Форум esetnod32.ru [тема: Часто выдается данное сообщение о скрытом канале ICMP] http://forum.esetnod32.ru Новое в теме Часто выдается данное сообщение о скрытом канале ICMP форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Fri, 01 May 2026 11:57:21 +0300 Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
как часто это сообщение (Скрытый канал ICMP;Заблокировано) появляется после очистки системы от LOIC, (или если LOIC не запущен в системе у вас)?
=============
Иногда раз в 15 минут, иногда раз в сутки. Появляется порой даже сразу после запуска системы.
16.10.2018 19:21:16, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104718/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104718/ Tue, 16 Oct 2018 19:21:16 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Egor Kondratyev написал:
Эти события во вкладке сетевых событий
=============
а имя приложения не фигурирует в логе?

====quote====
Время; событие; действие; источник; объект; протокол; правило/название червя; приложение; пользователь
=============
как часто это сообщение (Скрытый канал ICMP;Заблокировано) появляется после очистки системы от LOIC, (или если LOIC не запущен в системе у вас)?
16.10.2018 14:50:20, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104715/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104715/ Tue, 16 Oct 2018 14:50:20 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
Эти события во вкладке сетевых событий
networrk.txt
15.10.2018 19:11:00, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104705/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104705/ Mon, 15 Oct 2018 19:11:00 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
запись в логе старая.

Время;Сканер;Тип объекта;Объект;Угроза;Действие;Пользователь;Информация;Хэш;Первое обнаружение
25.09.2018 11:36:14;Модуль сканирования JavaScript;файл;https://rotumal.com/4/1241630/;JS/Adware.Agent.AA приложение;заблокирован;DESKTOP-K4B0RPC\furry;Обнаружена угроза при попытке доступа в Интернет следующим приложением: F:\Program Files (x86)\Google\Chrome\Application\chrome.exe (5C8D9AD934D9F670976AFAC0749DF1F37A6CA4EF).;376E74030E46B9637B6011D7F4B6CB9EDB757DA3;

нужны детекты, которые связаны именно с вашей проблемой.
ведь были в журнале более свежие детекты, судя по первому сообщению


====quote====
Время; событие; действие; источник; объект; протокол; правило/название червя; приложение; пользователь
13.10.2018 19:02:00;Скрытый канал ICMP;Заблокировано;213.141.***.***;80.68.78.99;ICMP;;;

=============

15.10.2018 19:01:37, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104704/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104704/ Mon, 15 Oct 2018 19:01:37 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:

====quote====
 Egor Kondratyev  написал:
Выполнил скрипт последний. Пока сообщений таких нет. Обычно при старте вылезало сразу
=============
вообще-то LOIC судя по образу запускался вручную, из архива zip
"C:\Users\furry\AppData\Local\Temp\7zOCD9B689B\LOIC.exe"
=============
Да, LOIC запускаю сам, когда проверяю веб-сервер на нагрузки.

Прикладываю файл журнала
found.txt
15.10.2018 18:36:22, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104703/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104703/ Mon, 15 Oct 2018 18:36:22 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Egor Kondratyev написал:
Выполнил скрипт последний. Пока сообщений таких нет. Обычно при старте вылезало сразу
=============

вообще-то LOIC судя по образу запускался вручную, из архива zip
"C:\Users\furry\AppData\Local\Temp\7zOCD9B689B\LOIC.exe"
15.10.2018 15:23:53, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104693/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104693/ Mon, 15 Oct 2018 15:23:53 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
@Egor Kondratyev,
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
15.10.2018 15:21:20, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104692/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104692/ Mon, 15 Oct 2018 15:21:20 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
Выполнил скрипт последний. Пока сообщений таких нет. Обычно при старте вылезало сразу

