13 ответов в этой теме

[Mio]

Здравствуйте!
Небольшая предыстория: Запустился процесс обновления браузера Опера (он через брандмауэр в сеть просится), а через пару минут браузер не смог запуститься. Завис диспетчер задач, область рабочего стола так же перестала реагировать и через меню пуска было включено Завершение системы, которое, провисев минут 10, так и не выключило пк, что абсолютно для него не характерно. Пришлось ускорить процесс, зажав кнопку включения на системном блоке. После успешного запуска системы на всякий случай был запущен сканер Dr Web, который где-то в 16:10-16:20 нашел угрозу DPH: Process.Hollowing.EP, которую не смог вылечить. Через пару часов вновь был запущен сканер, который в результате полной проверки угрозы уже не нашел.
Вопрос: стоит ли ожидать возвращения этого перфоманса, или это была разовая акция? Быть может надо что-то подчистить в пк, или залатать какие-нибудь дыры, поскольку мне неизвестно, чем был занят этот процесс пока гостил в моей системе и как он сюда вообще попал без приглашения.
Надеюсь на вашу помощь, ссылку на логи (надеюсь, я правильно их сделала) прикрепляю ниже.
https://disk.yandex.by/d/Dz2btJp35uUVBA

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы двух программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), DrWeb SysInfo. Дождитесь окончания работы сканера Dr. Web или CureIt!, прежде, чем запускать DrWeb SysInfo. Без логов помочь Вам не сможет даже самый квалифицированный специалист. Так как логи могут иметь большой объём, превышающий ограничения форума, то рекомендуем закачать их на какой-нибудь файлообменник, а на форуме указать ссылку.

2. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена актуальная коммерческая лицензия Dr.Web Security Space или Dr.Web Enterprise Security Suite.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];

[Alexander007]

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.
Как узнать разрядность моей системы?

• Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.
• Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).
• Нажмите кнопку Scan (Сканировать).

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

Сообщение было изменено Alexander007: 03 Июнь 2025 - 20:41

[Mio]

Прикрепляю

Прикрепленные файлы:

•  FRST.rar   19,03К   3 Скачано раз

[Alexander007]

Мне интересно , залейте пожалуйста VirusTotal , пришлите три ссылки .

 

 

"C:\Program Files\AntiCheatExpert\SGuard\x64\SGuardSvc64.exe" 

"C:\Users\User\AppData\Local\Temp\ActiveAnticheat\1223571\active64.sys"

"C:\Program Files (x86)\Bloody7\Bloody7\Data\Mouse\Forms\Internet_Advertisement\Internet_Advertisement_DLL.dll"

 

 

Отключите антивирус Dr.Web на время : 

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Spoiler

 

Start::

CloseProcesses:

SystemRestore: On

CreateRestorePoint:

Unlock: C:\FRST\

RemoveProxy:

HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ

HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ

AlternateDataStreams: C:\WINDOWS\tracing:? [16]

AlternateDataStreams: C:\Users\User\Application Data:9e1811b514796fb3fd8d48513cdb9024 [394]

AlternateDataStreams: C:\Users\User\Application Data:d0353b486a0f166ba47ab293d0b1004e [394]

AlternateDataStreams: C:\Users\User\AppData\Roaming:9e1811b514796fb3fd8d48513cdb9024 [394]

AlternateDataStreams: C:\Users\User\AppData\Roaming:d0353b486a0f166ba47ab293d0b1004e [394]

CustomCLSID: HKU\S-1-5-21-3472582832-3814491714-2474570781-1001_Classes\CLSID\{5C4D8D77-5B87-40CA-884E-F56858227E5C}\localserver32 -> C:\Users\User\AppData\Local\Programs\TeamSpeak\notification_helper.exe => Нет файла

FirewallRules: [{7FE5D17B-6C89-4D78-9A61-3F2BEFE8F832}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\Game\start_protected_game.exe => Нет файла

FirewallRules: [{8F4382B4-96E1-4B70-B188-221EF2957359}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\Game\start_protected_game.exe => Нет файла

FirewallRules: [{D99DBEBC-9E62-4DC6-9777-E1999829A53E}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\AdvGuide\ELDEN RING Adventure Guide.exe => Нет файла

FirewallRules: [{81ED25F6-AFF3-447B-B868-A165F3DF80B2}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\AdvGuide\ELDEN RING Adventure Guide.exe => Нет файла

FirewallRules: [{E64A211F-9833-4B8D-9EC5-3BE6938299F3}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\Game\start_protected_game.exe => Нет файла

FirewallRules: [{C2C8BA5F-BF98-40DD-9DC0-684CB9EF1F61}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\Game\start_protected_game.exe => Нет файла

