Перейти к содержанию
Правила раздела
Клубу 20 лет!

Отслеживание активности компьютера

Levi

Автор Levi
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Levi

Levi

Опубликовано
Опубликовано (изменено)

Добрый день.
Мой офисный компьютер отслеживается человеком, которому нечем заняться в своей жизни, кроме как лезть в жизнь других людей.
Способ отслеживания (интернет или локальная сеть) мне неизвестен. Неизвестна так же и программа, по которой отслеживаются мои действия за компьютером.
При первой проверке avz4 были выявлены вирусы, подозрительные/замаскированные файлы, файлы перехвата, которые способствовали передаче данных о моих действиях/активности за данным компьютером.
Файлы были удалены сразу же через avz4. 
При повторной, более расширенной проверке, таких подозрительных файлов было обнаружено в разы больше. Особенно, насторожили строки в проверке: >> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помощнику
Вопросы в данной ситуации стандартные: как быть?что делать?как обрубить доступ данной программе?
Прошу у неравнодушных дельного совета, кому так же неприятны факты слежки. Спасибо заранее.

К теме прикрепляю лог с последней расширенной проверкой avz4.

 

 

 

Внимание !!! База поcледний раз обновлялась 01.03.2016 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.46
Сканирование запущено в 23.04.2018 12:06:33
Загружена база: сигнатуры - 297570, нейропрофили - 2, микропрограммы лечения - 56, база от 01.03.2016 12:37
Загружены микропрограммы эвристики: 412
Загружены микропрограммы ИПУ: 9
Загружены цифровые подписи системных файлов: 790760
Режим эвристического анализатора: Средний уровень эвристики
Режим лечения: включено
Версия Windows: 6.3.9600,  "Windows 8.1 Single Language", дата инсталляции 19.11.2014 16:45:09 ; AVZ работает с правами администратора (+)
Восстановление системы: включено
1. Поиск RootKit и программ, перехватывающих функции API
1.1 Поиск перехватчиков API, работающих в UserMode
 Анализ kernel32.dll, таблица экспорта найдена в секции .rdata
Функция kernel32.dll:ReadConsoleInputExA (1095) перехвачена, метод ProcAddressHijack.GetProcAddress ->752A4F8E->74771960
Перехватчик kernel32.dll:ReadConsoleInputExA (1095) нейтрализован
Функция kernel32.dll:ReadConsoleInputExW (1096) перехвачена, метод ProcAddressHijack.GetProcAddress ->752A4FC1->74771990
Перехватчик kernel32.dll:ReadConsoleInputExW (1096) нейтрализован
 Анализ ntdll.dll, таблица экспорта найдена в секции .text
Функция ntdll.dll:NtCreateFile (268) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F2C840->7293B720
Перехватчик ntdll.dll:NtCreateFile (268) нейтрализован
Функция ntdll.dll:NtSetInformationFile (549) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F2C560->7293B540
Перехватчик ntdll.dll:NtSetInformationFile (549) нейтрализован
Функция ntdll.dll:NtSetValueKey (580) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F2C8F0->7293C900
Перехватчик ntdll.dll:NtSetValueKey (580) нейтрализован
Функция ntdll.dll:ZwCreateFile (1651) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F2C840->7293B720
Перехватчик ntdll.dll:ZwCreateFile (1651) нейтрализован
Функция ntdll.dll:ZwSetInformationFile (1930) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F2C560->7293B540
Перехватчик ntdll.dll:ZwSetInformationFile (1930) нейтрализован
Функция ntdll.dll:ZwSetValueKey (1961) перехвачена, метод ProcAddressHijack.GetProcAddress ->76F2C8F0->7293C900
Перехватчик ntdll.dll:ZwSetValueKey (1961) нейтрализован
 Анализ user32.dll, таблица экспорта найдена в секции .text
Функция user32.dll:CallNextHookEx (1531) перехвачена, метод ProcAddressHijack.GetProcAddress ->74FF8DC0->7293B490
Перехватчик user32.dll:CallNextHookEx (1531) нейтрализован
Функция user32.dll:SetWindowsHookExW (2303) перехвачена, метод ProcAddressHijack.GetProcAddress ->75004600->72990DB0
Перехватчик user32.dll:SetWindowsHookExW (2303) нейтрализован
 Анализ advapi32.dll, таблица экспорта найдена в секции .text
 Анализ ws2_32.dll, таблица экспорта найдена в секции .text
 Анализ wininet.dll, таблица экспорта найдена в секции .text
Функция wininet.dll:InternetAlgIdToStringA (254) перехвачена, метод APICodeHijack.JmpTo[72601068]
 >>> Код руткита в функции InternetAlgIdToStringA нейтрализован
Функция wininet.dll:InternetAlgIdToStringW (255) перехвачена, метод APICodeHijack.JmpTo[72601170]
 >>> Код руткита в функции InternetAlgIdToStringW нейтрализован
 Анализ rasapi32.dll, таблица экспорта найдена в секции .text
 Анализ urlmon.dll, таблица экспорта найдена в секции .text
 Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.4 Поиск маскировки процессов и драйверов
 Проверка не производится, так как не установлен драйвер мониторинга AVZPM
2. Проверка памяти
 Количество найденных процессов: 24
 Количество загруженных модулей: 318
Проверка памяти завершена
3. Сканирование дисков
4. Проверка Winsock Layered Service Provider (SPI/LSP)
 Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
 В базе 317 описаний портов
 На данном ПК открыто 81 TCP портов и 35 UDP портов
 Проверка завершена, подозрительные порты не обнаружены
7. Эвристичеcкая проверка системы
Проверка завершена
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба TermService (Службы удаленных рабочих столов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Обнаружение SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помощнику
Проверка завершена
9. Мастер поиска и устранения проблем
 >>  Разрешен автозапуск с HDD
 >>  Разрешен автозапуск с сетевых дисков
 >>  Разрешен автозапуск со сменных носителей
Проверка завершена
Просканировано файлов: 342, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0
Сканирование завершено в 23.04.2018 12:07:39
Сканирование длилось 00:01:09
Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,
то Вы можете обратиться на форум http://forum.kaspersky.com/index.php?showforum=18
Для автоматической проверки файлов, не опознаных как чистые или заподозренных AVZ 
можно использовать сервис http://virusdetector.ru/
Изменено пользователем Levi