15:07 - вылезло все же.
15.10.2018 15:02:55, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104691/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104691/ Mon, 15 Oct 2018 15:02:55 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
Да, Loic есть, поскольку занимаюсь оптимизацией и настройкой веб-серверов.(UNIX), соответственно требуется некоторый софт, эмулирующий высокую нагрузку, чтоб закрывать узкие места, которые в штатной работе не всегда заметны.
15.10.2018 14:55:59, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104690/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104690/ Mon, 15 Oct 2018 14:55:59 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполните такой скрипт для очистки системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v4.1 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

delall %SystemDrive%\USERS\FURRY\APPDATA\LOCAL\TEMP\7ZOCD9B689B\LOIC.EXE
delall %SystemDrive%\USERS\FURRY\DOWNLOADS\LOIC-1.0.8-BINARY (2).ZIP
delref %SystemDrive%\USERS\FURRY\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\4Y2JX6GP.DEFAULT\EXTENSIONS\HELPER-SIG@SAVEFROM.NET.XPI
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLMJEGMLICAMNIMMFHCMPKCLMIGMMCBEH%26INSTALLSOURCE%3DONDEMAND%26UC
apply

deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\TEAMVIEWER\TEAMVIEWER.EXE 
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\SKYPE FOR DESKTOP\RESOURCES\APP.ASAR\PRELOAD.JS
delref {9F2B0085-9218-42A1-88B0-9F0E65851666}\[CLSID]
delref {E984D939-0E00-4DD9-AC3A-7ACA04745521}\[CLSID]
delref {FE285C8C-5360-41C1-A700-045501C740DE}\[CLSID]
delref {9CDA66BE-3271-4723-8D35-DD834C58AD92}\[CLSID]
delref %SystemRoot%\SYSWOW64\MAPSTOASTTASK.DLL
delref %SystemRoot%\SYSWOW64\MAPSUPDATETASK.DLL
delref {DEF03232-9688-11E2-BE7F-B4B52FD966FF}\[CLSID]
delref %SystemDrive%\PROGRAM FILES\REMPL\SEDLAUNCHER.EXE
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\APPVETWCLIENTRES.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\MRXSMB.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBKMCLR.SYS
delref %SystemRoot%\SYSWOW64\W32TIME.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\USBXHCI.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\SRV2.SYS
delref %SystemRoot%\SYSWOW64\RDPCORETS.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\DXGMMS2.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\HTTP.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\WINNAT.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\TCPIP.SYS
delref %SystemRoot%\SYSWOW64\UMPOEXT.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBUSR.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\DMVSC.SYS
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBKMCL.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\REFS.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\SPACEPORT.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\FVEVOL.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\AFD.SYS
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\HVHOSTSVC.DLL
delref %SystemRoot%\SYSWOW64\LSM.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\SYNTH3DVSC.SYS
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %SystemRoot%\SYSWOW64\IE4UINIT.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\RESEARCH IN MOTION\BBWEBSLLAUNCHER\NPWEBSLLAUNCHER.DLL
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\DRIVERS\VMBUSR.SYS
delref {A910D941-9DA9-4656-8933-AA1EAE01F76E}\[CLSID]
delref %Sys32%\HVSICONTAINERSERVICE.DLL
delref %Sys32%\DRIVERS\IALPSS2_UART2.SYS
delref %Sys32%\DRIVERS\USBVIDEO.SYS
delref %Sys32%\DRIVERS\SCMDISK0101.SYS
delref %Sys32%\DRIVERS\UMDF\USBCCIDDRIVER.DLL
delref %Sys32%\UNP\UNPCAMPAIGNMANAGER.EXE
delref %SystemRoot%\INF\UNREGMP2.EXE
delref %Sys32%\BLANK.HTM
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref TBS\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\PROGRAM FILES (X86)\MSI\COMMAND CENTER\CLOCKGEN\CPU_FREQUENCY\NTIOLIB_X64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\MSI\COMMAND CENTER\CPU\CPU_RATIO\NTIOLIB_X64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\RESEARCH IN MOTION\TUNNEL MANAGER\MDNSRESPONDER.EXE
delref %Sys32%\DRIVERS\UZQWNDU3.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %Sys32%\TETHERINGSETTINGHANDLER.DLL
delref %Sys32%\WBEM\WEMSAL_WMIPROVIDER (1).DLL
delref %Sys32%\QUICKACTIONSPS.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %Sys32%\CHTADVANCEDDS.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delref %SystemRoot%\SYSWOW64\TTLSEXT.DLL
delref %SystemRoot%\SYSWOW64\SPEECH_ONECORE\COMMON\SPEECHRUNTIME.EXE
delref %SystemRoot%\SYSWOW64\TAPILUA.DLL
delref %SystemRoot%\SYSWOW64\WBEM\KEYBOARDFILTERWMI.DLL
delref %SystemRoot%\SYSWOW64\LOCATIONFRAMEWORK.DLL
delref %SystemRoot%\SYSWOW64\MAPSBTSVCPROXY.DLL
delref %SystemRoot%\SYSWOW64\EAPPCFGUI.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\LISTSVC.DLL
delref %SystemRoot%\SYSWOW64\AUTHHOSTPROXY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\WBEM\NLMCIM.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\RMSROAMINGSECURITY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\SPEECH_ONECORE\COMMON\SAPI_EXTENSIONS.DLL
delref %SystemRoot%\SYSWOW64\SMARTSCREEN.EXE
delref %SystemRoot%\SYSWOW64\GPSVC.DLL
delref %SystemRoot%\SYSWOW64\IDLISTEN.DLL
delref %SystemRoot%\SYSWOW64\WIFICONFIGSP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\OLE DB\MSDAORA.DLL
delref G:\HISUITEDOWNLOADER.EXE
delref G:\AUTORUN.EXE
delref G:\HTC_SYNC_MANAGER_PC.EXE
delref {B640AB04-7C42-49F1-BFBB-1B65AC47B0B2}\[CLSID]
;-------------------------------------------------------------

