Здравейте,открих наличието на софтуер за дистанционен достъп до компютъра си ,след като видях курсора на мишката да се движи по екрана.Не знам дали има промяна в работата на компютъра,поне не съм забелязал.Прилагам файловете при сканиране с FRST 

FRST.txt Addition.txt

Здравейте,

Честно казано не видях наличие на активни зарази. Времето на появата на AnyDesk е по време на актуализация на браузъра Opera по някаква причина според лог файловете.

2020-03-11 06:47 - 2020-03-11 06:47 - 000000000 ____D C:\Users\m\Downloads\opera autoupdate
2020-03-10 15:30 - 2020-03-10 15:31 - 000000000 ____D C:\Users\user\AppData\Roaming\AnyDesk
2020-03-09 16:31 - 2020-03-09 16:31 - 000004224 _____ C:\Windows\system32\Tasks\Opera scheduled assistant Autoupdate 1583764303

А иначе според лог файловете, само вашия акаунт има администраторски права. Някой да е имал физически достъп до акаунта ви?

здравейте,само аз имам такива права.Имам два акаунта на компютъра,един с пълни  и един с ограничени права.Ползвам само ограничения акаунт за работа,а администраторския когато има нужда от пълен достъп навсякъде или при ъпдейт на програми.Случвало се е да забравя да изляза от него след като приключа,така беше и .последния път.Дали е бил физически достъп(има възможност за това от други хора) или през нета не знам,но мишката си  се движеше насам натам 🙂 .А софтуера скрит ли е някъде?Видях че във файъруол има разрешения за AnyDesk,а не го намирам в програмните файлове.

Аз видях, че само вашия акаунт има права и затова попитах дали някой не го е ползвал. Иначе не, поне папката няма hidden атрибути, колкото до правилата в стената, логовете показват, че изпълнимия файл е изтрит:

FirewallRules: [TCP Query User{C5A55925-A26A-41D7-BBF2-C9B8B269AAB7}C:\users\user\downloads\anydesk.exe] => (Allow) C:\users\user\downloads\anydesk.exe No File
FirewallRules: [UDP Query User{58C48D0F-E73C-433A-8452-6D92B472722B}C:\users\user\downloads\anydesk.exe] => (Allow) C:\users\user\downloads\anydesk.exe No File

Но защо самата папка се е появила между някаква актуализация на Opera или е съвпадение няма как да знам. Не се вижда и в инсталираните програми. Най-вероятно е ползвана преносима версия. Вижте все пак в Control Panel-a кои са последно инсталираните програми като ги подредите по Installed on. Не е зле да смените паролата и на админ акаунта ви, защото може и някой да я знае (освен, че забравяте да излизате от него).

Все пак направете една проверка и с Malwarebytes Anti-Malware и публикувайте резултатите.

 

 

Направих сканирането с Malwarebytes Anti-Malware ,ето го и лог-а :

 

mbm.txt

Лог файла е чист, макар че препоръчвам да повторите проверката с включено сканиране за rootkits.

здравейте,направих повторно сканиране с включена опция за  rootkits.Прилагам лог-а.Ще махна разрешенията във файърол за AnyDesk.exe,гледам че стоят още отметнати.

mbm.txt

То и да не ги изтриете, това са просто невалидни правила, защото липсва приложението, което ги използва, но ако искате да премахнем остатъците от AnyDesk направете следното:

Моля, изтеглете SystemLook.exe и запазете програмата на десктопа.

Кликнете два пъти върху SystemLook_x64.exe, за да стартирате програмата.

• Копирайте съдържанието на следния код в текстовото поле на програмата

:filefind
*AnyDesk*
:folderfind
*AnyDesk*
:regfind
*AnyDesk*

• Кликнете на бутона Look, за да започне сканирането.
• Когато сканирането завърши ще ви се отвори Notepad с резултата от сканирането.
• Моля, прикачете лог файла в следващия си коментар.

Но дори да го премахнем е добре да помислите, както казах за смяна на админ паролата на акаунта ви и да инсталирате някакво приложение, което да засича и блокира инсталирането на нови програми, но за съжаление повечето програми в тази насока не са за начинаещи потребители.

Забавих се с отговора,направих чек-а:

Паролата ще я сменя обезателно,само да приключим с темата.

SystemLook.txt

Извинявам се за забавянето. Както виждате няма остатъци в регистрите и изпълнимия файл е изтрит (останал е само кеша в папката C:\Windows\Prefetch) и папката, за която споменах и която можете да изтриете ръчно или с командата:

rd /s /q "C:\Users\user\AppData\Roaming\AnyDesk"

Поздрави!

Благодаря за отделеното време и внимание,хубаво е че няма поражения в акаунта ми.Желая Ви успехи в борбата със зловредните  програми.