Дорогие участники форума!

Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.

Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новые продукты компании PRO32.

PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Выбрать дату в календареВыбрать дату в календаре

Модифицированный EFI/CompuTrace.A потенциально опасное приложение - очистка невозможна
Теоретически, если производитель постановляет версию со встроенным в  BIOS\UEFI модулем слежения - и этот же компонент содержаться в новых версиях прошивки...
можно применить модуль доверенной загрузки. https://www.anti-malware.ru/analytics/Market_Analysis/SDZ-MDZ-russia-market-overview
Если есть поддержка данной версии  BIOS\UEFI
модифицированный MSIL/CoinMiner.BGJ
Цитата
Юра Зачем написал:
хм...симптомы одни и те, но у меня учетная запись Asus а в другой теме ДМИТРИЙ

В этой теме: DESKTOP-UOATVLS_2020-12-18_22-05-47_v4.11.7z (925.06 КБ)

В теме:
https://forum.esetnod32.ru/messages/forum6/topic16253/message111387/?result=reply#message111387

DESKTOP-UOATVLS_2020-12-18_22-05-47_v4.11.7z (925.06 КБ)
----------
Одно наименование PC
Одно время создания образа.
Свободно на системном диске: 28,5GB
Один вес образа и т.д.
Это одна и та же система.

----------
Вирусы могут создавать новые учётные записи.
модифицированный MSIL/CoinMiner.BGJ
Цитата
Юра Зачем написал:
%SystemDrive%\USERS\ДМИТРИЙ\
Опечаток нет - все данные из образа\системы.
Можете сами открыть образ и посмотреть:
Запускаем uVS и вместо категории подозрительные и вирусы открываем категорию: Все.
Как работать с uVS: https://forum.esetnod32.ru/forum8/topic15785/
модифицированный MSIL/CoinMiner.BGJ
Кстати а зачем две темы ?
https://forum.esetnod32.ru/messages/forum6/topic16253/message111387/?result=reply#message111387
Это ведь одна и та же система.
Троян MSIL/CoinMiner.BGJ, Какойт троян появился на ПК
Александр Казанин


Скопируйте текст КОДа - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !


Код

;uVS v4.11 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE

ZOO %SystemDrive%\USERS\ДМИТРИЙ\APPDATA\ROAMING\MICROSOFT\ADMODNETW4B8\ADNEKMOD8B4.DLL
delall %SystemDrive%\USERS\ДМИТРИЙ\APPDATA\ROAMING\MICROSOFT\ADMODNETW4B8\ADNEKMOD8B4.DLL
CZOO
restart


модифицированный MSIL/CoinMiner.BGJ
Цитата
Юра Зачем написал:
Проблема была в:

Видимо.
Подчистим.

Скопируйте текст КОДа - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !


Код
;uVS v4.11 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
restart
;---------command-block---------
delall %SystemDrive%\USERS\ДМИТРИЙ\APPDATA\ROAMING\MICROSOFT\ADMODNETW4B8\ADNEKMOD8B4.DLL
apply





-------------------------------------

Полное имя                  C:\USERS\ДМИТРИЙ\APPDATA\ROAMING\MICROSOFT\ADMODNETW4B8\ADNEKM­OD8B4.DLL
Имя файла                   ADNEKMOD8B4.DLL
Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           

www.virustotal.com  Файл был чист на момент проверки.     2020-12-20
   
 
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
File_Id                     5FDC35A8C000
Linker                      11.0
Размер                      12800 байт
Создан                      18.12.2020 в 16:17:58
Изменен                     18.12.2020 в 16:17:58
                           
TimeStamp                   18.12.2020 в 04:52:56
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              +
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Оригинальное имя            AdNetwork.dll
Версия файла                1.0.0.0
Описание                    AdNetwork
Производитель              
Комментарий                
                           
Доп. информация             на момент обновления списка
Файл                        C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
CmdLine                     C:\USERS\ДМИТРИЙ\APPDATA\ROAMING\MICROSOFT\ADMODNETW4B8\ADNEKM­OD8B4.DLL,AMIGOUPDATER
SHA1                        0CBA96ADD40FC610017EF4A2BA8F4220694A1018
MD5                         B5BF285378916D5119D87C08917FE872
                           
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\ZAMIGOBROWSERUPDATE
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{920AEC27-3C26-4A74-8434-613D4DEF9913}\Actions
Actions                     "rundll32.exe" C:\Users\Дмитрий\AppData\Roaming\Microsoft\AdModNetW4b8\adnekm­od8b4.dll,AmigoUpdater
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{920AEC27-3C26-4A74-8434-613D4DEF9913}\
модифицированный MSIL/CoinMiner.BGJ
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
...
Запустите FRST и нажмите один раз на кнопку Fix и подождите.

Код
  

FirewallRules: [{8D453E32-A0AE-418F-9361-2F4B12FF6C65}] => (Allow) D:\Games\Red Dead Redemption 2\RDR2.exe => No File
FirewallRules: [{653996F3-7596-415A-82DE-CEAF69D6BECD}] => (Allow) D:\Games\Red Dead Redemption 2\RDR2.exe => No File
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Policies: C:\Users\Все пользователи\NTUSER.pol: Restriction <==== ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Edge: Restriction <==== ATTENTION
Task: {077333D6-06BA-4EA4-BDF4-1CD1439558F2} - \Microsoft\Windows\BrokerInfrastructure\BgTaskRegistrationMaintenanceTask -> No File <==== ATTENTION
Task: {A2597AD3-0B94-4803-9A30-94B39BD37E0E} - System32\Tasks\zAmigoBrowserUpdate => rundll32.exe C:\Users\Asus\AppData\Roaming\Microsoft\AdModNetW4b8\adnekmod8b4.dll,AmigoUpdater


EmptyTemp:
Reboot:


Программа FRST создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
модифицированный MSIL/CoinMiner.BGJ
1) Всё найденное в Malwarebytes - удалите ( поместите в карантин )


2) Выполните лог в AdwCleaner
http://forum.esetnod32.ru/forum9/topic7084/

после завершения сканирования:
Записи относящиеся к Mail.Ru и Yandex можете не удалять ( если пользуетесь программой )
На вкладке:
Папки (Folders) для Mail.Ru  и Yandex снимите [V]


Удалите найденное в AdwCleaner по кнопке Очистить (Clean), подтвердите действие
с автоперезагрузкой

3) Далее выполните FRST: http://forum.esetnod32.ru/forum9/topic2798/
модифицированный MSIL/CoinMiner.BGJ
Скопируйте текст КОДа - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !


Код

;uVS v4.11 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c

deltmp
delnfr
restart




+
Далее (даже если проблема решена) выполните лог программой Malwarebytes
http://forum.esetnod32.ru/forum9/topic10688/

Выберите вариант сканирования: Быстрое или Полное сканирование.
Отчет предоставить для анализа ( в своей теме на форуме ).
Отчёт нужно предоставить в .txt ( блокнот )
Изменено: RP55 RP55 - 20.12.2020 22:36:07
Троян MSIL/CoinMiner.BGJ, Какойт троян появился на ПК
Цитата
Никита Паршин написал:
Для каждой системы индивидуально свой код в прогу вписывать или можно и на другом пк так же сделать?

Каждый случай индивидуален.
Если вам нужна помощь:
Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/
В ряде случаев выполнение чужих скриптов может привести к повреждению системы.