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Павел Павлович
      Вредоносная активность
      Автор Павел Павлович
      Добрый день.
      Использую компьютер для подключения к корпоративным ресурсам.
      Работодатель сообщил о вредоносной активности. Антивирус не детектирует ничего подозрительного.
      Подскажите можете помочь провести более полную проверку. Может есть какие-то утилиты и т.п.
      CollectionLog-2025.11.27-15.06.zip
    • dkhilobok
      Новые активности
      Автор dkhilobok
      Всем привет!
      У меня отличные новости. Мы очень хотим пригласить всех желающих принять участие в следующих проектах:
       
      1. Business mattrers (https://www.youtube.com/playlist?list=PLPmbqO785HlubxgROYEXSpFHpmYIUgpmT)
      Наши коллеги ведут рубрику "Интервью с экпертами", где главный герой делиться своим опытом в определенной области. Если вы работаете в сфере IT, а быть может у вас есть свой собственный IT-бизнесс, а еще вы говорите на английском (можно заранее написать текст, а потом подглядывать), напишите мне и вы сможете стать главным героем этого замечательного проекта. Важно: интервью будет проходить на английском, но вы можете заранее попросить вопросы и подготовиться. Проект расщитан на международную аудиторию.
       
      2. "Задай тупые вопросы эксперту" - этот проект даст возможность получить ответ на любой вопрос по заданной теме, особые условия предоставляются участникам ФК. Данный проект будет реализован на ютубе, где в прямом эфире специалисту из определенной сферы будут задавать различные вопросы. Мы хотели бы приглашать на эфир человека из ФК в качестве интервьюера (каждый раз интервьюер может быть разным). Интервьюер будет зачитывать список вопросов, а также сможет задать свой. Также мы рассматриваем возможность, чтобы в прямом эфире могли наблюдать за процессом только участники ФК. Мне кажется это очень интересный проект!
      Подведем итоги по проекту:
      1. Специалисту из какой сферы вы бы хотели задать вопрос? 
      2. Кто бы хотел быть интервьюером? Можете написать мне в ЛС
       
      Очень жду от вас обратной связи  
       
    • velykov
      Активность Trojan.Encoder.37448
      Автор velykov
      Здравствуйте, возможно ли расшифровать данные предположительно после Trojan.Encoder.37448, судя по всему что-то в размере 1кб дописано в каждый файл, расширения у всех офисных файлов, картинок стали с расширением *.1cxz рядом лежит файл #HowToRecover.txt с содержимым:
       
       
      Есть пример зашифрованных стандартных картинок, например хризантема и в зип архиве пример зашифрованного файла. Иконка у зашифрованного файла в виде черного символа биткойна.

      #HowToRecover.txt t8TcrwidL6.zip
      Addition.txt FRST.txt
    • scaramuccia
      Постоянно активный калькулятор
      Автор scaramuccia
      В процессах постоянно висит виндовый калькулятор. Пишут, что это нормально, так как другие приложения используют калькулятор для вычисления. Хотя непонятно, зачем им для вычислений нужен калькулятор, сами считать не умеют?
      Смущает, что в свойствах процесса указана неизвестная учетная запись. Что это за запись?

       
      Сообщение от модератора thyrex Перемещено из раздела Компьютерная помощь
    • Snak3EyeS92
      Подозрительная сетевая активность
      Автор Snak3EyeS92
      Некоторое время назад стал наблюдать исходящее сетевое соединение от проводника на мониторе сетевой активности Kaspersky Internet Security. Раньше подобного не замечал. Появляется оно после перезагрузки системы. Проверял внешние IP, на которые идет соединение в Virus Total. Выдавалось вот такое: AS 8075 MICROSOFT-CORP-MSN-AS-BLOCK. К одному из этих IP были комментарии "Malware" и "Bot". Естественно возникли подозрения на вирус или взлом. Проверял компьютер как KIS, так и другими антивирусами, отправлял логи в поддержку Касперского и в соседний форум по помощи с удалением вирусов. В итоге почистил систему от мусора, а подозрений на заражение не было обнаружено. Но проблема остается. Посоветовали обратиться сюда. Остались опасения, что это может быть или глубоко спрятавшийся вирус/шпион/малварь/бот, или следы взлома. Хочу обновиться до Windows 10 с полным удалением данных старой системы, но сперва хочется понять что это вообще за соединение, и чем вызвано такое поведение проводника, если это не вирус. Ну и убедиться, что могу безопасно сохранить некоторые нужные данные на внешние носители или хотя бы в облако перед обновлением системы.
      Ссылка на предыдущую тему:
       
×
×
  • Создать...