Перейти к содержанию

Подозрение на заражение троянами


Рекомендуемые сообщения

Здравствуйте.

Есть подозрение на заражение компьютера.

 

18.10.2016 15:58:41 Обнаружено троянская программа Trojan-Ransom.Win32.Shade.kwm c:\programdata\windows\csrss.exe Высокая 
 

18.10.2016 15:58:41 Обнаружено троянская программа HEUR:Trojan-Downloader.Script.Generic C:\Documents and Settings\igor\Downloads\декларация 4134613.Z//¦Э¦-¦¦¦¬¦-¦+¦-¦-TП - 12854.js Высокая 

Сделал логи как написано в правилах. Посмотрите пожалуйста.

 

 

CollectionLog-2016.10.18-16.00.zip

Ссылка на комментарий
Поделиться на другие сайты

 

 

18.10.2016 15:58:41 Обнаружено троянская программа HEUR:Trojan-Downloader.Script.Generic C:\Documents and Settings\igor\Downloads\декларация 4134613.Z//¦Э¦-¦¦¦¬¦-¦+¦-¦-TП - 12854.js Высокая 

Этот файл упакуйте в архив с паролем virus и отправьте мне на почту. Антивирус вас похоже спас. 

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
 
Ссылка на комментарий
Поделиться на другие сайты

Прикрепляю отчеты программы.

Вирус запаковал и отправил на вашу почту из профиля.

Сегодня антивирус снова выдал:

 

19.10.2016 7:28:00 Обнаружено троянская программа HEUR:Trojan-Downloader.Script.Generic C:\Documents and Settings\igor\Downloads\декларация 4134613.Z//¦Э¦-¦¦¦¬¦-¦+¦-¦-TП - 12854.js Высокая
19.10.2016 7:28:00 Обнаружено троянская программа Trojan-Ransom.Win32.Shade.kwm c:\programdata\windows\csrss.exe Высокая
 
Как мне с этим бороться?
И еще-  на компьютере есть сентябрьская точка восстановления системы. Можно восстановиться с нее?

Addition.txt

FRST.txt

Изменено пользователем kosamail
Ссылка на комментарий
Поделиться на другие сайты

Вирус запаковал и отправил на вашу почту из профиля.

Пароль на архив ставили? Если нет, то еще раз отправьте архив.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!
 
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
CloseProcesses:
2016-10-11 12:38 - 2016-10-18 12:43 - 00000022 _____ C:\Users\igor\Downloads\декларация 4134613.Z
2016-10-11 12:38 - 2016-10-11 12:39 - 00000000 __SHD C:\Users\Все пользователи\Windows
2016-10-11 12:38 - 2016-10-11 12:39 - 00000000 __SHD C:\ProgramData\Windows
C:\Users\igor\AppData\Local\Temp\FE11.exe
Task: {296B3668-E571-42C9-9DA5-0F9222EF6528} - \DealPlyUpdate -> No File <==== ATTENTION
zip:C:\FRST\Quarantine
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
 
 
Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте.

Вирусованый файл видимо срезал касперский - я не смог его найти по указанным в отчете путям.

fixlog.txt прикрепил к сообщению, карантин загрузил через отдельную форму:

 

Результат загрузки

Файл сохранён как 161020_085920_Upload_58085d3860bd1.zip Размер файла 1974322 MD5 0dfd4c5e44299d0840a5bb74925976da

 

Каковы мои следующие шаги?

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • asmonekus
      Автор asmonekus
      В какой-то момент заметила, что в истории поиска Windows начали появляться запросы, иногда даже на английском, которых я не делала, даже если компьютер был выключен. В истории запросов аккаунта Microsoft, который я использую на ПК, ничего подобного нет, плюс я сменила пароль и на всякий случай сделала выход со всех устройств через управление аккаунтом.
       
      Проводила проверку ПК и Kaspersky Virus Removal Tool, и Dr.Web CureIt!, и Kaspersky Premium – ничего не обнаружено. Запускала Avbr – почистил кеш и тоже ничего не обнаружил. Единственное, узнала, что Windows активирован KMSAuto (ПК был куплен в сборке с уже установленным ПО), но, насколько я с ним сталкивалась, он проблем каких-либо не доставлял.

      Никакого другого подозрительного поведения не обнаружила, все сайты как были доступны, так и остались. Лишней нагрузки тоже нет. Но эти рандомные запросы уж очень меня смущают.
      CollectionLog-2025.05.16-22.38.zip
    • Amurkin
      Автор Amurkin
      Добрый день! Новый ноутбук стал сильно греться даже в простое. Подозреваю майнер. Прошу помочь!CollectionLog-2025.08.09-12.09.zip
    • Isik
      Автор Isik
      Малварбайт обнаружил процесс исходящего траффика в пути- C:\Users\user\AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC, потом это появлялось снова и снова. В диспетчере задач обнаружил три процесса Setup, которые ведут к папке 2xzjMMUGjeobOYtjoc0gOuMKKHC в Temp. Что это такое не пойму, никогда ничего подобного не видел. Заранее благодарю.
    • Шораан
      Автор Шораан
      Здравствуйте! У меня подозрения на тот же вирус. Проверил сканером предложенным выше , посмотрите пожалуйста отчет
      Addition.zip
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Vovkaproshka
      Автор Vovkaproshka
      После установки лоадера впнов появился процесс setup нагружает только оперативку.
      Doctor  web antivirus удаляет три трояна, после сетап пропадает из процессов, после перезагрузки процесс снова появляется, думаю прикрепился к какому-то приложению, через безопасный режим также после удаления и перезагрузки загружается,  находится по пути AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC
×
×
  • Создать...