16 ответов в этой теме

[UJIF009]

Ломают аккаунты в течении месяца. ТГ, тарков, вк, дискорд
Предположительно зашёл на фейковый тг по запрету

После очередного взлома проверял компьютер Curelt-ом, всегда был подменяный файл steam.exe на троян (3 раза, последний на скриншоте)
Не могу избавиться от недуга такого, помогите пожалуйста!




Лог:
https://disk.yandex.ru/d/u3mz2WSttYfbvg

[Severnyj]

Логи скачал, ожидайте.

[Severnyj]

Скачайте утилиту DrWeb FixIt! и сохраните её на Рабочем столе.

 

Запустите скачанный файл.

Нажмите кнопку «Начать сканирование», чтобы начать сканирование.

По завершении работы программы в папке C:\Users\<пользователь>\Doctor Web будет создан архив с отчетом вида Имя_компьютера_Дата_Время.zip.

Пожалуйста, выложите отчет на Яндекс-Диск или в Облако Mail.ru ссылку укажите в своем следующем сообщении.

[UJIF009]

Сканировал с рабочего стола.

https://disk.yandex.ru/d/RNQ59oMts1a_2A

 

Скачайте утилиту DrWeb FixIt! и сохраните её на Рабочем столе.

 

•  

• Запустите скачанный файл.

• Нажмите кнопку «Начать сканирование», чтобы начать сканирование.

• По завершении работы программы в папке C:\Users\<пользователь>\Doctor Web будет создан архив с отчетом вида Имя_компьютера_Дата_Время.zip.

• Пожалуйста, выложите отчет на Яндекс-Диск или в Облако Mail.ru ссылку укажите в своем следующем сообщении.

 

 

[Severnyj]

Ок, идем дальше.

 

Скачайте следующую версию утилиты DrWeb FixIt! и сохраните её на Рабочем столе.

 

Запустите скачанный файл.

Нажмите кнопку «Начать сканирование», чтобы начать сканирование.

По завершении работы программы компьютер перезагрузится.

 

Далее:

 

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.

Как узнать разрядность моей системы?

 

• Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.

Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).

Нажмите кнопку Scan (Сканировать).

 

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

 

[UJIF009]

На этапе запуска утилиты DrWeb fixlt! у меня сломался пользователь windows. После перезагрузки - чёрный экран (пришлось создать нового пользователя через cmd, чтобы с вами опять связаться). И ещё одна проблема у меня из-за этого ещё и кончилось место на диске С. Даже пришлось папку документов старого пользователя переносить на другой диск(~20гб освободил). В данный момент место опять закончилось, хотя я особо ничего и не делал и не устанавливал, разве что вернул себе браузер и синхронизировал его. Какие действия сейчас лучше предпринять? (места на системном диске пока нет (~66мб)

P.S. Так же у меня вчера, пока меня дома не было. Взломали телеграмм во второй раз уже, обойдя дополнительные средства защиты которые я поставил после первого взлома.

 

Ок, идем дальше.

 

Скачайте следующую версию утилиты DrWeb FixIt! и сохраните её на Рабочем столе.

 

•  

• Запустите скачанный файл.

• Нажмите кнопку «Начать сканирование», чтобы начать сканирование.

• По завершении работы программы компьютер перезагрузится.

 

 

Далее:

 

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.

Как узнать разрядность моей системы?

 

• Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.

• Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).

• Нажмите кнопку Scan (Сканировать).

 

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

 

 

Сообщение было изменено UJIF009: 15 Август 2026 - 14:44

[Severnyj]

Ооочень подозрительно. Поскольку FixIt удалил бы неудаленную dll после первого запуска и перезагрузил компьютер - никаких других действий в него не было заложено.

 

Узнавайте чем занимается место, по инструкции: Как узнать чем занято место на диске? | remontka.pro

 

И готовьте логи FRST.

[UJIF009]

FRST не успел запустить, так как уже тогда был поломан пользователь. Мне на новом пользователе продолжить с последнего шага, то есть скачать и запустить FRST?

Ооочень подозрительно. Поскольку FixIt удалил бы неудаленную dll после первого запуска и перезагрузил компьютер - никаких других действий в него не было заложено.

 

Узнавайте чем занимается место, по инструкции: Как узнать чем занято место на диске? | remontka.pro

 

И готовьте логи FRST.

[Severnyj]

Да. На любом пользователе с админскими правами

[UJIF009]

Сделал

https://disk.yandex.ru/d/XMvgc6tlJTmQRA
 

Да. На любом пользователе с админскими правами

[Severnyj]

Как-то в 2026 году оставлять для системы 100 ГБ диск - это очень мало. Даже с учетом установки игр и программ на другой диск.

