http://forum.esetnod32.ru Новое в теме MSIL/Injector.YT - угроза в оперативной памяти форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Sun, 03 May 2026 04:34:38 +0300 MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
Ярослав,
поживем, увидим .
закрываю тему
25.06.2015 10:21:05, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86188/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86188/ Thu, 25 Jun 2015 10:21:05 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
День добрый!
От греха подальше удалил из C:\WINDOWS\SYSTEM32\TASKS\ файл KMSAUTONET, а из C:\WINDOWS - папку MULTIKMS. Все, детекта нет со вчерашнего вечера. Надеюсь, болезнь если и не излечена, то заглушена надолго. Или я снова рано радуюсь?
Благодарю, santy, за помощь!  
25.06.2015 09:07:00, Ярослав Иващук.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86183/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86183/ Thu, 25 Jun 2015 09:07:00 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
есть пара файлов:
в списке задач и в сервисах.

====quote====
Полное имя                  C:\PROGRAMDATA\KMSAUTOS\KMSAUTO NET.EXE
Имя файла                   KMSAUTO NET.EXE
Тек. статус                 в автозапуске
                           
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
File_Id                     5476BE60506000
Linker                      11.0
Размер                      5243904 байт
Создан                      06.06.2015 в 10:33:06
Изменен                     06.06.2015 в 10:28:11
                                                     
Оригинальное имя            KMSAuto Net.exe
Версия файла                1.3.4
Описание                    KMSAuto Net
Производитель               MSFree Inc.
                           
Доп. информация             на момент обновления списка
CmdLine                     /WIN=ACT
SHA1                        723209AE8ACB8FAF520CA1271505A8E6737154C9
MD5                         11D5507C8770EB6BF95E1924C83955A9
                           
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\KMSAUTONET

=============

и


====quote====
Полное имя                  C:\WINDOWS\MULTIKMS\MULTIKMS.EXE
Имя файла                   MULTIKMS.EXE
Тек. статус                 АКТИВНЫЙ ?ВИРУС? сервис в автозапуске
                           
www.virustotal.com          2014-09-01
Microsoft                   HackTool:Win32/Keygen
                           
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ сервис в автозапуске
File_Id                     4EC7BDAA164000
Linker                      8.0
Размер                      1435136 байт
Создан                      06.06.2015 в 10:08:56
Изменен                     06.06.2015 в 10:08:56
                           
TimeStamp                   19.11.2011 в 14:31:06
EntryPoint                  +
OS Version                  4.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Оригинальное имя            MultiKMS.exe
Версия файла                2.3.0.0
Описание                    MultiKMS
                           
Доп. информация             на момент обновления списка
pid = 2020                  NT AUTHORITY\СИСТЕМА
CmdLine                     "C:\Windows\MultiKMS\MultiKMS.exe"
Процесс создан              10:28:33 [2015.06.23]
С момента создания          02:47:31
parentid = 548              
SHA1                        8AAD6038051F0E2200F20C4DA67B035A4B18053E
MD5                         1A18053E9943C658B33F072D8BDB9435
                           
Ссылки на объект            
Ссылка                      HKLM\System\CurrentControlSet\Services\MultiKMS\ImagePath
ImagePath                   "C:\Windows\MultiKMS\MultiKMS.exe"
MultiKMS                    тип запуска: Авто (2)
Prefetcher                  C:\WINDOWS\Prefetch\Layout.ini
                           
Образы                      EXE и DLL
MULTIKMS.EXE                C:\WINDOWS\MULTIKMS

=============
--------
визможно причина детектирования в одном из них.
23.06.2015 17:51:50, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86156/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86156/ Tue, 23 Jun 2015 17:51:50 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
В автозагрузке, доступной из диспетчера задач, ничего подобного на активатор не обнаружил. В процессах, однако, обнаружился процесс MultiKMS. Я его убил, сделал несколько контрольных перезагрузок компьютера. Прошло 20 минут работы, детект не обнаруживается. Далее сегодня нет возможности отслеживать (на работу пора), посмотрю еще завтра. Спасибо за помощь!
23.06.2015 17:26:29, Ярослав Иващук.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86153/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86153/ Tue, 23 Jun 2015 17:26:29 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
проверьте будет ли детект если исключить активатор из автозапуска
23.06.2015 16:30:06, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86143/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86143/ Tue, 23 Jun 2015 16:30:06 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
Что ж, симптомы похожие. Каков будет Ваш вердикт? Какие действия предпринять?
23.06.2015 16:23:57, Ярослав Иващук.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86142/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86142/ Tue, 23 Jun 2015 16:23:57 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
да, здесь на форуме чуть ниже несколько тем с этой же проблемой
http://forum.esetnod32.ru/forum6/topic12130/
http://forum.esetnod32.ru/forum6/topic12104/
http://forum.esetnod32.ru/forum6/topic12123/


====quote====
23.06.2015 14:58:52 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = mem_3840000_2020.dll модифицированный MSIL/Injector.YT троянская программа очистка невозможна
23.06.2015 14:58:52 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = mem_30F0000_2020.dll модифицированный MSIL/Injector.YT троянская программа очистка невозможна
23.06.2015 14:58:52 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = mem_30E0000_2020.dll модифицированный MSIL/Injector.YT троянская программа очистка невозможна

=============
и по всем темам в образе автозапуске в задачах запуск этого (или аналогичного) активатора.
-------
то что не было детекта раньше:
возможно добавили детект недавно в новые базы
возможно ложный детект
возможно по просьбе "трудящихся из Микрософта" добавлен детект.
23.06.2015 16:09:37, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86140/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86140/ Tue, 23 Jun 2015 16:09:37 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
Возможно, и так, правда, этот активатор присутствует на компьютере довольно давно, а гадость обнаружилась лишь вчера.
Лог журнала прилагаю
угроза.txt
23.06.2015 15:58:33, Ярослав Иващук.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86137/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86137/ Tue, 23 Jun 2015 15:58:33 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
проблема возможно в этом активаторе
C:\PROGRAMDATA\KMSAUTOS\KMSAUTO NET.EXE

добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
23.06.2015 15:49:24, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86134/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86134/ Tue, 23 Jun 2015 15:49:24 +0300 Обнаружение вредоносного кода и ложные срабатывания MSIL/Injector.YT - угроза в оперативной памяти в форуме Обнаружение вредоносного кода и ложные срабатывания.
Добрый день!
Не заметил, где вчера поймал эту заразу.
ESET Smary Security, Dr. Web Cureit! с этой заразой не справились.
Требуемый лог прилагаю, прошу помощи
YAROSLAV_2015-06-23_13-15-58.7z
23.06.2015 13:33:29, Ярослав Иващук.]]> http://forum.esetnod32.ru/messages/forum6/topic12135/message86126/ http://forum.esetnod32.ru/messages/forum6/topic12135/message86126/ Tue, 23 Jun 2015 13:33:29 +0300 Обнаружение вредоносного кода и ложные срабатывания