restart
=============
перезагрузка, пишем о старых и новых проблемах.
------------
15.10.2018 11:51:06, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104684/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104684/ Mon, 15 Oct 2018 11:51:06 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
судя по всему, запущен вручную отсюда


====quote====
Полное имя                  C:\USERS\FURRY\DOWNLOADS\LOIC-1.0.8-BINARY (2).ZIP
Имя файла                   LOIC-1.0.8-BINARY (2).ZIP
Тек. статус                 [Запускался неявно или вручную]
                           
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
Размер                      103197 байт
Создан                      02.10.2018 в 17:09:57
Изменен                     02.10.2018 в 17:09:58
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Доп. информация             на момент обновления списка
Файл                        C:\PROGRAM FILES\7-ZIP\7ZFM.EXE
CmdLine                     "C:\Program Files\7-Zip\7zFM.exe" "C:\Users\furry\Downloads\LOIC-1.0.8-binary (2).zip"
SHA1                        FF00F68B03F7BBC785284ABD95A54D5B98F7DB9B
MD5                         C615DA1584CF050CF81A08D40309D735
=============

https://www.virustotal.com/#/file/b6d6e0d1dce867836a684a0af278e46ed4a50be49a784ab7bfcb3e­d59841c9d0/detection
15.10.2018 11:43:12, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104683/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104683/ Mon, 15 Oct 2018 11:43:12 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
@Egor Kondratyev
а это что у вас такое в работе?

LOIC (Low Orbit Ion Cannon) — приложение, разработанное
хакерской группой 4Chan, созданное для организации DDoS атак на веб-сайты с
участием тысяч анонимных пользователей, пользующихся программой. Атаки
производятся на такие сайты как, например,



====quote====
Полное имя                  C:\USERS\FURRY\APPDATA\LOCAL\TEMP\7ZOCD9B689B\LOIC.EXE
Имя файла                   LOIC.EXE
Тек. статус                 АКТИВНЫЙ ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ [СЕТЕВАЯ_АКТИВНОСТЬ] GPU
                           
www.virustotal.com          2018-10-12
BitDefender                 Application.Hacktool.US
Symantec                    Hacktool
ESET-NOD32                  a variant of MSIL/HackTool.LOIC.AF potentially unsafe
Kaspersky                   HEUR:HackTool.MSIL.Flooder.gen
Avast                       Win32:Loic-A [Trj]
DrWeb                       Tool.Flooder.81
Microsoft                   HackTool:MSIL/Uflooder.C!bit
                           
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ [СЕТЕВАЯ_АКТИВНОСТЬ] GPU
Процесс                     64-х битный
File_Id                     548BC9ED28000
Linker                      11.0
Размер                      136192 байт
Создан                      13.12.2014 в 08:09:12
Изменен                     13.10.2018 в 19:15:55
                           
