Моля да се провери дали системата на този компютър е заразена или дали има някакви заплахи за нея. Прилагам и прикачените файлове от FRST

Addition.txt FRST.txt

Редактирано 9 юни 20224 г. от Емил Костов (преглед на промените)

Привет. Емо.

Сега виждам темата, защото цял ден имах работни ангажименти.

По-късно ще напиша скрипт, но се вижда на бърз преглед, че системата Е ЗАРАЗЕНА:

() [File not signed] C:\Users\BLAGA\AppData\Roaming\Q72b3mECjZq12zf0\E2tCIMVuOrxl.exe

Ако е било ransomware може би вече е било късно за скрипт, но да се надяваме, че не е.  Все пак е добре да не предприемаш действия самостоятелно, защото това ще обърка почистващия процес.

Поздрави!

току-що, B-boy/StyLe/ написа:

Привет. Емо.

Сега виждам темата, защото цял ден имах работни ангажименти.

По-късно ще напиша скрипт, но се вижда на бърз преглед, че системата Е ЗАРАЗЕНА:

() [File not signed] C:\Users\BLAGA\AppData\Roaming\Q72b3mECjZq12zf0\E2tCIMVuOrxl.exe

Ако е било ransomware може би вече е било късно за скрипт, но да се надяваме, че не е.  Все пак е добре да не предприемаш действия самостоятелно, защото това ще обърка почистващия процес.

Поздрави!

Ами няма индикация за крипто вирус, но прегледай че ще стане качамак иначе

преди 5 минути, Емил Костов написа:

Ами няма индикация за крипто вирус, но прегледай че ще стане качамак иначе

Да, само да хапна нещо, че цял ден съм на една баничка с боза и кафе и вече ми е прималяло и след малко ще действаме. Значи ти е под ръка машината, така да разбирам?

току-що, B-boy/StyLe/ написа:

Да, само да хапна нещо, че цял ден съм на една баничка с боза и кафе и вече ми е прималяло и след малко ще действаме. Значи ти е под ръка машината, така да разбирам?

Не, не е! Утре ще ми е под ръка, но тя си работи от доста време. Знаеш ми предишната тема за Llilium криптовируса. Да провериш да не се крие нещо и в тази машина. Другата е бастисах с чисто нова инсталация. Но ти си вечеряй не се престаравай.

Редактирано 9 юни 20224 г. от Емил Костов (преглед на промените)

Емо, като цяло използваш и кофти крак. Не, че е позволено да се коментират краковете, но точно този, който ползваш е от най-калпавите.

Нещо не ми харесва с каква дефиниция Windows Defender е засякъл заразата (но не е видял от къде е тръгнала):

Цитат

Windows Defender:
================
Date: 2022-06-04 15:41:01
Description:
Microsoft Defender Antivirus has detected malware or other potentially unwanted software.
For more information please see the following:
https://go.microsoft.com/fwlink/?linkid=37020&name=Behavior:Win32/Ransomware!GenD.X&threatid=2147767665&enterprise=0
Name: Behavior:Win32/Ransomware!GenD.X
Severity: Severe
Category: Suspicious Behavior
Path: behavior:_pid:16940:215177383210606; process:_pid:16940,ProcessStart:132988200463144519
Detection Origin: Unknown
Detection Type: Concrete
Detection Source: Unknown
Process Name: Unknown
Security intelligence Version: AV: 1.367.1011.0, AS: 1.367.1011.0, NIS: 1.367.1011.0
Engine Version: AM: 1.1.19200.6, NIS: 1.1.19200.6

Не е успял да я почисти напълно според лог файла, но пък щом за 5 дни не са се появили криптирани файлове може и да я е спрял успешно.

Запази този файл в папката, където си свалил FRST. Стартирай FRST и избери бутона FIX.

