Перейти к содержанию
Правила раздела

[РЕШЕНО] Троян Wacatac.B!ml

Mishail

Автор Mishail
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Mishail

Mishail

Опубликовано
Опубликовано

Здравствуйте, все началось с того что мне нужно было скачать установительные диски MS-Dos для Virtual Box (много файлов не пропускало - были с вирусами, ну я этому не предал значения и дальше их не устанавливал). На следующий день захожу в браузер Opera и вижу место поисковика Google - Find IT pro. Я ж смотрю появилось странной расширение и еще на разных браузерах, ну я почистил кэш и поудалял это расширение. Дальше все нормально работало и в один момент антивирус начал ругаться - захожу а там целый букет Троянов и Майнеров. Я сразу же начал сканировать через SpyHunter (он за 2 часа ничего не обнаружил), потом сканировал вирусы через mrt (3.30 часа - тоже ничего не нашел),потом полностью сканировал еще раз через встроенный антивирус Windows (в журнале угроз выдает куча вирусов, но когда захожу в полный журнал угроз - ничего уже нету), смотрел через Панель Управления/Программы и компоненты - никаких новых скаченных приложений не было,  смотрел так же в Диспетчере задач - так как у меня процессор Ryzen и нету видеокарты (а встроенное ядро) майнер по идее должен быть на видеокарте, но так нету её процессор занят на 3-10%. Так же искал сторонние приложения в вкладках Процессы,Автозагрузка,Подробности,Службы - посторонних програм не нашел. И самое главное никаких нагрузок и пролагов нету, все работало как и раньше, помогите пожалуйста решить проблему.

1.PNG

2.PNG

thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

Sandor

Sandor

Опубликовано
Опубликовано

Если не возражаете, я продолжу.

 

Деинсталлируйте бесполезный SpyHunter4.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
CHR Notifications: Default -> hxxps://best-loan-info.com; hxxps://ccleaner-download.xyz; hxxps://mail-notification.info; hxxps://pinghauz.xyz; hxxps://s-tracking.xyz; hxxps://supertopfreegames.com; hxxps://zarabotok-online.xyz
CHR HomePage: Default -> hxxps://find-it.pro/?utm_source=distr_m
CHR StartupUrls: Default -> "hxxps://find-it.pro/?utm_source=distr_m"
C:\Users\Миша\AppData\Local\Google\Chrome\User Data\Default\Extensions\ibknafobnmndicojahlppolcaaibngjf
CHR HKU\S-1-5-21-1860530400-3111590743-3981281768-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
S2 SpyHunter 4 Service; D:\Program Files\SpyHunter\SH4Service.exe [797352 2016-07-20] (Enigma Software Group USA, LLC -> Enigma Software Group USA, LLC.)
S3 EsgScanner; C:\Windows\SysWOW64\DRIVERS\EsgScanner.sys [22704 2016-10-15] (Enigma Software Group USA, LLC -> )
AlternateDataStreams: C:\ProgramData:NT [40]
AlternateDataStreams: C:\ProgramData:NT2 [842]
AlternateDataStreams: C:\Users\All Users:NT [40]
AlternateDataStreams: C:\Users\All Users:NT2 [842]
AlternateDataStreams: C:\Users\Все пользователи:NT [40]
AlternateDataStreams: C:\Users\Все пользователи:NT2 [842]
AlternateDataStreams: C:\ProgramData\Application Data:NT [40]
AlternateDataStreams: C:\ProgramData\Application Data:NT2 [842]
AlternateDataStreams: C:\Users\Миша\Application Data:NT [40]
AlternateDataStreams: C:\Users\Миша\Application Data:NT2 [842]
AlternateDataStreams: C:\Users\Миша\AppData\Roaming:NT [40]
AlternateDataStreams: C:\Users\Миша\AppData\Roaming:NT2 [842]
AlternateDataStreams: C:\Users\Миша\AppData\Local\Temp:$DATA [16]
FirewallRules: [{60033D25-1543-4C43-B371-609776D52948}] => (Allow) LPort=32682
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Mishail

Mishail

Опубликовано
  • Автор
Опубликовано (изменено)

@SandorПишет что угроз в карантине нету, но если зайти в Полный журнал - угрозы остались. А вот перезашел посмотреть - угрозы пропали, может интерфейс лагает?

2333.PNG

22222.PNG

@SandorВот что показывает: 

32323.PNG

Изменено пользователем Mishail
Sandor

Sandor

Опубликовано
Опубликовано

Кнопкой "Очистить журнал" содержимое не очищается?

Mishail

Mishail

Опубликовано
  • Автор
Опубликовано

@Sandorне могу сказать так как в данный момент зашел проверить и нету угроз

Sandor

Sandor

Опубликовано
Опубликовано

Вот и хорошо.

В завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Sandor

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.71 (64-разрядная) v.5.71.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
Skype, версия 8.72 v.8.72 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.5.5.46112 Внимание! Клиент сети P2P с рекламным модулем!.
--------------------------------- [ SPY ] ---------------------------------
Radmin Viewer 3.5.2 v.3.52.1.0000 Внимание! Программа удаленного доступа!
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 291 v.8.0.2910.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u311-windows-i586.exe)^
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Reader XI (11.0.23) - Russian v.11.0.23 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.
---------------------------- [ UnwantedApps ] -----------------------------
Кнопка "Яндекс" на панели задач v.2.2.1.54 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

 

Читайте Рекомендации после удаления вредоносного ПО

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Dmitry2811
      [РЕШЕНО] trojanstarter,keysender, Трояны, майнеры, нацеплял за много лет
      Автор Dmitry2811
      сегодня играл в игру и обратил внимание, что в целом комп стал совсем слабо тянуть по производительности, потыкался в диспетчере задач с ЦП, все стало норм, обратил внимание что снова появились просадки, когда открывал диспетчер то все было ок, дальше самое интересное)))
      я начал изучать подробности и процессы и диспетчер сам начал закрываться, я сразу же полез в браузер качать антивирусы и все такое прочее, как вдруг браузер резко начал сам выключаться)) с командной строкой и диспетчером задач то же самое, после перезагрузки еле как успел врубить безопасный режим, скачал cureit, нашло 28 пунктов, далее будут на фото, сори что в таком качестве, я не знаю правильно сделал или нет что удалил их, но на нервяке был сильном, через AV block remover прогнал, удалил пользователя John, потом на второй раз прошел cureit, нашло одного трояна, и второй раз шлифанул через AVBR, через скрытый файл hosts вернул доступ к сайтам, прошу прощения что так расписал, но на таком нервяке сейчас…помогите пожалуйста, добить этот треш
       
    • Graf_Bender
      Словил майнер
      Автор Graf_Bender
      Добрый день. Скачал какойCollectionLog-2025.12.03-09.49.zip-то файл на комп и заметил что он стал сильно греться, проверил утилитой Dr.Web и обнаружил что на компе вирусня. Помогите плиз

    • Георгий123
      MEM: Trojan-PSW.Win32. Mimikatz.gen и Backdoor.Win32.Gulpix.gen
      Автор Георгий123
      Здравствуйте, уважаемые эксперты. Прошу вашей помощи, так как сам уже не справляюсь. Ситуация запутанная
       
      Моя история и что я делал:
       
       У меня установлен антивирус Huorong Internet Security. Пару месяцев недель назад он начал обнаруживать и отправлять в карантин подозрительные файлы по пути вроде C:\Windows\System Temp\chrome_Unpacker_BeginUnzipping...\UpdaterSetup.exe. Они появлялись пачками по 3-4 файла 
      Сегодня я выключил интернет кабель по рекомендациям, запустил Kaspersky Virus Removal Tool (KVRT). Он нашёл трояны и я попытался вылечить угрозу: MEM:Backdoor.Win32.Gulpix.gen.
      После лечения и перезагрузки KVRT снова проверил систему и обнаружил уже ДРУГИЕ угрозы:
         · Trojan.Win32.Dorma.aeph — расположение: C:\Users\[Моё_Имя]\Downloads\CCleaner Soft download load.exe 
         · MEM:Trojan-PSW.Win32.Mimikatz.gen 
      Я пробовал лечить и эти угрозы через KVRT, но после перезагрузки ситуация повторяется: антивирус снова находит Mimikatz.
      После 3 проверки опять появился тот самый бэкдор..
      Интернет кабель ещё не включал я думаю что если я включу обратно или там перезагружу компьютер и начну им пользоваться то это все появится лбратно
      Прошу вас помочь! Буду очень благодарен, не разбираюсь особо в этом, но жалко компьютер.. 
       
    • AscRK
      Удаление самовосстанавливающегося майнера
      Автор AscRK
      Dr. Web CureIt определил ряд троянов и майнеров, очистить которые до конца не получается - после перезагрузки все вредоносные программы возвращаCollectionLog-2025.11.24-15.43.zipются на места.
    • pvroma81
      Помогите разобраться с риском trojan:Win32/Kepavll!rfn
      Автор pvroma81
      Доброго вечера, уважаемые эксперты! Не являюсь уверенным бойцом с вирусами, поэтому заранее прощу прощения, если вопрос глупый... 
      При скачивании торрент-файла через клиент uTorrent защитник windows выругался на установщик игры (.exe), поместив файл в карантин с пометкой trojan:Win32/Kepavll!rfn. Папка грузилась в "загрузки".
      Я немедленно прервал загрузку торрента, удалил все его файлы (через кнопку в самом же uTorrent). Сам установщик с вирусом (.exe) я не запускал!
       
      После этого прогнал полную проверку защитника windows + автономную проверку + CureIt - во всех случаях "угроз не обнаружено". Правильно понимаю, что последствий удалось избежать? Все ли правильно сделано? Или стоит провести еще какую-нибудь проверку? Читал на Вашем форуме про этот вирус от 27.06.25, там у человека были серьезные последствия и серьезные рекомендации, но я подумал, что в моем случае (когда угрозы вроде не обнаружены) это все может быть излишним.
       
      Благодарю за ответ! Поможет моей компьютерной грамотности
      p.s. никаких больше торрентов...
       

      Curelt:

×
×
  • Создать...