Перейти к содержанию
Правила раздела

Вирус (Возможно) использует PowerShell

GrigoryBel

Автор GrigoryBel
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

GrigoryBel

GrigoryBel

Опубликовано
Опубликовано

Здравствуйте, совсем недавно появилась проблема связанная с PowerShell. Примерно каждые 15 мин. эта командная строка запускается сама по себе, и из за этого выкидывает из приложений на раб. стол. Открывается и тут же пропадает, происходит это за секунду, но жутко надоедает когда сворачиваются приложения. В самой строке пусто, почему это происходит я так и не смог понять . Пытался найти решение в сети, ничего не помогло, наткнулся на вот такую статью  "MSH/Cibyz не использует какой-либо уязвимости PowerShell, а эксплуатирует его функциональную возможность исполнять скрипты. Тем самым новый код похож на batch-вирусы, написанные на Javascript или Visual Basic, команда загрузить которые поступает в систему при исполнении скрипта." Не исключаю возможность того что сам мог скачать вирус, при выкл антивирусе. Производил полную проверку с самыми свежими базами ничего не находит. Если даже это не вирус может есть какие нибудь варианты отключения самого PowerShell или того процесса который заставляет его с периодичностью появляться? 

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Служба автоматического обновления программ

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files (x86)\thzXuJvjU\ZSraoGc.dll', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\curl\curl.exe', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\Microsoft\msi.exe', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\setupsk\ml.py', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\setupsk\python\pythonw.exe', '');
 QuarantineFileF('c:\users\grigory\appdata\roaming\setupsk', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\Program Files (x86)\thzXuJvjU\ZSraoGc.dll', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\curl\curl.exe', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\Microsoft\msi.exe', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\setupsk\ml.py', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\setupsk\python\pythonw.exe', '32');
 DeleteFile('C:\Users\Grigory\Favorites\Links\Интернет.url');
 ExecuteFile('schtasks.exe', '/delete /TN "curl" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "curls" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "setupsk" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "setupsk_upd" /F', 0, 15000, true);
 DeleteFileMask('c:\users\grigory\appdata\roaming\setupsk', '*', true);
 DeleteDirectory('c:\users\grigory\appdata\roaming\setupsk');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

GrigoryBel

GrigoryBel

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

Служба автоматического обновления программ

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files (x86)\thzXuJvjU\ZSraoGc.dll', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\curl\curl.exe', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\Microsoft\msi.exe', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\setupsk\ml.py', '');
 QuarantineFile('C:\Users\Grigory\AppData\Roaming\setupsk\python\pythonw.exe', '');
 QuarantineFileF('c:\users\grigory\appdata\roaming\setupsk', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\Program Files (x86)\thzXuJvjU\ZSraoGc.dll', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\curl\curl.exe', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\Microsoft\msi.exe', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\setupsk\ml.py', '32');
 DeleteFile('C:\Users\Grigory\AppData\Roaming\setupsk\python\pythonw.exe', '32');
 DeleteFile('C:\Users\Grigory\Favorites\Links\Интернет.url');
 ExecuteFile('schtasks.exe', '/delete /TN "curl" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "curls" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "setupsk" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "setupsk_upd" /F', 0, 15000, true);
 DeleteFileMask('c:\users\grigory\appdata\roaming\setupsk', '*', true);
 DeleteDirectory('c:\users\grigory\appdata\roaming\setupsk');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(21);
 ExecuteFile('ipconfig', '/flushdns', 0, 10000, true);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

 

[KLAN-7041317428]

Благодарим за обращение в Антивирусную Лабораторию

 

Присланные вами файлы были проверены в автоматическом режиме.

 

В антивирусных базах информация по присланным вами файлам отсутствует:

quarantine.zip

 

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Sandor

Sandor

Опубликовано
Опубликовано

Не цитируйте, пожалуйста, полностью. Используйте форму быстрого ответа внизу.

Ждем повторные логи.

Sandor

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[sx].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
GrigoryBel

GrigoryBel

Опубликовано
  • Автор
Опубликовано

Приложение блокируется в целях безопасности. Пробовал напрямую через командную строку, через реестр отключал, одно окошко сменяется другим и все равно в прогу не пускает.
 

GrigoryBel

GrigoryBel

Опубликовано
  • Автор
Опубликовано

Почистил с помощью adw уже 2 ч PowerShell не появляется, думаю убило заразу. Точнее могу сказать завтра. 

Sandor

Sandor

Опубликовано
Опубликовано

Отчет об очистке (с символом [C] в имени файла) покажите.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • VanyeJ
      Вирус в PowerShell
      Автор VanyeJ
      Здравствуйте, при включении компьютера и окончательном входе в систему PowerShell пытается перекинуть на вредоносную ссылку. Касперский сразу же блокирует.

      Событие: Остановлен переход на сайт
      Пользователь: WIN-O4R3Q0UCBR5\User
      Тип пользователя: Инициатор
      Имя приложения: powershell.exe
      Путь к приложению: C:\Windows\System32\WindowsPowerShell\v1.0
      Компонент: Интернет-защита
      Описание результата: Запрещено
      Тип: Вредоносная ссылка
      Название: 
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Веб-страница
      Имя объекта: 1731762779-9803.jpeg
      Путь к объекту: 
      Причина: Облачная защита

      Активировал Windows через cmd после этого появилось (powershell iex (irm 'activated.run/key')) команда после которой вирус появился.
      CollectionLog-2025.02.08-15.48.zip
    • Alexoon
      вирус powershell
      Автор Alexoon
      Подхватил какой-то вирус с почты. Постоянно открывается powershell и браузеры, т.е. по 5 раз в секунду
       
      Антивирусы ни один его не видят
      CollectionLog-2025.08.22-16.02.zip
    • StarswonZ
      Возможно специфический вирус
      Автор StarswonZ
      Здравствуйте! При использовании электромагнитного фона компьютера   и использование спецоборудования (tempest пэмин) возможна загрузка таким способом на компьютер вируса (основных инструкций) а потом загрузка недастающей части пуëм стандартного интернет соединения? 
      И при самой темпест и пэмин атаке возможна ли модификация чего либо в компьютере?
    • SimpleMan
      Помогите устранить вирус который засел в PowerShell
      Автор SimpleMan
      Недавно активировал Windows 11 Pro через командную строку cmd, через какой-то левый KMS сервер, не разобрался как это работает, 
      проработал так несколько дней, потом решил установить антивирус Касперского и он сразу же обнаружил Вредоносные ссылки через PowerShell 
      пример такой активаций есть везде, вот: https://vk.com/wall-188198781_5982
      Подскажите пожалуйста, как теперь устранить проблему?
      скриншот отчёта прилагаю
       
    • Tybloko
      Невозможно удалить вирус(возможно стиллер)
      Автор Tybloko
      Осенью произошла ситуация, что на компьютер попал стиллер ворующий аккаунты, или куки. Переустановил виндоус, вроде бы всё прошло. Недавно пришло уведомления от нескольких сайтов, с примерно таким содержанием: "Мы обнаружили, что на ваш аккаунт заходил злоумышленник через краденные Cookie. Когда мы это обнаружили, мы заблокировали операции с балансом на вашем аккаунте, чтобы никто не смог получить доступ к вашим средствам.".
      Решил проверить на всякий случай с помощью cureit-а, нашло пару угроз, которые он обезвредил, но осталось "CHROMIUM:PAGE.MALWARE.URL". Лечение не помогает.
      Толи сайты с большим запозданием отправили эту информацию, то ли действительно вирус. Пока-что ничего не было украдено с пк, проблем не было заметно. 
×
×
  • Создать...