Решена Руткит Almoristics

[Alena***]

Добрый день! Вчера у знакомого в ноутбуке был обнаружен руткит Almoristics. Службу Almoristics Service удалила, кучу записей в реестре, посторонние папки. Но мне кажется, что я не все подчистила. Посмотрите пожалуйста логи.
ОС: Windows 7 SP1

 

[akok]

Для справки, gmer не поддерживается и не обновляется. На первый взгляд подчистили неплохо
"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - BITS Job: Fix all (including legit)
O22 - Task: (damaged) C:\Windows\System32\Tasks\Avast Software (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{01D9C17B-5556-4C25-8F15-9540BF0790B8} - \Microsoft\Windows\Media Center\MediaCenterRecoveryTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{054140C0-0A72-44B3-8FA2-AF51387FACB3} - \Microsoft\Windows\Media Center\SqlLiteRecoveryTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{63C39F4B-459C-4F25-B2E3-AEF1342026A9} - \Microsoft\Windows\Media Center\PvrScheduleTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{791B0B5F-1DF2-4511-B105-40E4108E04BA} - \Microsoft\Windows\Media Center\ObjectStoreRecoveryTask (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{904F70F5-0F8F-4572-BD1F-3B51E14DEA04} -  (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{904F70F5-0F8F-4572-BD1F-3B51E14DEA04} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{EC60B2C8-BF24-4604-A1BA-0282061D241E} -  (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{EC60B2C8-BF24-4604-A1BA-0282061D241E} - (no key)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F0CCD280-03B5-47A0-B856-F45AD8B15A5A} -  (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F0CCD280-03B5-47A0-B856-F45AD8B15A5A} - (no key)

проведем сканирование KVRT
и
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Alena***]

Готово.

 

[akok]

В общем чисто.
Подготовьте лог лог SecurityCheck by glax24

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки системы.

 

[Alena***]

SecurityCheck by glax24 & Severnyj v.1.4.0.58 [15.08.24]
WebSite: www.safezone.cc
DateLog: 02.09.2025 19:10:44
Path starting: C:\Users\Kurt\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: Kurt
VersionXML: 14.67is-30.08.2025
___________________________________________________________________________
Windows 7 Service Pack 1 Professional (x64) (6.1.7601) Язык: Russian(0419)
Дата установки ОС: 13.02.2025 14:54:52
Статус лицензии: Windows(R) 7, Professional edition Срок окончания начального льготного периода: 42060 мин.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Internet Explorer\iexplore.exe
Системный диск: C: ФС: [NTFS] Емкость: [150.5 Гб] Занято: [110.6 Гб] Свободно: [39.9 Гб]
------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась 14.01.2020, Ваша операционная система может быть уязвима к новым типам угроз
Internet Explorer 11.0.9600.21668 [+]
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Дата установки обновлений: 2025-04-04 20:39:40
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба работает
Службы удаленных рабочих столов (TermService) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
------------------------------- [ HotFix ] --------------------------------
HotFix KB3177467 Внимание! Скачать обновления
HotFix KB4012212 Внимание! Скачать обновления
HotFix KB4499175 Внимание! Скачать обновления
HotFix KB4565354 Внимание! Скачать обновления
HotFix KB4539602 Внимание! Скачать обновления
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2013 x64 v.15.0.4569.1506
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Windows Defender (выключен и обновлен)
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Malwarebytes version 5.3.6.205 v.5.3.6.205 Внимание! Скачать обновления
-------------------------- [ SecurityUtilities ] --------------------------
AnVir Task Manager v.9.4.0
--------------------------- [ OtherUtilities ] ----------------------------
Microsoft Office профессиональный плюс 2013 v.15.0.4569.1506 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft .NET Framework 4.8 v.4.8.03761 Внимание! Скачать обновления
Microsoft Office Professional Plus 2013 v.15.0.4569.1506 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
AIDA64 Extreme v7.50 v.7.50 Внимание! Скачать обновления
Foxit PDF Reader v.2024.4.0.27683 Внимание! Скачать обновления
^Локализованные версии могут обновляться позже англоязычных!^
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.32.31326 v.14.32.31326.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.30.30708 v.14.30.30708.0 Внимание! Скачать обновления
Microsoft SQL Server 2005 Compact Edition [ENU] v.3.1.0000 Данная программа больше не поддерживается разработчиком.
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip ZS 22.01 ZS v1.5.4 R2 (x64) v.22.01 ZS v1.5.4 R2 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
7-Zip 22.01 v.22.01 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
------------------------------- [ Imaging ] -------------------------------
XnView v.2.52.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Viber v.16.5.0.0 Внимание! Скачать обновления
Telegram Desktop v.6.0.2
--------------------------------- [ P2P ] ---------------------------------
Download Master version 7.1.3 v.7.1.3
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 321 (64-bit) v.8.0.3210.7 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u461-windows-x64.exe - Windows Offline (64-bit))^
-------------------------------- [ Media ] --------------------------------
AIMP v.5.40.2655 Внимание! Скачать обновления
^Внимание! Данный установщик устанавливает сторонние программы. Снимайте галочки или нажимайте Отмена в соответствующих окнах установщика.^
VLC media player v.3.0.21
QuickTime 7 v.7.79.80.95 Данная программа больше не поддерживается разработчиком и имеет известные проблемы безопасности! Рекомендуется деинсталлировать данное ПО.
------------------------------- [ Browser ] -------------------------------
Maxthon v.7.2.2.6000 Внимание! Скачать обновления Эта программа редко обновляется и может иметь проблемы безопасности. Рекомендуется деинсталлировать её и использовать Google Chrome, Brave или Vivaldi.
^Проверьте обновления через меню О программе!^
Opera Stable 95.0.4635.90 v.95.0.4635.90 Внимание! Скачать обновления
^Проверьте обновления через меню Обновление и восстановление!^
----------------------------- [ EmailClient ] -----------------------------
The Bat! v9.5.1 (64-bit) v.9.5.1 Внимание! Скачать обновления
------------------ [ AntivirusFirewallProcessServices ] -------------------
Malwarebytes Service (MBAMService) - Служба остановлена
Защитник Windows (WinDefend) - Служба остановлена
---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.6.32 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
Reg Organizer, версия 9.11 v.9.11 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
CCleaner Performance Optimizer Service (CCleanerPerformanceOptimizerService) - Служба остановлена
----------------------------- [ End of Log ] ------------------------------

 

[akok]

Исправьте по возможности, если применимо к win 7 и удачи

 

[Alena***]

Спасибо большое за помощь!

Хотела еще спросить, что делать с этими записями в реестре, которые обнаружил GMER, при обнаружении руткита?

 

[Severnyj]

Хотела еще спросить, что делать с этими записями в реестре, которые обнаружил GMER, при обнаружении руткита?

Ничего не делать. При обнаружении руткита, подозрительная строчка обозначается красным цветом.

В данном логе все записи легитимны, относятся к драйверу Bluetooth Port Driver (BTHPORT) и к сетевому адаптеру Intel.