FirewallRules: [{6A03416D-C1CF-4FC1-99D2-92584E911202}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\AdvGuide\ELDEN RING Adventure Guide.exe => Нет файла

FirewallRules: [{277AE441-640A-4F38-85FB-F3A814D639B0}] => (Allow) D:\Steam\steamapps\common\ELDEN RING\AdvGuide\ELDEN RING Adventure Guide.exe => Нет файла

FirewallRules: [{4AD72B5C-1F91-4828-BA62-4232FB9A3703}] => (Allow) C:\Users\User\AppData\Local\TARISMiniloader\TARISMiniloader.exe => Нет файла

FirewallRules: [{2B677CC5-7A2C-40AA-BE55-F509178AB2A5}] => (Allow) C:\Users\User\AppData\Local\TARISMiniloader\TARISMiniloader.exe => Нет файла

FirewallRules: [{962282A3-175B-4D83-BD39-46B54F12D3D5}] => (Allow) D:\Steam\steamapps\common\ItTakesTwo\Nuts\Binaries\Win64\ItTakesTwo.exe => Нет файла

FirewallRules: [{F0B8720A-0DFB-4D65-9938-3598FE6D980E}] => (Allow) D:\Steam\steamapps\common\ItTakesTwo\Nuts\Binaries\Win64\ItTakesTwo.exe => Нет файла

ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions

Reboot:

End::

 

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен.

[Mio]

Первые два файла(даже папок с ними) через проводник найти не получилось, отображение скрытых файлов включено, а вот ссылка на третий https://www.virustotal.com/gui/file/ef95a4d41200033d8e4b56978a30701539df26746ac95d015f60ba4eb1e55388
Сейчас займусь второй частью сообщения

[Mio]

Готово

Прикрепленные файлы:

•  Fixlog.txt   7,66К   1 Скачано раз

[Alexander007]

Проверить информацию :

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Spoiler

 

Start::

CloseProcesses:

File: C:\Program Files\AntiCheatExpert\SGuard\x64\SGuardSvc64.exe

File: C:\Users\User\AppData\Local\Temp\ActiveAnticheat\1223571\active64.sys

File: C:\Program Files (x86)\Bloody7\Bloody7\Data\Mouse\Forms\Internet_Advertisement\Internet_Advertisement_DLL.dll

ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions

Reboot:

End::

 

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен.

[Mio]

Вот новый

Прикрепленные файлы:

•  Fixlog.txt   2,74К   1 Скачано раз

[Alexander007]

Что в итоги? Проблема решено?

Сообщение было изменено Alexander007: 03 Июнь 2025 - 21:36

[Mio]

Не совсем вас поняла, что-то должно было произойти? Угроза из темы, которая сегодня вылезла в сканере, сама же там перестала появляться. Я хотела узнать, остались ли какие-нибудь возможности для ее возвращения, которые от меня скрыты

[Alexander007]

Не совсем вас поняла, что-то должно было произойти? Угроза из темы, которая сегодня вылезла в сканере, сама же там перестала появляться. Я хотела узнать, остались ли какие-нибудь возможности для ее возвращения, которые от меня скрыты

Это были какие-то временные Альтернативные потоки данных , она уже удалена .   В, этом может причина , он пропал .

 

Подветем итоги , что обнаружено . 

1)D:\Games\The Sims Medieval\The Sims Medieval\Game\Bin\TSM.exe - https://www.virustotal.com/gui/file/c846744a0686db2e818e790e990e84e762bcf6e2847f1edbc5e8898f9b10111c- как Hacktool , возможное крякнутое файлы - не опасное .  Вы принимаете решение , оставить его файлы или удалить .

=============================================================

2) "C:\Program Files (x86)\Bloody7\Bloody7\Data\Mouse\Forms\Internet_Advertisement\Internet_Advertisement_DLL.dll". - https://www.virustotal.com/gui/file/ef95a4d41200033d8e4b56978a30701539df26746ac95d015f60ba4eb1e55388

Эта может быть программа для мышки .

 

 

 

Насчет DPH: Process.Hollowing.EP -  больше не возникает?

Сообщение было изменено Alexander007: 03 Июнь 2025 - 21:49

[Mio]

Это были какие-то временные Альтернативные потоки данных , она уже удалена .   В, этом может причина , он пропал .

Да, я что-то такое и предполагала.

В, целом Я не вижу криминальных .

Хорошо, я тогда спокойна.

Большое спасибо вам за уделенное мне время, благодарю за помощь!

[Alexander007]

Желаю здоровья ! Чтобы У, Вас были все хорошо .  

 

Тему закрываем...

Сообщение было изменено Alexander007: 03 Июнь 2025 - 21:55