Здравейте.

Windows 10 Pro 22H2 19045.2965

Видимо системата работи без проблем. Отворих кошчето и виждам, че на 19.05.2023 г. в 2,19 часа е изтрита програма с име WebBrowserPassView и нейния .cfg файл. Програмата е била на работния плот и след това е изтрита. Опасявам се от неоторизиран достъп. Прилагам двата задължителни файла плюс информация от eventvwr за периода между 2,19 и 2,19 часа.

Addition.txt eventviewer_system.txt FRST.txt

Здравейте..! Един въпрос:

Програмите TeamViewer и AnyDesk вие ли сте ги  инсталирали..? Питам защото ако не сте е възможно да са инсталирани от "друг" с цел да има достъп до вашата машина..! Освен това този компютър служебен ли е..? 

 

 

Предполагам знаете тази програма WebBrowserPassView за какво служи ..? Самият автор Nir Sofer в своя блог казва че антивирусните програми  класифицират някои от неговия софтуер включително и  WebBrowserPassView като инфекция с вируси/троянски коне. А някои по "нежни" антивирусни програми като „заплаха за сигурността“ или  Riskware софтуер и пречат за стартирането му, поставят под карантина или направо изтриват..! Каква е гаранцията че вашата антивирусна програма 360 Total Security не е направила това..? 

 

Здравейте.

Да, компютърът е служебен. Гася го почти всяка неделя вечер. Иначе не се гаси.

Да, AnyDeck и TeamViwer съм ги инсталирал аз поради факта, че компютърът е в офиса, но често се налага работа и от къщи през нощта.

Гадая по името на програмата WebBrowserPassView за какво служи. Не съм я инсталирал / свалял аз. И това ми е притеснението.

Прегледах всички логове на 360 Total Security - не намирам действия от страна на антивирусната спрямо WebBrowserPassView.

преди 1 час, 2249 написа:

Да, компютърът е служебен.

Да вижда се ...! Системния ви администратор какво казва по казуса..?

Иначе прегледах файловете ..! Не виждам на този етап индикации за зловреден софтуер ..! Няколко отворени портове които трябва да се видят какво им е назначението...Някои остатъци от деинсталирани програми..Ще напиша един фикс и ще ги изчистим ..но това ще е по скоро козметична процедура..!

Няколко алтернативни сканирания:

 

Сканиране с AdwCleaner (режим на сканиране (Scan mode)

Изтеглете AdwCleaner и го запазете на вашия работен плот.

• Щракнете двукратно върху AdwCleaner.exe, за да го стартирате.
• Щракнете върху Сканиране сега (Scan Now)
• Когато сканирането приключи, ще се отвори прозорец с резултати от сканиране.
• Щракнете върху Отказ ( Cancel) (в този момент не се опитвайте да поставите под карантина нищо, което е намерено)
• Сега щракнете върху раздела Log Files.
• Щракнете двукратно върху последния дневник за сканиране (регистрационните файлове за сканиране имат префикс [S0*], където * се заменя с число. Последното сканиране ще има най-голямо число)
• Ще се отвори файл на Notepad, съдържащ резултатите от сканирането.

Моля, публикувайте съдържанието на файла в следващия си отговор.

 

 

Microsoft Safety Scanner

• Microsoft Safety Scanner е безплатен самостоятелен скенер за вируси на Microsoft, който може да се използва за сканиране и премахване на зловреден или потенциално нежелан софтуер от системата.
•  Изтеглете инструмента от тази връзка на Microsoft:

https://docs.microsoft.com/en-us/windows/security/threat-protection/intelligence/safety-scanner-download

• Моля, уведомете ме за резултатите от това сканиране.
• Дневникът се казва MSERT.log
• Регистрационният файл ще бъде на% SYSTEMROOT% debug msert.log, който в повечето случаи е C:\Windows\debug\msert.log
• Моля, прикачете този дневник със следващия си отговор.

 

 

Изтеглете  ESET Online Scanner и го запишете на вашия работен плот.

