mem:trojan.win32.sepeh.gen не удаляется антивирусом

[BLACK8ELEMENT]

Добрый день!

Антивирус Касперского 11.5 не может полностью удалить вирус mem:trojan.win32.sepeh.gen

После перезагрузки компьютера он вновь находится

 

CollectionLog-2021.04.16-18.00.zip

[thyrex]

Цитата

O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [1] = powershell.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [2] = notepad.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [3] = wordpad.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [4] = osk.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [5] = Magnify.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [6] = Narrator.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [7] = iexplore.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [8] = MicrosoftEdge.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [9] = SearchUI.exe (disabled)
O7 - Taskbar policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer: [DisallowRun] = 1

эти настройки запрета на запуск программ сами делали?

[BLACK8ELEMENT]

Да. Это мы сами заблокировали. 

 

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[BLACK8ELEMENT]

Добрый день!

FRST.7z

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ContextMenuHandlers1_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers4_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers5_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

• Обратите внимание: будет выполнена перезагрузка компьютера.

[BLACK8ELEMENT]

После многократных удалений антивируса и перезагрузок вирус пока что перестал появляться в системе.

Поэтому не успели проверить вышестоящий скрипт на работоспособность.

Наблюдаем.

[BLACK8ELEMENT]

FIx выше к сожалению не помог. Правда, уже на другом компьютере всплыло.

 

Результаты исправления Farbar Recovery Scan Tool (x64) Версия: 14-04-2021
Запущено с помощью TNSADM (30-04-2021 07:16:08) Run:1
Запущено из C:\Users\TNSADM.TNS\Desktop
Загруженные профили: TNSADM & dispatcher & TNSADM & esdu
Режим загрузки: Normal
==============================================

fixlist содержимое:
*****************
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ContextMenuHandlers1_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers4_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers5_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
Reboot:

*****************

Точка восстановления была успешно создана.
"HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}" => не найдено
"HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}" => не найдено
"HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}" => не найдено
"HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}" => не найдено
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive1 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive2 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive3 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive4 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive5 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive6 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive7 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive1 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive2 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive3 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive4 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive5 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive6 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive7 => успешно удалены
"HKU\S-1-5-21-1667798864-2180358181-435526237-1005\Software\Classes\*\ShellEx\ContextMenuHandlers\ FileSyncEx" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1005\Software\Classes\Directory\ShellEx\ContextMenuHandlers\ FileSyncEx" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1005\Software\Classes\Directory\Background\ShellEx\ContextMenuHandlers\ FileSyncEx" => не найдено

Системе требуется перезагрузка.

==== Конец от Fixlog 07:16:11 ====

[thyrex]

Очистите отчеты антивируса с найденными угрозами, выполните полную проверку антивирусом и сообщите результат

[BLACK8ELEMENT]

Добрый день!

Тему можно помечать как решенную.

Нашли ПО на которое так реагировал антивирус - одна самописная программка для блокировки клавиш.

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.

 

[BLACK8ELEMENT]

Да мы уже написали в ТП "Лаборатории Касперского" по поводу этой самописной программкой на что получили ответ:

 

"Вирусные аналитики проверили предоставленное ПО. Сообщили, что было ошибочное срабатывание.
Оно будет исправлено в ближайшее время."