Системата ще се рестартира. След рестарта покажи лог файла, който ще се е създаде в същата папка в която се намира FRST с името Fixlog.txt.

fixlist.txt

преди 14 часа, B-boy/StyLe/ написа:

Емо, като цяло използваш и кофти крак. Не, че е позволено да се коментират краковете, но точно този, който ползваш е от най-калпавите.

Нещо не ми харесва с каква дефиниция Windows Defender е засякъл заразата (но не е видял от къде е тръгнала):

Не е успял да я почисти напълно според лог файла, но пък щом за 5 дни не са се появили криптирани файлове може и да я е спрял успешно.

Запази този файл в папката, където си свалил FRST. Стартирай FRST и избери бутона FIX.

Системата ще се рестартира. След рестарта покажи лог файла, който ще се е създаде в същата папка в която се намира FRST с името Fixlog.txt.

fixlist.txt 1.88 kB · 2 изтегляния

Ето и резултата. Прикачам файл.

Fixlog.txt

Изглежда се е изпълнил, както трябва и опасността е премахната:

"HKU\S-1-5-21-1363922506-3879324503-1291283955-1001\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell" => removed successfully

C:\Users\BLAGA\AppData\Roaming\Q72b3mECjZq12zf0 => moved successfully

Все пак направи нова проверка с FRST и прикачи новите лог файлове.

Аз ще докладвам един бъг на разработчика, защото май това си е точно бъг:

EmptyTemp: => 8471885793.9 GB temporary data Removed.

Едва ли имаш толкова голям диск...

преди 1 час, B-boy/StyLe/ написа:

Изглежда се е изпълнил, както трябва и опасността е премахната:

"HKU\S-1-5-21-1363922506-3879324503-1291283955-1001\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell" => removed successfully

C:\Users\BLAGA\AppData\Roaming\Q72b3mECjZq12zf0 => moved successfully

Все пак направи нова проверка с FRST и прикачи новите лог файлове.

Аз ще докладвам един бъг на разработчика, защото май това си е точно бъг:

EmptyTemp: => 8471885793.9 GB temporary data Removed.

Едва ли имаш толкова голям диск...

Вероятно не е бъг. Единият хард диск на машината си заминава и вероятно програмата е разчела нещо грешно.

Редактирано 10 юни 20224 г. от Емил Костов (преглед на промените)

преди 28 минути, Емил Костов написа:

Вероятно не е бъг. Единият хард диск на машината си заминава и вероятно програмата е разчела нещо грешно.

Хммм...дали имаш някакъв лог файл на този диск на СМАРТ статуса му или друго за да го пратя все пак на автора ако го поиска? Мерси за пояснението.

преди 6 минути, B-boy/StyLe/ написа:

Хммм...дали имаш някакъв лог файл на този диск на СМАРТ статуса му или друго за да го пратя все пак на автора ако го поиска? Мерси за пояснението.

Като отида при машините ще ти пратя

на 10.06.2022 г. в 15:02, B-boy/StyLe/ написа:

Хммм...дали имаш някакъв лог файл на този диск на СМАРТ статуса му или друго за да го пратя все пак на автора ако го поиска? Мерси за пояснението.

 Ето ти отново файловете от повторната проверка на FIRTS

Addition.txt FRST.txt

Ети ти и инфо от SMART на съмнителния хард диск:

По-късно ще видя лог файловете, но C7 грешките доколкото видях, може да не се дължат непременно на умиращ диск.

Може да имаш проблем със сата кабела (смени го за теста).

Може да имаш проблемен контролер/порт. Пробвай на друг за всеки случай.

преди 2 минути, B-boy/StyLe/ написа:

По-късно ще видя лог файловете, но C7 грешките доколкото видях, може да не се дължат непременно на умиращ диск.

Може да имаш проблем със сата кабела (смени го за теста).

Може да имаш проблемен контролер/порт. Пробвай на друг за всеки случай.

Сменил съм го.

Тази система изглежда вече чиста. Все пак ако решиш пусни една проверка с KVRT

https://www.kaspersky.com/downloads/free-virus-removal-tool

Ок ще пусна и ще ти кажа.