•     Щракнете с десния бутон върху esetonlinescanner_enu.exe и изберете  Run as Administrator  ( Изпълни като администратор).
•     Когато инструментът се отвори, щракнете върху  Get Started ( Започнете).
•     Прочетете и приемете лицензионното споразумение.
•     В прозореца  Welcome to ESET Online Scanner щракнете върху Get Started (Започнете).
•     Изберете дали искате да изпратите анонимни данни на ESET.
•     Забележка: Ако видите екрана Welcome Back to ESET Online Scanner"  (Добре дошли в онлайн скенера на ESET) , щракнете върху  Computer Scan  ( Сканиране на компютър ) > Full Scan  (Пълно сканиране).
•     Кликнете върху опцията за Full Scan ( Пълно сканиране).
•     Изберете Enable ESET to detect and remove potentially unwanted applications  (Активиране на ESET, за да открие и премахне потенциално нежелани приложения), след което щракнете върху Start scan  (Старт на сканиране).
•     ESET  ще започне да сканира вашия компютър. Това може да отнеме известно време.
•     Когато сканирането приключи и ако са открити заплахи, изберете Save scan log (Запазване на дневника на сканиране). Запазете го на работния плот като eset.txt. Кликнете върху Continue  (Продължи).
•     ESET Онлайн скенер може да попита дали искате да включите функцията за периодично сканиране. Кликнете върху  Continue ( Продължи).
•     На следващия екран можете да оставите отзиви за програмата, ако желаете. Поставете отметка в квадратчето за  Delete application data on closing ( изтриване на данни от приложението при затваряне). Ако оставите обратна връзка, щракнете върху Submit and continue (Изпращане и продължете). Ако не, Close without feedback (Затворете без обратна връзка).
•   Отворете дневника от сканирането от вашия работен плот (eset.txt) и копирайте и поставете съдържанието му в следващия си отговор.

Здравейте.

Прилагам нужните файлове:

 

AdwCleaner[S00].txt eset.txt msert.log

Доста кракнат софтуер..! Това не е много добре за служебна машина ..! 

 

AdwCleaner (режим на почистване) (Clean mode)

• Щракнете двукратно върху AdwCleaner.exe на вашия работен плот, за да го стартирате отново.
• Щракнете върху Сканиране сега (Scan Now.)
• Когато сканирането приключи, ще се отвори прозорец с резултати от сканиране (Scan Results.)
• Моля, отметнете всичко намерено  и след това щракнете върху Карантина. (Quarantine.)

Щракнете върху Напред (Next)

• Ще се появи подкана за рестартиране на компютъра.
• Щракнете върху Рестартиране сега (Restart Now).

След като компютърът ви се рестартира:

• Ако не се отвори автоматично, стартирайте AdwCleaner.
• Щракнете върху раздела Регистрационни файлове ( Log Files)
• Щракнете двукратно върху последния Clean log  ( регистрационни файлове имат префикс [C0*], където * се заменя с число, последното сканиране ще има най-голямо число)
• Ще се отвори файл на Notepad, съдържащ резултатите от премахването.

Моля, публикувайте съдържанието на файла в следващия си отговор.

 

Фикс с Farbar Recovery Scan Tool

• Щракнете с десния бутон върху иконата FRST и изберете Изпълнете като администратор
• Маркирайте  информацията от карето по долу , след което натиснете клавишите Ctrl + C едновременно и текстът ще бъде копиран
• Няма нужда да поставяте информацията , FRST ще я направи вместо вас.

CreateRestorePoint:
CloseProcesses:
SystemRestore: On

GroupPolicy: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
Task: {7E5DD78E-B13A-4E57-8478-CD8699C6CAE8} - \Microinvest Archi Pro scheduler -> No File <==== ATTENTION
Task: {B32601CA-58D1-4B40-A2B1-CD4051686172} - \Microsoft\Windows\UNP\RunCampaignManager -> No File <==== ATTENTION
Edge Extension: (No Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [not found]
Edge Extension: (No Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [not found]
Edge Extension: (No Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [not found]
Edge Extension: (No Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [not found]
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> No File
FirewallRules: [{550B20D6-C462-42B1-82D9-6A268BAE0287}] => (Allow) C:\Users\EXPERTA\AppData\Roaming\Zoom\bin\airhost.exe => No File
FirewallRules: [{C0A503E5-CCC7-4A28-B583-12E355098202}] => (Allow) C:\Users\EXPERTA\AppData\Roaming\Zoom\bin\airhost.exe => No File
FirewallRules: [{0E4C2ADD-53A5-4433-9D28-A29D21254ED9}] => (Allow) C:\Program Files\Electronic Team\USB Network Gate\UsbService64.exe => No File
FirewallRules: [{AD0C8AF6-2EDD-46FB-B55E-D88AA8EE607C}] => (Allow) C:\Program Files\Electronic Team\USB Network Gate\UsbConfig.exe => No File
FirewallRules: [{67EAE6FA-258D-4DF8-A156-5A8863357FEF}] => (Allow) C:\Program Files\Electronic Team\USB Network Gate\UsbService64.exe => No File
FirewallRules: [{4AA53BB3-1A4E-4199-B787-5FE2AA1FA882}] => (Allow) C:\Program Files\Electronic Team\USB Network Gate\UsbConfig.exe => No File
FirewallRules: [{45F41B8B-0C08-4522-B541-B19F883E0345}] => (Allow) C:\Program Files (x86)\AOMEI\AOMEI Backupper\6.9.0\ABService.exe => No File
FirewallRules: [{D269466E-A20F-4948-B63C-ADDA86E3D96A}] => (Allow) C:\Program Files (x86)\AOMEI\AOMEI Backupper\6.9.0\ABService.exe => No File

