [9578]
  FirewallRules: [{A3D6AE19-1CBD-4EB9-8FEE-1E065440FC4A}] => (Allow) D:\программы\принтер\Setup.exe => Нет файла
  FirewallRules: [{8EE8D959-C286-42BE-B34B-C959FE4CD62B}] => (Allow) D:\программы\принтер\Setup.exe => Нет файла
  FirewallRules: [{026284CD-8863-40ED-8724-EECADD535C52}] => (Allow) D:\программы\принтер\Setup.exe => Нет файла
  FirewallRules: [{9DA7EB2D-71BF-4CB0-BE79-692FE766086B}] => (Allow) D:\программы\принтер\Setup.exe => Нет файла
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[UBAH1985]

Fixlog.txt

[Sandor]

Сделайте ещё раз проверку KVRT и сообщите результат.

[UBAH1985]

Огромное спасибо, Sandor. Все отлично, очень сильно помогли, замечательный человек 👍

[Sandor]

Отлично!

В завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj (или с зеркала), сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[UBAH1985]

SecurityCheck.txt

[Sandor]

Подумайте о переходе на актуальную версию системы:

Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^
 

Исправьте по возможности:

Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
 

Так ли страшен Контроль учётных записей
 

PowerShell 7-x64 v.7.3.3.0 Внимание! Скачать обновления
NVIDIA GeForce Experience 3.24.0.126 v.3.24.0.126 Внимание! Скачать обновления Данная программа больше не поддерживается разработчиком. Рекомендуется использовать Приложение NVIDIA.
Open-Shell v.4.4.160 Внимание! Скачать обновления
AnyDesk v.ad 9.0.10 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.44.35211 v.14.44.35211.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.44.35211 v.14.44.35211.0 Внимание! Скачать обновления
Recuva v1.53.0.2078 v.1.53.0.2078 Внимание! Скачать обновления
Total Commander 64-bit (Remove or Repair) v.10.52 Внимание! Скачать обновления
WinRAR 6.10 v.6.10 Внимание! Скачать обновления
paint.net v.4.3.11 Внимание! Скачать обновления
µTorrent v.3.6.0.47224 Внимание! Клиент сети P2P с рекламным модулем!
VLC media player v.3.0.17.4 Внимание! Скачать обновления
K-Lite Codec Pack 16.0.2 Basic v.16.0.2 Внимание! Скачать обновления
Adobe Acrobat (64-bit) v.25.001.20672 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
 

---------------------------- [ UnwantedApps ] -----------------------------
Reg Organizer 9.91 v.9.91 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

Читайте Рекомендации после удаления вредоносного ПО

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".