да, кастомная сборка
Start::
SystemRestore: On
CreateRestorePoint:
VirusTotal: C:\Users\Matvey\AppData\Roaming\NTSystem\ntlhost.exe
Task: {22FFAAF4-A47F-4E96-A0C9-2DB4D2CA99BE} - System32\Tasks\Microsoft\Windows\WindowsBackup\WinlogonCheck => C:\Programdata\ReaItekHD\taskhost.exe (Нет файла) <==== ВНИМАНИЕ
Task: {6D724CDF-B038-459C-8B68-EEDE981F522E} - System32\Tasks\Microsoft\Windows\WindowsBackup\OnlogonCheck => C:\Programdata\ReaItekHD\taskhostw.exe (Нет файла) <==== ВНИМАНИЕ
Task: {8C410A6F-0AC9-4FCC-92ED-3E432CEBBF91} - System32\Tasks\Microsoft\Windows\Wininet\winsers => C:\ProgramData\Windows Tasks Service\winserv.exe Task Service\winserv.exe (Нет файла) <==== ВНИМАНИЕ
Task: {8D2D489C-DA12-4CC3-BDE3-8B542690B254} - System32\Tasks\Microsoft\Windows\WindowsBackup\RealtekCheck => C:\Programdata\ReaItekHD\taskhost.exe (Нет файла) <==== ВНИМАНИЕ
Task: {96FBE936-69A2-4812-9BF1-CE4559569036} - System32\Tasks\Microsoft\Windows\WindowsBackup\TaskCheck => C:\Programdata\ReaItekHD\taskhostw.exe (Нет файла) <==== ВНИМАНИЕ
Task: {FAE61B09-A29F-4688-A5A9-5E821D679BE0} - System32\Tasks\Microsoft\Windows\Wininet\winser => C:\ProgramData\Windows Tasks Service\winserv.exe Task Service\winserv.exe (Нет файла) <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-19\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-20\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-3759899362-4057482451-3769758762-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
EmptyTemp:
Reboot:
End::Прикрепляю
Max file size exceeded (650 MB) на вирустотал не закидывается файл.
dropmefiles.com
сейчас вроде ничего не нагружается, не провисает, просто хотелось быть уверенным, что вирус полностью ушел.
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantine;
TerminateProcessByName('c:\users\matvey\appdata\roaming\ntsystem\ntlhost.exe');
QuarantineFile('C:\Users\Matvey\AppData\Roaming\NTSystem\ntlhost.exe', 'Trojan-Banker.Win64.ClipBanker.j');
DeleteFile('c:\users\matvey\appdata\roaming\ntsystem\ntlhost.exe', '32');
DeleteFile('c:\users\matvey\appdata\roaming\ntsystem\ntlhost.exe', '64');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NTSystem', 'x32');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NTSystem', 'x64');
end.При попытки выполнения скрипта вылез синий экран с ошибкой: KERNEL_SECURITY_CHECK_FAILURE (Файл ntlhost остался на компьютере + был почему-то в автозагрузках (отключил) Прочитал, кажись вирус, как удалять?
https://www.revi.cc/C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\sec.batO4 - HKCU\..\Run: [NTSystem] = C:\Users\Matvey\AppData\Roaming\NTSystem\ntlhost.exe
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\E&xport to Microsoft Excel: (default) = C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE (file missing)
O22 - Tasks: \Microsoft\VisualStudio\Updates\BackgroundDownload - C:\Program Files (x86)\Microsoft Visual Studio\Installer\resources\app\ServiceHub\Services\Microsoft.VisualStudio.Setup.Service\BackgroundDownload.exe (file missing)