Hosts:
EmptyTemp:
Reboot:
End::

 

 

ЗАБЕЛЕЖКА: Този скрипт е написан специално за този потребител,и за тази конкретна машина. Изпълнението на фикса, на друг компютър може да доведе до увреждане на  операционната ви система

Следните директории се изпразват:

• Windows Temp
• Users Temp folders
• Edge, IE, FF, Chrome and Opera caches, HTML5 storages, Cookies and History
• Recently opened files cache
• Flash Player cache
• Java cache
• Steam HTML cache
• Explorer thumbnail and icon cache
• BITS transfer queue (qmgr*.dat files)
• Recycle Bin

Натиснете бутона Fix само веднъж и изчакайте.

Забележка:    Не е необходимо да поставяте скрипта в FRST .
Рестартирайте компютъра, ако бъдете подканени.
Когато поправката е завършена, FRST ще генерира дневник на същото място, от което е стартиран (Fixlog.txt)
Моля, копирайте и поставете съдържанието му във вашия отговор.

Здравейте. Файловете:

 

AdwCleaner[C02].txt Fixlog.txt

Чудесно..! Продължавам да съм на мнение че тази машина е чиста ..! 

Може ли да видя нови свежи дневници с:

FRST сканиране

    Щракнете двукратно върху FRST.exe / FRST64.exe, за да го стартирате.
    Натиснете бутона за  сканиране.
    Когато приключи, той ще създаде  два лог файла с името FRST.txt и Addition.txt, в същата директория, от която е стартиран инструментът.
    Моля, копирайте и поставете двата файла в следващия си отговор.

+

 

Сканиране с SecurityCheck by glax24

• Изтеглете SecurityCheck by glax24 от тук и запомнете инструмента на десктопа .
• Стартирате програмата (ако използвате Windows XP) или стартирате с десен бутон на мишката от името на администратор (ако използватеWindows Vista/7/8/10)
• Изчакайте да приключи сканирането.Ще се отвори в текстов файл с име SecurityCheck.txt. Копирайте съдържанието на  този файл  следващия си пост
• Можете да намерите този файл в основната директория на системния диск в папка с име SecurityCheck, напр. C:\SecurityCheck\SecurityCheck.txt

Здравейте. Прилагам файловете от FRST. Изтеглянето на Security Check е невъзможно.

 

Addition_23052023.txt FRST_23052023.txt

Добре изглеждат дневниците ..! Да премахнем всичко което използвахме в почистването :

KpRm 
 
Изтеглете  KpRm от kernel-panik и го запишете на вашия работен плот. 

• Щракнете с десния бутон върху kprm_ (версия) .exe и изберете Изпълни като администратор. 
• Когато инструментът се отвори, уверете се, че всички квадратчета са отметнати и изберете Изпълни ( Run ).

• След като приключите, щракнете върху OK. 
• В Notepad ще се отвори журнал, озаглавен kprm- (date) .txt. 
• Моля, копирайте и поставете съдържанието му в следващия си отговор.

Здравейте. И Честит празник !

Прилагам файла:

 

kprm-20230524192401.txt

Ами това е от мен..! Системата е чиста..! Повече и по на дълбоко не искам да пипам защото машината е служебна и да не създадем проблеми на системните администратори...! Пожелавам ви здраве и безопасен интернет..! Приятен ден.!  

Благодаря за отделеното време и споделения опит !

Взех решение за замяна на "пипания" софтуер с легален платен. Няма да стане наведнъж, но ... ще стане.

Бъдете здрав !