11 ответов в этой теме

[Lominadik]

Здравствуйте, был совершен взлом всех аккаунтов (удивительно в стиме даже guard не помог), так же начал замечать в истории ютуба просмотренные стримы, которые я не смотрел.
Взлом приблизительно был от 5-8 мая (потом уехал на работу-вахту). О взломе узнал 13 мая. Есть еще ноутбук, с него логи в этой же тебе выложить? drweb на ноуте и на компе нашел что-то. Все что скачиваю ставлю только с rutracker
https://cloud.mail.ru/public/8Kpt/74aSGQwCv

[Severnyj]

Есть еще ноутбук, с него логи в этой же тебе выложить?

Нет, разные системы - разные темы.

 

Пока криминального не видно (сканер Доктора удалил рекламную программу, утилиту для шифрования файлов, которую иногда используют злоумышленники и один файл старого червя, которого по-видимому скопировали с другими файлами с флешки и не заметили - в любом случае он был неактивен), почистим мусор.

 

Скачайте утилиту Dr.Web FixIt! и сохраните её на Рабочем столе.

 

• Запустите скачанный файл.

Нажмите кнопку «Начать сканирование», чтобы начать сканирование.

По завершении работы программы компьютер перезагрузится.

 

После перезагрузки:

 

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.

Как узнать разрядность моей системы?

 

• Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.

Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).

Нажмите кнопку Scan (Сканировать).

 

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

 

[Lominadik]

Логи прилагаю. Подозрения именно на ПК, потому что на ноуте и телефоне был авторизирован в почте(на ПК как раз не был), в ней постороннего устройства не замечено.

Прикрепленные файлы:

•  отчет.rar   30,57К   3 Скачано раз

[Severnyj]

Почистим мусор и соберем дополнительные данные.

Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:
 

Spoiler

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Unlock: C:\FRST\
RemoveProxy:
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-19\...\Run: [OneDriveSetup] => C:\Windows\SysWOW64\OneDriveSetup.exe /thfirstsetup (Нет файла)
HKU\S-1-5-20\...\Run: [OneDriveSetup] => C:\Windows\SysWOW64\OneDriveSetup.exe /thfirstsetup (Нет файла)
IFEO\KMPlayer.exe: [Debugger] 0
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {1DAD32D3-EB83-4FBE-BEA5-B3385B910C0A} - System32\Tasks\Cloud => "C:\Program Files\GIGABYTE\Control Center\GbtCloudMatrix.exe"  (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-4020027802-2812729557-3222892971-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
C:\Users\Dima\AppData\Local\Google\Chrome\User Data\Default\Extensions\nnakhckpmhjibeidciiilcmohlnohnjl
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
S3 imdisk; \??\c:\users\dima\appdata\local\temp\jinn\isorun\x64\imdisk.sys (Нет файла) <==== ВНИМАНИЕ
Folder: C:\Program Files\SotaConnect
Folder: C:\ProgramData\nthost
Folder: C:\Users\Dima\AppData\Roaming\nthost
File: C:\Users\Dima\AppData\Local\BBridge.exe
File: C:\Users\Dima\AppData\Local\font_index_v5.cache
CustomCLSID: HKU\S-1-5-21-4020027802-2812729557-3222892971-1000_Classes\CLSID\{6516A6FE-E3C1-59E9-3DD6-8C2075A160DC}\InprocServer32 -> C:\Program Files (x86)\Common Files\System\ole32.dll => Нет файла
Reg: reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules C:\Firewall.reg
C:\Firewall.reg
CMD: netsh advfirewall reset
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

[Lominadik]

Нажмите Fix (Исправить) один раз

 

Все сделал, собрал новые логи

Прикрепленные файлы:

•  Addition.txt   64,42К   6 Скачано раз
•  FRST.txt   46,03К   2 Скачано раз
•  Fixlog.txt   33,34К   4 Скачано раз

[Severnyj]

Отключите до перезагрузки антивирус.
Выделите следующий код:
 

Spoiler

Start::
CloseProcesses:
CreateRestorePoint:
Unlock: C:\FRST\
RemoveProxy:
HKLM\...\Run: [AdobeGCInvoker-1.0] => "C:\Program Files (x86)\Common Files\Adobe\AdobeGCClient\AGCInvokerUtility.exe" (Нет файла)
2026-05-03 21:56 - 2026-06-07 20:23 - 000000000 ____D C:\ProgramData\nthost
2026-05-03 21:56 - 2026-05-03 21:56 - 001022576 _____ (Universal Ctags Team) C:\Users\Dima\AppData\Local\BBridge.exe
2026-05-03 21:56 - 2026-05-03 21:56 - 000000000 ____D C:\Users\Dima\AppData\Roaming\nthost
2026-05-03 21:28 - 2026-05-03 21:28 - 000041542 _____ C:\Users\Dima\AppData\Local\font_index_v5.cache
Zip: C:\FRST\Quarantine
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

[Lominadik]

Нажмите Fix (Исправить) один раз

 с карантина файлы можно удалять?

Прикрепленные файлы:

•  Fixlog.txt   3,41К   2 Скачано раз

[Severnyj]

Файл вида C:\Users\Dima\Desktop\08.06.2026_20.25.56.zip со своего Рабочего стола выложите на Яндекс-Диск или в Облако Mail.ru ссылку укажите в следующем сообщении.

[Lominadik]

выложите

https://cloud.mail.ru/public/sHvs/Ni9oGfVaF

[Severnyj]

Ok. Спасибо. Вспоминайте, что делали 3 мая около 21.56 - у вас дроппер загрузчика в это время был запущен. Загрузчик в свою очередь грузил Стилера паролей - но этого уже история не сохранила.

[Lominadik]

Ok. Спасибо. Вспоминайте, что делали 3 мая около 21.56 - у вас дроппер загрузчика в это время был запущен. Загрузчик в свою очередь грузил Стилера паролей - но этого уже история не сохранила.

Спасибо большое, что помогаете установить как произошло все. Помню что накачивал сериалы, фильмы, игры на вахту. Сейчас я спокойно могу снова в аккаунты заходить?(пароли поменял и еще не заходил с новыми). Вспомнил свой косяк.... скачивал загрузчик для игры с форума, повелся на кучу сообщений от автора(думал раз столько сообщений и не забанен, значит нормальный)

Сообщение было изменено Lominadik: 08 Июнь 2026 - 22:36

[Severnyj]

В автозагрузке подозрительного ничего нет. Стилеры обычно после того, как сделают свое дело имеют привычку самоудалятся. Но на зарубежных форумах имеется рекомендация после заражения LummaStealer - переустанавливать Windows.

 

Опять же повторюсь - на автозапуск ничего не поступает и настройки брандмауэра мною были сброшены.

 

Загрузчик в вирлаб был отправлен. Можете удалять архив с карантином с облака.

 

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.
 
Содержите систему и ПО в обновленном состоянии, не отключайте автоматическое обновление.

Обновите ПО:
 

7-Zip 24.07

Adobe Acrobat DC

AnyDesk

Google Chrome

WinRAR 5.01 (64-разрядная)

 

В используемом браузере желательно сбросить настройки, по аналогии с Google Chrome

 
Регулярно делайте резервные копии важных данных на внешние диски и в облачные хранилища, - так Вы защитите их от возможной утери при проблемах с "железом" или при атаках троянов-шифровальщиков. 
 
Для блокировки нежелательного контента советую установить расширения браузеров uBO Lite и Browser guard.
 
Скачивайте расширения только из официальных магазинов. Не устанавливайте слишком много расширений и регулярно проверяйте их список.