В работе Подозрение на кейлоггер или вирус

Переводчик Google
A

AnTRoKyRT

Новый пользователь
Сообщения
21
Реакции
1
При установке игры антивирус Виндовс выключил защиту и высветилось окно про то, что это дело рук IT админа. В браузере закладки поменяли свое расположение, хотя я ничего с ними не делал. При сканировании Автологгером проверка на кейлоггер пропускается, хотя я ее включал.
 

Вложения

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.
Выполните скрипт в AVZ (Файл - Выполнить скрипт) (..\AutoLogger\AV\avz.exe):

Код: 
begin
 QuarantineFile('C:\WINDOWS\SysWOW64\cbfsShellHelper26.dll', '');
 QuarantineFile('C:\WINDOWS\system32\cbfsShellHelper26.dll', '');
 DeleteFile('C:\WINDOWS\system32\cbfsShellHelper26.dll', '64');
 DeleteFile('C:\WINDOWS\SysWOW64\cbfsShellHelper26.dll', '32');
 DelCLSID('{669D169E-4C62-4ED4-84C8-DDE4E39B25F2}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\cbfs26\NetworkProvider', 'ProviderPath', 'x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler', '{669D169E-4C62-4ED4-84C8-DDE4E39B25F2}', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad', 'CallbackTechMountNotificator-cbfs26', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{669D169E-4C62-4ED4-84C8-DDE4E39B25F2}', 'x32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler', '{669D169E-4C62-4ED4-84C8-DDE4E39B25F2}', 'x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad', 'CallbackTechMountNotificator-cbfs26', 'x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{669D169E-4C62-4ED4-84C8-DDE4E39B25F2}', 'x64');
ExecuteSysClean;
 ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код: 
begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Полученный архив quarantine.zip из папки с распакованной утилитой AVZ (..\AutoLogger\AV) отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
К сообщению на форуме прикреплять файл quarantine.zip не нужно!

Пофиксите в HJT (некоторые строки могут отсутствовать):


Код: 
O7 - Policy: HKLM\..\Windows\Explorer: [DisableSearchBoxSuggestions] = 1
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O7 - Windows Defender Exclusion - Paths: C:\Emulators\xemu-0.8.134-windows-x86_64 (Directory)
O7 - Windows Defender Exclusion - Paths: C:\Games (Directory)
O18 - HKLM\Software\Classes\Protocols\Filter\application/octet-stream: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\application/x-complus: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O18 - HKLM\Software\Classes\Protocols\Filter\application/x-msdownload: [CLSID] = {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - (no file)
O22 - Tasks: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Avast Software (empty)
O22 - Tasks: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\GoogleUserPEH (empty)
O26 - Office Addin: HKLM\..\NativeShim - (Inquire) -> (no file)


Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.
Как узнать разрядность моей системы?

  • Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.
  • Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).
  • Нажмите кнопку Scan (Сканировать).

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.
 
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1 строка отсутсвует
 

Вложения

  • FRST.rar
    FRST.rar
    28.7 KB · Просмотры: 3
Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:

Код: 
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Unlock: C:\FRST\
RemoveProxy:
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
ShellServiceObjects-x32: Нет имени -> {669D169E-4C62-4ED4-84C8-DDE4E39B25F2} => 
StartPowershell:
Remove-MpPreference -ExclusionPath "C:\Emulators\xemu-0.8.134-windows-x86_64"
Remove-MpPreference -ExclusionPath "C:\Games"
Set-MpPreference -DisableAutoExclusions $true -Force
Set-MpPreference -Mapsreporting basic -Force
Set-MpPreference -DisableArchiveScanning $false -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -DisableRealtimeMonitoring $false -Force
Set-MpPreference -DisablePrivacyMode $true -Force
Set-MpPreference -DisableIOAVProtection $false -Force
Set-MpPreference -UILockdown 0
Set-MpPreference -ScanPurgeItemsAfterDelay 1
Set-MpPreference -CheckForSignaturesBeforeRunningScan $true -Force
Set-MpPreference -PUAProtection enabled -Force
Update-MpSignature
Get-MpComputerStatus
Get-MpPreference
Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage
Get-AppxPackage Microsoft.SecHealthUI -AllUsers|select Name, Status
EndPowerShell:
Reg: reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules C:\Firewall.reg
C:\Firewall.reg
CMD: netsh advfirewall reset
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::
Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.
 
Сообщите, что с проблемой?
 
Ок, мусор почистили. Сбросили настройки центра безопасности и брандмауэра.
Активных зловредов в логах не было. На случай вероятности заражения рат или стилером - дам совет в итоговом сообщении

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

Подготовьте лог SecurityCheck by glax24:
Скачайте архив, распакуйте в любую папку и запустите.
Дождитесь окончания сканирования, прикрепите лог C:\SecurityCheck\SecurityCheck.txt к своему следующему сообщению.
 
Обновите ПО:

GPL Ghostscript v.10.05.1 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14332.21017 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office. (Главная - Учетная запись - Параметры обновления - Обновить).^
FileZilla 3.69.5 v.3.69.5 Внимание! Скачать обновления
Microsoft OneDrive v.25.031.0217.0003 Внимание! Скачать обновления
WinRAR 7.01 (64-bit) v.7.01.0 Внимание! Скачать обновления
qBittorrent v.5.0.4 Внимание! Скачать обновления
Java 8 Update 461 (64-bit) v.8.0.4610.11 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u503-windows-x64.exe - Windows Offline (64-bit))^
Java 8 Update 144 v.8.0.1440.1 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u503-windows-i586.exe - Windows Offline)^
Adobe Acrobat (64-bit) v.25.001.20474 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^

Советую провести сканирование системы антивирусными сканерами, например: Kaspersky Virus Removal Tool, Dr.Web CureIt! или ESET Online Scanner.

Проверьте мессенджеры, социальные сети и игровые клиенты на "лишние" сессии, завершите неизвестные. Смените пароли (онлайн-банки и кошельки, социальные сети, игровые клиенты, электронная почта и проч.) и включите двухфакторную авторизацию. Используйте сложные пароли из случайных символов размером 20-25 знаков.

Сбросьте настройки используемых браузеров:
Google Chrome
1. Откройте chrome://settings/reset
2. Нажмите «Восстановить настройки по умолчанию» → подтвердите.

Яндекс.Браузер
1. Откройте browser://settings/reset
2. Нажмите «Сбросить» → подтвердите.

Microsoft Edge
1. Откройте edge://settings/reset
2. Нажмите «Восстановить стандартные настройки» → подтвердите.

Mozilla Firefox
1. Откройте меню → Справка → Информация для решения проблем (или введите about:support)
2. Справа нажмите «Очистить Firefox…» → подтвердите.

Регулярно делайте резервные копии важных данных на внешние диски и в облачные хранилища — так Вы защитите их от возможной утери при проблемах с "железом" или при атаках троянов-шифровальщиков.

Для блокировки нежелательного контента советую установить расширения браузеров uBlock Origin (uBlock/uBO Lite), Privacy Badger и Browser Guard.
Скачивайте расширения только из официальных магазинов. Не устанавливайте слишком много расширений и регулярно проверяйте их список.

Ознакомьтесь со следующей информацией:

Рекомендации после удаления вредоносного ПО
 
Войдите или зарегистрируйтесь для ответа.
Назад
Сверху Снизу