Operating memory » a variant of Win32/Spy.Agent.QGW trojan
1.
по журналу ELC:
20.01.2022 9:40:02 Advanced memory scanner file Operating memory » C:\Users\itc-omn\AppData\Local\Temp\1ca9c872.dll multiple threats deleted 4EC9095A35736DFFE889AC992A4460A6C780972F
20.01.2022 9:39:54 Advanced memory scanner file Operating memory » C:\Users\itc-omn\AppData\Local\Temp\1ca9c872.dll multiple threats deleted F378F3E53FF08A9DF28586DE383A8A4D3B1F35EB
по ESI:
"Командная строка" = "c:\users\itc-omn\appdata\local\asus giftbox\user data\a3f739aa\vmplayer.exe -us:8 -lznupsl:12" ( 9: Высокий риск ) ; ; ;
"Командная строка" = "c:\users\itc-omn\appdata\local\apps\f2238d51\vnplayer.exe /xsqlrl:66576859 /bk /wfu /bziujw:825" ( 9: Высокий риск ) ; ; ;
"Модуль" = "c:\users\itc-omn\appdata\local\temp\34a8f4f8.dll" ( 6: Неизвестно ) ;
"Модуль" = "c:\users\itc-omn\appdata\local\temp\1ca9c872.dll" ( 6: Неизвестно ) ;
uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\SVCHOST.EXE [10212]
"C:\Users\itc-omn\AppData\Local\ASUS GIFTBOX\User Data\a3f739aa\vmplayer.exe" -us:8 -lznupsl:12
C:\Users\itc-omn\AppData\Local\Apps\f2238d51\vnplayer.exe /xsqlrl:66576859 /bk /wfu /bziujw:825
---------------------------------------
2.
по журналу ELC:
03.08.2022 16:21:55 Advanced memory scanner file Operating memory » C:\Users\Дмитрий\AppData\Local\Temp\28e86510.dll a variant of Win32/Spy.Agent.QGW trojan cleaned by deleting E270A42E0B87887376DE25E48312CFF2571DB9A3
03.08.2022 16:21:50 Advanced memory scanner file Operating memory » C:\Users\Дмитрий\AppData\Local\Temp\28e86510.dll a variant of Win32/Spy.Agent.QGW trojan cleaned by deleting 5F66A0781CDCECDF6C65F348E189362EF587274F
по ESI:
cmd.exe, 3180, COMP-BDA\Дмитрий, , Windows Command Processor, Microsoft Corporation, "C:\Windows\system32\cmd.exe"
c:\users\Дмитрий\appdata\roaming\java.exe /pj=9757386 /zgvlo=92 /nbw /mkj=13105, ,
по uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\CMD.EXE [3180]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\DLLHOST.EXE [3492]
Ошибка доступа к файлу: C:\USERS\ДМИТРИЙ\APPDATA\ROAMING\JAVA.EXE
192.168.11.195:50568 <-> 45.136.51.50:5873
"C:\Users\Дмитрий\AppData\Roaming\java.exe" /pj=9757386 /zgvlo=92 /nbw /mkj=13105
3.
по ELC:
22.09.2022 12:56:59 Advanced memory scanner file Operating memory » C:\Users\igor\AppData\Local\Temp\1a10b5ce.dll a variant of Win32/Spy.Agent.QGW trojan cleaned by deleting 3634BFE5E04A47482E02F849D0C5FACA31213B0F
22.09.2022 12:55:09 Advanced memory scanner file Operating memory » C:\Users\igor\AppData\Local\Temp\1a10b5ce.dll a variant of Win32/Spy.Agent.QGW trojan cleaned by deleting B7C9EDF0683C243AD74CA7D2760003A3EC3806A5
по ESI:
cmd.exe, 11848, DESKTOP-E9NA6G1\igor, , Windows Command Processor, Microsoft Corporation, "C:\Windows\system32\cmd.exe"
dllhost.exe, 14140, DESKTOP-E9NA6G1\igor, , COM Surrogate, Microsoft Corporation, "C:\Windows\system32\dllhost.exe"
c:\users\igor\appdata\roaming\msidb.exe /hxxsx:8484 /om:7 /eqcirph /qdkfh, ,
по uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\CMD.EXE [9684]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSWOW64\CMD.EXE [9684], tid=12516
192.168.0.10:51628 <-> 5.45.93.247:5959
"C:\Users\igor\AppData\Roaming\MsiDb.exe" /hxxsx:8484 /om:7 /eqcirph /qdkfh
