Win32/CoinMiner.DV , WMI/CommandLineEventConsumer/FsxxleFilter/powershell &base64_script

Словил майнер на Сервере и не могу избавится: Оперативная память = msiexec.exe(16684);модифицированный Win32/CoinMiner.DV


TS-SERV_2018-08-23_12-05-46
Журнал Антивируса
Изменено: Роман Тимашков - 05.11.2018 12:20:13
добавьте лог проверки в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
Выкладываю
Изменено: Роман Т - 23.08.2018 19:02:02
1) Выполните лог в AdwCleaner
http://forum.esetnod32.ru/forum9/topic7084/

после завершения сканирования:
Записи относящиеся к Mail.Ru и Yandex можете не удалять ( если пользуетесь программой )
На вкладке:
Папки (Folders) для Mail.Ru  и Yandex снимите [V]


Удалите найденное в AdwCleaner по кнопке Очистить (Clean), подтвердите действие
с автоперезагрузкой

2) Выполните FRST: http://forum.esetnod32.ru/forum9/topic2798/
Изменено: RP55 RP55 - 23.08.2018 19:31:50
Выкладываю
Что сейчас с проблемой обнаружения майнера в оперативной памяти?
24.08.2018 9:04:28;Оперативная память = msiexec.exe(4492);модифицированный Win32/CoinMiner.DV потенциально нежелательная программа;очищен удалением
24.08.2018 9:04:28;Модуль сканирования файлов, исполняемых при запуске системы;файл;Оперативная память = msiexec.exe(4492);модифицированный Win32/CoinMiner.DV потенциально нежелательная программа;очищен удалением
Такое чувство, что он компилируется в памяти, почему он не находится антивирусом на диске?
Цитата
Роман Т написал:
Такое чувство, что он компилируется в памяти, почему он не находится антивирусом на диске?
возможно, майнер загружается в память извне в результате эксплуатации какой-либо уязвимости системных служб или установленных приложений.

ваш сервер виден из внешней сети напрямую, или доступен только после подключения по VPN?
+ еще вариант, сделать образ автозапуска из безопасного режима системы
Читают тему (гостей: 1)