TimeStamp                   13.12.2014 в 05:09:01
EntryPoint                  +
OS Version                  4.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Оригинальное имя            LOIC.exe
Версия файла                1.0.8.0
Описание                    Low Orbit Ion Cannon
Комментарий                 TCP/IP stress-test tool
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                           
Доп. информация             на момент обновления списка
pid = 13988                 DESKTOP-K4B0RPC\furry
CmdLine                     "C:\Users\furry\AppData\Local\Temp\7zOCD9B689B\LOIC.exe"
Процесс создан              19:15:58 [2018.10.13]
С момента создания          00:07:22
CPU                         1,86%
CPU (1 core)                14,89%
GPU 1                       0,00%
parentid = 2524             F:\PROGRAM FILES\7-ZIP\7ZFM.EXE
CLOSE_WAIT                  213.141.136.202:49152 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49153 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49154 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49155 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49156 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49157 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49158 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49159 <-> 90.156.201.83:80
CLOSE_WAIT                  213.141.136.202:49160 <-> 90.156.201.83:80

SHA1                        4C85973D612CD1955163C244C9C334D3A0C507CB
MD5                         E6FA3028CD03318496852718143D256F
                           
Образы                      EXE и DLL
LOIC.EXE                    C:\USERS\FURRY\APPDATA\LOCAL\TEMP\7ZOCD9B689B
                           

=============

15.10.2018 11:18:26, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104682/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104682/ Mon, 15 Oct 2018 11:18:26 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
Выполните проверку ЭЦП ( нажмите F6 )
после чего выполните скрипт.
( напишите помог ли метод )

Если не поможет то:

Выполните скрипт в безопасном режиме ( с поддержкой сети )
14.10.2018 21:41:48, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104677/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104677/ Sun, 14 Oct 2018 21:41:48 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
зависло на "Выгружен драйвер C:\WINDOWS\SYSTEM32\DRIVERS\ACPIDEV.SYS"
14.10.2018 18:30:14, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104676/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104676/ Sun, 14 Oct 2018 18:30:14 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
====code==== 

;uVS v4.1 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

hide %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\XCPCSYNC.OEM\SYNCSDK.209.604\TRANSLATORS\MSOL\PROFMAN64.DLL
chklst
delvir

delref %SystemDrive%\USERS\FURRY\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\4Y2JX6GP.DEFAULT\EXTENSIONS\HELPER-SIG@SAVEFROM.NET.XPI
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLMJEGMLICAMNIMMFHCMPKCLMIGMMCBEH%26INSTALLSOURCE%3DONDEMAND%26UC
apply

