32 ответов в этой теме

[santy]

судя по образу: майнер здесь

C:\WINDOWS\MSIME.EXE

Tool.BtcMine.1317

a variant of Win64/CoinMiner.U potentially unwanted

https://www.virustotal.com/en/file/c207ce839c07e2a93f164f890b5d7da58b24d21582edcb4e2643acb32dbb4bbe/analysis/

Сообщение было изменено santy: 17 Февраль 2018 - 15:54

[Syrex]

Да, но после перезагрузки он появляется снова. 

[santy]

сделайте свежий образ автозапуска.

пока непонятно из образа откуда этот файлие запускается.

[Syrex]

сделайте свежий образ автозапуска.

пока непонятно из образа откуда этот файлие запускается.

 USER-PC_2018-02-17_16-19-46.rar   1,25Мб   6 Скачано раз

[santy]

этот драйвер так и висит в автозапуске,

 

Полное имя                  C:\WINDOWS\SYSTEM32\DRIVERS\CYKUCYMA.SYS
Имя файла                   CYKUCYMA.SYS
Тек. статус                 драйвер в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      драйвер в автозапуске
Размер                      71768 байт
Создан                      07.02.2018 в 21:54:51
Изменен                     07.02.2018 в 21:54:51
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Ссылки на объект            
Ссылка                      HKLM\System\CurrentControlSet\Services\leeoqofp\ImagePath
ImagePath                   system32\drivers\cykucyma.sys
leeoqofp                    тип запуска: На этапе загрузки (0)

----------

может попробовать найти его из безопасного режима системы?
                            
 

[santy]

т.е. сделать образ автозапуска из безопасного режима, и вынести все вредоносные объекты, которые будут обнаружен.

а затем посмотрим результат после загрузки в нормальный режим.

появится вновь майнер или нет.

[Syrex]

Это руткит, отправил в вирлаб. [drweb.com #8066848], удалил вручную, майнер перестал запускаться.

[Dmitry Shutov]

Это руткит, отправил в вирлаб. [drweb.com #8066848], удалил вручную, майнер перестал запускаться.

 

 

Ссылку на VT можно? Интересно 

[Syrex]

 

Это руткит, отправил в вирлаб. [drweb.com #8066848], удалил вручную, майнер перестал запускаться.

 

 

Ссылку на VT можно? Интересно 

 

https://www.virustotal.com/#/file/f5d95d2e62eba634fe2c2393b1da26aaad9ea0f4dade0fc40a113919411e9963/detection

[Dmitry Shutov]

 

 

Это руткит, отправил в вирлаб. [drweb.com #8066848], удалил вручную, майнер перестал запускаться.

 

 

Ссылку на VT можно? Интересно 

 

https://www.virustotal.com/#/file/f5d95d2e62eba634fe2c2393b1da26aaad9ea0f4dade0fc40a113919411e9963/detection

 

 

Спасибо Santy...   раскусил. 

 

Eset не ловил...с последним обновлением уже ловит )) оперативно. Надеюсь завтра добавят, или робот добавит с не верным детектом.     

[Syrex]

Спасибо Santy...   раскусил. 

 

Eset не ловил...с последним обновлением уже ловит )) оперативно. Надеюсь завтра добавят, или робот добавит с не верным детектом.     

 

360 total security про него знал, но выловить при сканировании не смог. Я видел его в логах, но меня смутило, что файл не найден, думал, что просто хвост в системе остался.

Сообщение было изменено Syrex: 17 Февраль 2018 - 23:47

[Ivan Korolev]

Спасибо за сэмплы, добавили все.

[Syrex]

Спасибо за сэмплы, добавили все.

Спасибо за помощь, тему можно закрывать.