Win32/Spy.Agent.QFL троянская программа в оперативной памяти - Форум технической поддержки ESET NOD32

Сообщений: 4

Баллов: 2

Регистрация: 03.06.2022

Размещено 03.06.2022 18:40:26

Помогите избавиться от этой напасти

Оперативная память » C:\Windows\System32\dllhost.exe - OК
Оперативная память » C:\Program Files (x86)\ASUS\ArmouryDevice\dll\AiSuiteSDK\ArmouryAiSuiteSDK.dll - OК
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\e0acf484.dll - не удается открыть [4]
Оперативная память » C:\Windows\SysWOW64\cmd.exe - OК
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll - не удается открыть [4]
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll » EMB » [#1]GRef - Win32/Spy.Agent.QFL троянская программа - выбор действия отложен до завершения сканирования
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll » EMB » [#0]GRef - модифицированный Win64/Kryptik.CNH троянская программа - выбор действия отложен до завершения сканирования
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\4fbc3690.dll - не удается открыть [4]
Оперативная память » C:\Windows\SysWOW64\dllhost.exe - OК
Оперативная память » mem_180000_32972.dll - не удается открыть [4]
Оперативная память » D:\Download\uvs_latest\tfpmbk - не удается открыть [4]
Оперативная память » C:\Users\kvv80\AppData\Local\Temp\18e39c2.dll - не удается открыть [4]
Количество просканированных объектов: 1640
Количество обнаружений: 2
Количество очищенных объектов: 0

Прикрепленные файлы

DESKTOP-RPJ3CQS_2022-06-04_01-30-10_v4.12.7z (936.81 КБ)

Сообщений: 6234

Баллов: 4987

Регистрация: 25.05.2010

Размещено 04.06.2022 00:38:16

(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\CMD.EXE [21632]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\SVCHOST.EXE [1640]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\DLLHOST.EXE [22116]
------------------
Update:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v4.12 [http://dsrt.dyndns.org:8888] ;Target OS: NTv11.0 v400c OFFSGNSAVE regt 39 regt 41 ZOO C:\USERS\KVV80\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DRIVER.URL ZOO C:\USERS\KVV80\APPDATA\LOCAL\TEMP\17160620-A705FA60-F93F37A0-9487ABE0\1A53653324.SYS CZOO restart

Код

;uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
regt 39
regt 41
ZOO C:\USERS\KVV80\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DRIVER.URL
ZOO C:\USERS\KVV80\APPDATA\LOCAL\TEMP\17160620-A705FA60-F93F37A0-9487ABE0\1A53653324.SYS
CZOO
restart

перезагрузка, сделайте пожалуйста, новый образ автозапуска
добавьте на форум полученный файл ZOO*
+
нужен лог ESETLogCollector
https://forum.esetnod32.ru/forum9/topic10671/

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.06.2022 05:06:39

+
лог ESETSysVulnCheck
Скачайте специальную утилиту ESETSysVulnCheck[/B] по ссылке (скачивать необходимо в IE)
https://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe

и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 03.06.2022

Размещено 04.06.2022 08:48:20

+

Прикрепленные файлы

ZOO_2022-06-04_15-07-10.7z (610 Б)
DESKTOP-RPJ3CQS_2022-06-04_15-15-36_v4.12.7z (956.08 КБ)
DESKTOP-RPJ3CQS_2022-06-04_15-21-48.TXT (20.13 МБ)
ESVC_DESKTOP-RPJ3CQS_20220604153148.zip (73.21 КБ)
eis_logs.zip (5.61 МБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.06.2022 09:24:40

этот файл проверьте, пожалуйста, на Virustotal.com, дайте нам ссылку на линк проверки:
C:\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI

с этим файлом что случилось? не удалили его случайно?
"Модуль" = "c:\windows\syswow64\svchost.exe" ( 1: Безопасно ) ; Хост-процесс для служб Windows ; Microsoft Corporation ;

[ Как создать образ автозапуска? ]

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.06.2022 09:57:47

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v4.12 [http://dsrt.dyndns.org:8888] ;Target OS: NTv11.0 v400c OFFSGNSAVE zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI zoo %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\VLC.EXE zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\VLC.EXE zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\VXPLAYER.EXE ;---------command-block--------- delall %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\VLC.EXE delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\VLC.EXE delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\VXPLAYER.EXE delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\TEMP\XVEASRLJH.QTD delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\TEMP\EC905A47.PNG delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI delall %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DRIVER.URL apply czoo restart

Код

;uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI
zoo %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\VLC.EXE
zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\VLC.EXE
zoo %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\VXPLAYER.EXE
;---------command-block---------
delall %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\VLC.EXE
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\FULLDUMP\2CED3B14\DB31E98E\VLC.EXE
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\ACTIVISION\CALL OF DUTY VANGUARD\CRASH_REPORTS\A63750E0\VXPLAYER.EXE
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\TEMP\XVEASRLJH.QTD
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\TEMP\EC905A47.PNG
delall %SystemDrive%\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI
delall %SystemDrive%\USERS\KVV80\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DRIVER.URL

apply

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z) отправить в почту [email protected]

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 03.06.2022

Размещено 04.06.2022 11:09:45

Цитата
santy написал: этот файл проверьте, пожалуйста, на Virustotal.com, дайте нам ссылку на линк проверки:C:\USERS\KVV80\APPDATA\LOCAL\PROGRAMS\ADLOCK\D2C1BEE53B.MSI

https://www.virustotal.com/gui/file/7096ace4487307c32f707c46fa456404d1fdb8a4c4ab8b5c6b5573963bbe8a27

Цитата
santy написал: с этим файлом что случилось? не удалили его случайно?"Модуль" = "c:\windows\syswow64\svchost.exe" ( 1: Безопасно ) ; Хост-процесс для служб Windows ; Microsoft Corporation ;

этот файл присутствует

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.06.2022 11:38:15

Хорошо. Выполняем скрипт с перезагрузкой системы. Проверяем результат после перезагрузки.

[ Как создать образ автозапуска? ]

Сообщений: 4

Баллов: 2

Регистрация: 03.06.2022

Размещено 04.06.2022 12:10:11

Цитата
santy написал: Хорошо. Выполняем скрипт с перезагрузкой системы. Проверяем результат после перезагрузки.

Скрипт выполнил. Спасибо вам, антивирус больше ничего не находит.

Цитата
santy написал: архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z) отправить в почту [email protected]

отправил

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 04.06.2022 12:18:12

Отлично, спасибо Вам за все предоставленные оперативно логи и файлы.

[ Как создать образ автозапуска? ]

[ Закрыто ] Win32/Spy.Agent.QFL троянская программа в оперативной памяти