deltmp
delref %SystemDrive%\PROGRAM FILES (X86)\TEAMVIEWER\TEAMVIEWER.EXE 
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\SKYPE FOR DESKTOP\RESOURCES\APP.ASAR\PRELOAD.JS
delref {9F2B0085-9218-42A1-88B0-9F0E65851666}\[CLSID]
delref {E984D939-0E00-4DD9-AC3A-7ACA04745521}\[CLSID]
delref {FE285C8C-5360-41C1-A700-045501C740DE}\[CLSID]
delref {9CDA66BE-3271-4723-8D35-DD834C58AD92}\[CLSID]
delref %SystemRoot%\SYSWOW64\MAPSTOASTTASK.DLL
delref %SystemRoot%\SYSWOW64\MAPSUPDATETASK.DLL
delref {DEF03232-9688-11E2-BE7F-B4B52FD966FF}\[CLSID]
delref %SystemDrive%\PROGRAM FILES\REMPL\SEDLAUNCHER.EXE
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\APPVETWCLIENTRES.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\MRXSMB.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBKMCLR.SYS
delref %SystemRoot%\SYSWOW64\W32TIME.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\USBXHCI.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\SRV2.SYS
delref %SystemRoot%\SYSWOW64\RDPCORETS.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\DXGMMS2.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\HTTP.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\WINNAT.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\TCPIP.SYS
delref %SystemRoot%\SYSWOW64\UMPOEXT.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBUSR.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\DMVSC.SYS
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBKMCL.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\REFS.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\SPACEPORT.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\FVEVOL.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\AFD.SYS
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\HVHOSTSVC.DLL
delref %SystemRoot%\SYSWOW64\LSM.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\SYNTH3DVSC.SYS
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %SystemRoot%\SYSWOW64\IE4UINIT.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\RESEARCH IN MOTION\BBWEBSLLAUNCHER\NPWEBSLLAUNCHER.DLL
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\DRIVERS\VMBUSR.SYS
delref {A910D941-9DA9-4656-8933-AA1EAE01F76E}\[CLSID]
delref %Sys32%\HVSICONTAINERSERVICE.DLL
delref %Sys32%\DRIVERS\IALPSS2_UART2.SYS
delref %Sys32%\DRIVERS\USBVIDEO.SYS
delref %Sys32%\DRIVERS\SCMDISK0101.SYS
delref %Sys32%\DRIVERS\UMDF\USBCCIDDRIVER.DLL
delref %Sys32%\UNP\UNPCAMPAIGNMANAGER.EXE
delref %SystemRoot%\INF\UNREGMP2.EXE
delref %Sys32%\BLANK.HTM
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref TBS\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\PROGRAM FILES (X86)\MSI\COMMAND CENTER\CLOCKGEN\CPU_FREQUENCY\NTIOLIB_X64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\MSI\COMMAND CENTER\CPU\CPU_RATIO\NTIOLIB_X64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\RESEARCH IN MOTION\TUNNEL MANAGER\MDNSRESPONDER.EXE
delref %Sys32%\DRIVERS\UZQWNDU3.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %Sys32%\TETHERINGSETTINGHANDLER.DLL
delref %Sys32%\WBEM\WEMSAL_WMIPROVIDER (1).DLL
delref %Sys32%\QUICKACTIONSPS.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %Sys32%\CHTADVANCEDDS.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delref %SystemRoot%\SYSWOW64\TTLSEXT.DLL
delref %SystemRoot%\SYSWOW64\SPEECH_ONECORE\COMMON\SPEECHRUNTIME.EXE
delref %SystemRoot%\SYSWOW64\TAPILUA.DLL
delref %SystemRoot%\SYSWOW64\WBEM\KEYBOARDFILTERWMI.DLL
delref %SystemRoot%\SYSWOW64\LOCATIONFRAMEWORK.DLL
delref %SystemRoot%\SYSWOW64\MAPSBTSVCPROXY.DLL
delref %SystemRoot%\SYSWOW64\EAPPCFGUI.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\LISTSVC.DLL
delref %SystemRoot%\SYSWOW64\AUTHHOSTPROXY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\WBEM\NLMCIM.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\RMSROAMINGSECURITY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\SPEECH_ONECORE\COMMON\SAPI_EXTENSIONS.DLL
delref %SystemRoot%\SYSWOW64\SMARTSCREEN.EXE
delref %SystemRoot%\SYSWOW64\GPSVC.DLL
delref %SystemRoot%\SYSWOW64\IDLISTEN.DLL
delref %SystemRoot%\SYSWOW64\WIFICONFIGSP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\OLE DB\MSDAORA.DLL
delref G:\HISUITEDOWNLOADER.EXE
delref G:\AUTORUN.EXE
delref G:\HTC_SYNC_MANAGER_PC.EXE
delref {B640AB04-7C42-49F1-BFBB-1B65AC47B0B2}\[CLSID]
;-------------------------------------------------------------

restart
=============
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
14.10.2018 17:15:22, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104672/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104672/ Sun, 14 Oct 2018 17:15:22 +0300 Обнаружение вредоносного кода и ложные срабатывания Часто выдается данное сообщение о скрытом канале ICMP Часто выдается данное сообщение о скрытом канале ICMP в форуме Обнаружение вредоносного кода и ложные срабатывания.
Прикладываю логи в отчете.

====code==== 
Время; событие; действие; источник; объект; протокол; правило/название червя; приложение; пользователь
13.10.2018 19:02:00;Скрытый канал ICMP;Заблокировано;213.141.***.***;80.68.78.99;ICMP;;;
=============
DESKTOP-K4B0RPC_2018-10-13_19-23-05_v4.1.7z
13.10.2018 19:31:33, Egor Kondratyev.]]> http://forum.esetnod32.ru/messages/forum6/topic15012/message104667/ http://forum.esetnod32.ru/messages/forum6/topic15012/message104667/ Sat, 13 Oct 2018 19:31:33 +0300 Обнаружение вредоносного кода и ложные срабатывания