Примите к сведению - после выполнения скрипта временные файлы, корзина, история браузеров, куки и кэш будут очищены.
Отключите до перезагрузки антивирус.
Выделите следующий код:
 

Spoiler

Start::
CloseProcesses:
CreateRestorePoint:
Unlock: C:\FRST\
HKLM\...\Run: [AdobeGCInvoker-1.0] => "C:\Program Files (x86)\Common Files\Adobe\AdobeGCClient\AGCInvokerUtility.exe" (Нет файла)
HKLM-x32\...\Run: [Autodesk Genuine Service ] => C:\ProgramData\Autodesk\Genuine Service\x64\GenuineService.exe (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center: Ограничение <==== ВНИМАНИЕ
HKLM\Software\Policies\...\system: [EnableSmartScreen] 0 <==== ВНИМАНИЕ
HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
HKU\S-1-5-21-3624049848-1487503211-3811584648-1002\...\RunOnce: [Delete Cached Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\54321\AppData\Local\Microsoft\OneDrive\Update\OneDriveSetup.exe" [42164600 2026-08-15] (Microsoft Corporation -> Microsoft Corporation) <==== ВНИМАНИЕ
HKU\S-1-5-21-3624049848-1487503211-3811584648-1002\...\RunOnce: [Delete Cached Standalone Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\54321\AppData\Local\Microsoft\OneDrive\StandaloneUpdater\OneDriveSetup.exe" (Нет файла) <==== ВНИМАНИЕ
File: C:\Windows\upwpm2.exe
File: C:\Users\54321\AppData\Local\Discord\app-1.0.9251\modules\discord_zstd-1\discord_zstd\index.js
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
Folder: D:\YT\030\zapret-discord-youtube-1.10.0\
startbatch:
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Code Cache\Js\*.*"
del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\*.*"
del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Code Cache\Js\*.*"
del /s /q "%userprofile%\AppData\Local\Opera Software\Opera Stable\Default\Cache\Cache_Data\*.*" >nul
del /s /q C:\Windows\Temp\*.* >nul
del /s /q "%userprofile%\AppData\Local\temp\*.*" >nul
del /s /q C:\Windows\Minidump\*.dmp >nul
endbatch:
Google Update Helper (HKLM-x32\...\{60EC980A-BDA2-4CB6-A427-B07A5498B4CA}) (Version: 1.3.34.11 - Google LLC) Hidden
swMSM (HKLM-x32\...\{612C34C7-5E90-47D8-9B5C-0F717DD82726}) (Version: 12.0.0.1 - Adobe Systems, Inc) Hidden
Reg: reg export HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Defaults\FirewallPolicy\FirewallRules C:\Firewall.reg
C:\Firewall.reg
CMD: netsh advfirewall reset
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Zip: C:\FRST\Quarantine
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Запакуйте его в архив и прикрепите к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.
Компьютер будет перезагружен автоматически.

Деинсталлируйте, как устаревшие и неподдерживаемые:
 

Adobe AIR
Adobe Flash Player 32 NPAPI
Adobe Flash Player 32 PPAPI
Adobe Shockwave Player 12.3
Google Update Helper
swMSM

 

Если не пользуетесь также деинсталлируйте:
 

Java 8 Update 401 (64-bit)
Java™ SE Development Kit 12.0.1 (64-bit)

 

[UJIF009]

Исправление FSTR сделал.

https://disk.yandex.ru/d/T7mbXtdAtyWFfQ

По списку удалил всё (Google Update Helper нашёл только папку с exeшником и удалил вручную)

Компьютер собирал в 19 году, сначала хотел поставить 1ТБ, а он битый пришёл, пришлось временно ставить 128ГБ, временно тянется до сих пор =)

Сообщение было изменено UJIF009: 16 Август 2026 - 03:36

[Severnyj]

Ok. Скачайте Microsoft Safety Scanner, запустите, примите лицензионное соглашение и выполните Полное сканирование (Full scan) - может занять продолжительное время (Можете провести настраиваемое сканирование (Custom Scan) - тогда выберите только системный диск C:)

 

Лог сканирования прикрепите:

 

%SYSTEMROOT%\debug\msert.log

 

[UJIF009]

15 часов заняло.
https://disk.yandex.ru/d/kUrjYcSVTFF7yA
 

 

Ok. Скачайте Microsoft Safety Scanner, запустите, примите лицензионное соглашение и выполните Полное сканирование (Full scan) - может занять продолжительное время (Можете провести настраиваемое сканирование (Custom Scan) - тогда выберите только системный диск C:)

 

Лог сканирования прикрепите:

 

%SYSTEMROOT%\debug\msert.log

 

 

[Severnyj]

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.

Компьютер будет перезагружен автоматически.

