Перейти к содержанию

mem:trojan.win32.sepeh.gen не удаляется антивирусом


Рекомендуемые сообщения

Добрый день!

Антивирус Касперского 11.5 не может полностью удалить вирус mem:trojan.win32.sepeh.gen

После перезагрузки компьютера он вновь находится

 

CollectionLog-2021.04.16-18.00.zip

Ссылка на сообщение
Поделиться на другие сайты
Цитата

O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [1] = powershell.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [2] = notepad.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [3] = wordpad.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [4] = osk.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [5] = Magnify.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [6] = Narrator.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [7] = iexplore.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [8] = MicrosoftEdge.exe (disabled)
O7 - Policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer\DisallowRun: [9] = SearchUI.exe (disabled)
O7 - Taskbar policy: HKU\S-1-5-21-1717941478-3258202154-510268124-1104\..\Policies\Explorer: [DisallowRun] = 1

эти настройки запрета на запуск программ сами делали?

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.
3munStB.png
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

Ссылка на сообщение
Поделиться на другие сайты

1. Выделите следующий код:

Start::
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ContextMenuHandlers1_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers4_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers5_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
Reboot:
End::


2. Скопируйте выделенный текст (правая кнопка мышиКопировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: будет выполнена перезагрузка компьютера.
Ссылка на сообщение
Поделиться на другие сайты

После многократных удалений антивируса и перезагрузок вирус пока что перестал появляться в системе.

Поэтому не успели проверить вышестоящий скрипт на работоспособность.

Наблюдаем.

Ссылка на сообщение
Поделиться на другие сайты
  • 2 weeks later...

FIx выше к сожалению не помог. Правда, уже на другом компьютере всплыло.

 

Результаты исправления Farbar Recovery Scan Tool (x64) Версия: 14-04-2021
Запущено с помощью TNSADM (30-04-2021 07:16:08) Run:1
Запущено из C:\Users\TNSADM.TNS\Desktop
Загруженные профили: TNSADM & dispatcher & TNSADM & esdu
Режим загрузки: Normal
==============================================

fixlist содержимое:
*****************
CreateRestorePoint:
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
CustomCLSID: HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\TNSADM.TNS\AppData\Local\Microsoft\OneDrive\19.043.0304.0013\amd64\FileSyncShell64.dll => Нет файла
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ContextMenuHandlers1_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers4_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
ContextMenuHandlers5_S-1-5-21-1667798864-2180358181-435526237-1005: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Нет файла
Reboot:

*****************

Точка восстановления была успешно создана.
"HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}" => не найдено
"HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}" => не найдено
"HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}" => не найдено
"HKU\S-1-5-21-1717941478-3258202154-510268124-1000_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}" => не найдено
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive1 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive2 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive3 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive4 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive5 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive6 => успешно удалены
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive7 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive1 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive2 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive3 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive4 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive5 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive6 => успешно удалены
HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\ OneDrive7 => успешно удалены
"HKU\S-1-5-21-1667798864-2180358181-435526237-1005\Software\Classes\*\ShellEx\ContextMenuHandlers\ FileSyncEx" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1005\Software\Classes\Directory\ShellEx\ContextMenuHandlers\ FileSyncEx" => не найдено
"HKU\S-1-5-21-1667798864-2180358181-435526237-1005\Software\Classes\Directory\Background\ShellEx\ContextMenuHandlers\ FileSyncEx" => не найдено


Системе требуется перезагрузка.

==== Конец от Fixlog 07:16:11 ====

Ссылка на сообщение
Поделиться на другие сайты

Очистите отчеты антивируса с найденными угрозами, выполните полную проверку антивирусом и сообщите результат

Ссылка на сообщение
Поделиться на другие сайты
  • 1 month later...

Добрый день!

Тему можно помечать как решенную.

Нашли ПО на которое так реагировал антивирус - одна самописная программка для блокировки клавиш.

Ссылка на сообщение
Поделиться на другие сайты

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Процитируйте содержимое файла в своем следующем сообщении.


 
Ссылка на сообщение
Поделиться на другие сайты

Да мы уже написали в ТП "Лаборатории Касперского" по поводу этой самописной программкой на что получили ответ:

 

"Вирусные аналитики проверили предоставленное ПО. Сообщили, что было ошибочное срабатывание.
Оно будет исправлено в ближайшее время."


 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От LodveGo
      Обнаружил с помощью касперского троян MEM:Trojan.Win32.SEPEH.gen. Помогите с его удалением.
      CollectionLog-2021.05.27-22.33.zip
    • От shime
      Вчера касперский разозлился на данный троян, лечил с перезагрузкой - появился заново. Сегодня перепробовал все программы: Kaspersky Virus Removal Tool, DrWeb CureIt!, AdwCleaner, всё равно ничего не помогает
       
      CollectionLog-2021.05.24-21.38.zip
    • От Муришна
      В нашу локальную сеть пробрались такие приколы как : 
      MEM:Trojan.Win32.EquationDrug.gen MEM:Trojan.Win32.SEPEH.gen MEM:Rootkit.Win64.EquationDrug.a и т.п.
      Удаляем через KSC 11 со всех зараженных, но после перезагрузки они возвращаются более озлобленные. 
      Помогите решить проблему. Как бороться с этой напастью?
    • От Александр Тихоненко
      Здравствуйте, компы начали хаотично заражаться mem trojan.win32.sepeh.gen. На всех установлен kaspersky endpoint security 10/11. Вирус обнаруживается, лечится с перезагрузкой и через определенное время происходит всё тоже самое.
      CollectionLog-2019.09.12-14.43.zip
    • От noVel
      Здравствуйте. Нужна помощь в удалении трояна, так как KES вылечить его не может.
        Результат:     Обнаружено: MEM:Trojan.Win32.SEPEH.gen Объект:     System Memory Причина:     Экспертный анализ   Установленный Kaspersky Endpoint Security 11.1.1.126 (лицензия) постоянно находит данный троян в памяти и включает "Активное лечение" но это не даёт результата.
      Полную проверку на максимальных настройках проводили, результата не даёт, т.е. даёт опять его обнаружение в памяти и новое активное лечение и так так до сих пор.
       
      1. Данным трояном заражено 14 компьютеров. Поэтому возникает вопрос перед началом лечения, возможно данный троян распространяется по локальной сети ? Так как лечить сразу все 14 компьютером нет возможности. Т.е.Отключать сеть ?
       
      2. И перед сбором логов, что делать с Kaspersky Endpoint Security. Как ловить данного трояна, если Kaspersky Endpoint Security молчит значит его нет в памяти, а когда он по неизвестным причинам появляется, его уже перехватывает Kaspersky Endpoint Security и начинает лечить.
       
      3. На компьютере установлен Netop School 6.23, не может быть эта реакция на данное ПО и просто ложным ?
       
      В общем, чего делать ? Первый раз в жизни столкнулся с тем что антивирусник Kaspersky не может победить :-(
×
×
  • Создать...