Win32/Spy.Agent.QFL троянская программа в оперативной памяти - Форум технической поддержки ESET NOD32

[ Закрыто ] Win32/Spy.Agent.QFL троянская программа в оперативной памяти

Сообщений: 4

Баллов: 2

Регистрация: 03.06.2022

Размещено 03.06.2022 18:40:26

Помогите избавиться от этой напасти

Оперативная память » C:\Windows\System32\dllhost.exe - OК
Оперативная память » C:\Program Files (x86)\ASUS\ArmouryDevice\dll\AiSuiteSDK\ArmouryAiSuiteSDK.dll - OК
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\e0acf484.dll - не удается открыть [4]
Оперативная память » C:\Windows\SysWOW64\cmd.exe - OК
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll - не удается открыть [4]
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll » EMB » [#1]GRef - Win32/Spy.Agent.QFL троянская программа - выбор действия отложен до завершения сканирования
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll » EMB » [#0]GRef - модифицированный Win64/Kryptik.CNH троянская программа - выбор действия отложен до завершения сканирования
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\4fbc3690.dll - не удается открыть [4]
Оперативная память » C:\Windows\SysWOW64\dllhost.exe - OК
Оперативная память » mem_180000_32972.dll - не удается открыть [4]
Оперативная память » D:\Download\uvs_latest\tfpmbk - не удается открыть [4]
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll - не удается открыть [4]
Количество просканированных объектов: 1640
Количество обнаружений: 2
Количество очищенных объектов: 0

Прикрепленные файлы

DESKTOP-RPJ3CQS_2022-06-04_01-30-10_v4.12.7z (936.81 КБ)

Ответы

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.06.2022 12:20:31

Вадим, посмотри пожалуйста, в этих папках что-то еще осталось?
%SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\
%SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\

подозрение на то, что для запуска вредоносного кода, использовались легальные файлы, которые при запуске могли загружать вредоносные dll
---------------
Теперь можно отменить отслеживание процессов и лог DNS
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;

Код
;uVS v4.12 [http://dsrt.dyndns.org:8888] ;Target OS: NTv11.0 v400c OFFSGNSAVE regt 40 regt 42 QUIT

без перезагрузки системы

[ Как создать образ автозапуска? ]