 

При сканировании CureIt! был удален Trojan.PWS.Salat.390 в многочисленных вариациях - он основная причина. Далее при выполнении FixIt! удалены загрузчики (в базы пока так и не добавлены):

 

VirusTotal - File - 8914f55abfa53c7ff5b87c6e199f8dffce0ceeb56739fdf68f91ea670459814f

VirusTotal - File - 9bf088c3780cb286664d9a12254109492cc8565ae8e4981eed6bcc91704ebe4d

 

Стилеры крадут не только пароли, но и сессии (куки), поэтому важно в личных кабинетах веб-сервисов завершить незнакомые сессии:

 

Как завершить сессии VK читайте тут: https://vk.ru/faq18005

Завершить сессии Google: https://support.google.com/accounts/answer/3067630?hl=ru

Завершить сессии Microsoft: https://support.microsoft.com/ru-ru/accounts-billing/manage/how-to-sign-out-of-your-microsoft-account-everywhere

В мессенджерах используйте соответствующий пункт в меню.

Так же завершите сессии во всех веб-сервисах, которые используете (стим, банк-клиенты и проч)

 

В используемом браузере желательно сбросить настройки, по аналогии с Google Chrome

 

Затем смените везде пароли и включите двухфакторную авторизацию.

 
Регулярно делайте резервные копии важных данных на внешние диски и в облачные хранилища, - так Вы защитите их от возможной утери при проблемах с "железом" или при атаках троянов-шифровальщиков. 
 
Для блокировки нежелательного контента советую установить расширения браузеров uBO Lite и Browser guard.
 
Скачивайте расширения только из официальных магазинов. Не устанавливайте слишком много расширений и регулярно проверяйте их список.
 
Ознакомьтесь со следующей информацией:
 
Скачать триал-версию Dr.Web Security Space
Приобрести лицензию

 

[UJIF009]

Спасибо за помощь! Надеюсь отвяжется от меня этот взломщик.
Двухфакторки на важных ресурсах уже везде установил, но не везде это защищало от проникновения, по крайней мере в ТГ. Но видимо живой троян этому способствовал.

У меня вот только вопрос остался. А можно по тем логам определить, какого числа заражение произошло? (Просто чтоб удостоверится в своей ошибке, на которую подозреваю)
 

 

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.

Компьютер будет перезагружен автоматически.

 

При сканировании CureIt! был удален Trojan.PWS.Salat.390 в многочисленных вариациях - он основная причина. Далее при выполнении FixIt! удалены загрузчики (в базы пока так и не добавлены):

 

VirusTotal - File - 8914f55abfa53c7ff5b87c6e199f8dffce0ceeb56739fdf68f91ea670459814f

VirusTotal - File - 9bf088c3780cb286664d9a12254109492cc8565ae8e4981eed6bcc91704ebe4d

 

Стилеры крадут не только пароли, но и сессии (куки), поэтому важно в личных кабинетах веб-сервисов завершить незнакомые сессии:

 

Как завершить сессии VK читайте тут: https://vk.ru/faq18005

Завершить сессии Google: https://support.google.com/accounts/answer/3067630?hl=ru

Завершить сессии Microsoft: https://support.microsoft.com/ru-ru/accounts-billing/manage/how-to-sign-out-of-your-microsoft-account-everywhere

В мессенджерах используйте соответствующий пункт в меню.

Так же завершите сессии во всех веб-сервисах, которые используете (стим, банк-клиенты и проч)

 

В используемом браузере желательно сбросить настройки, по аналогии с Google Chrome

 

Затем смените везде пароли и включите двухфакторную авторизацию.

 
Регулярно делайте резервные копии важных данных на внешние диски и в облачные хранилища, - так Вы защитите их от возможной утери при проблемах с "железом" или при атаках троянов-шифровальщиков. 
 
Для блокировки нежелательного контента советую установить расширения браузеров uBO Lite и Browser guard.
 
Скачивайте расширения только из официальных магазинов. Не устанавливайте слишком много расширений и регулярно проверяйте их список.
 
Ознакомьтесь со следующей информацией:
 
Скачать триал-версию Dr.Web Security Space
Приобрести лицензию

 

 

Сообщение было изменено UJIF009: 17 Август 2026 - 12:52

[Severnyj]

Двухфакторки на важных ресурсах уже везде установил, но не везде это защищало от проникновения, по крайней мере в ТГ. Но видимо живой троян этому способствовал.

Двухфакторка не поможет, если уведена сессия. В первую очередь - нужно завершать все чужие сессии. И только потом менять пароли и ставить двухфакторки. Ознакомьтесь с этой статьей: https://www.comss.ru/page.php?id=21551

 

 

У меня вот только вопрос остался. А можно по тем логам определить, какого числа заражение произошло? (Просто чтоб удостоверится в своей ошибке, на которую подозреваю)

Дата создания троянов: 2026-07-15 22:45.