След дълги години пак съм тука
Здравейте. Реших да направя един профилактичен скан чрез Malwarebytes оня ден и попаднах на това. Първия път се изчистиха, но след повторен скан пак се появиха. Поразрових малко и установих че, някоя програма сменя стойността от default. Ще се радвам ако някой се отзове! Благодаря предварително. 

 

 

 

RiskWare.IFEOHijack

Addition.txt FRST.txt

Здравейте,

В момента съм зает и после ако @icotonev е наблизо може да поеме случая. Аз само ще вметна едно предложение.

Може да пробвате ProcMon да хванете коя програма слага IFEO ключовете за забрана на Defender-a.

1. Изтеглете ProcMon и я разархивирайте и стартирайте.

https://learn.microsoft.com/en-us/sysinternals/downloads/procmon

2. Изтрийте въпросните ключове с Malwarebytes.

3. В ProcMon натиснете бутона Clear.

и след това сложете отметка пред Enable Boot Logging.

4. Рестартирайте системата. След като се уверите, че ключовете са се появили пак, стартирайте ProcMon и на този въпрос отговорете с YES.

5. Лог файла заема доста място (колкото повече време работи програмата). Архивирайте го и го качете на хостинг по избор и предоставете линка към него.

Или пробвайте да го анализирате сам.

За улеснение използвай филтрация по конкретни параметри и ключови думи (Debugger, mpcmdrun.exe и т.н.).

Така съм хващал доста неща. Дори, коя програма слагаше едно прокси преди време като претърсвах една система за зловреден софтуер. Оказа се Panda антивирусната.

 

Сканирах няколко пъти отново за ключовете. Сега чакам да се появят само. Благодаря ви! Лек ден. 

преди 33 минути, Wrath написа:

Сканирах няколко пъти отново за ключовете. Сега чакам да се появят само. Благодаря ви! Лек ден. 

Имайте предвид, че лог файловете от ProcMon лесно могат да станат стотици гигабайти. Обикновено това предложение е ефективно ако се знае горе-долу на какъв интервал се появяват нежеланите промени, а не да оставите ProcMon да работи цял ден (защото лесно ще източи всичкото свободно място на диска). За теста може да видите ако стартирате инсталираните от вас програми 1 по 1 дали някоя от тях все пак не е била причината да се появят тези промени. Всъщност има и други начини освен ProcMon за засичане конкретно на нежелани проблеми по регистрите.

Пример за една такава в MJ Registry Watcher (безплатна).

https://www.jacobsm.com/mjsoft.htm

Друга, която би свършила работа е NoVirusThanks Registry Guard (беше безплатна преди, но с времето я направиха платена, но поне има 30-дневен пробен период, колкото да си решите проблема).

https://www.appsvoid.com/products/registry-guard/

Само трябва да се създават правила да се съобщава за промени по ключа -

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Както и изоставената вече WinPatrol но не в безплатната си версия Free, а в Plus (платената) имаше добавен мониторинг на промени по регистрите, но като гледам правилата не помня дали ставаше само за стойности или и за цели ключове.

Аз като имам време ще прегледам и логовете.

 

преди 3 часа, B-boy/StyLe/ написа:

Имайте предвид, че лог файловете от ProcMon лесно могат да станат стотици гигабайти. Обикновено това предложение е ефективно ако се знае горе-долу на какъв интервал се появяват нежеланите промени, а не да оставите ProcMon да работи цял ден (защото лесно ще източи всичкото свободно място на диска). За теста може да видите ако стартирате инсталираните от вас програми 1 по 1 дали някоя от тях все пак не е била причината да се появят тези промени. Всъщност има и други начини освен ProcMon за засичане конкретно на нежелани проблеми по регистрите.

Пример за една такава в MJ Registry Watcher (безплатна).

https://www.jacobsm.com/mjsoft.htm

Друга, която би свършила работа е NoVirusThanks Registry Guard (беше безплатна преди, но с времето я направиха платена, но поне има 30-дневен пробен период, колкото да си решите проблема).

https://www.appsvoid.com/products/registry-guard/

Само трябва да се създават правила да се съобщава за промени по ключа -

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Както и изоставената вече WinPatrol но не в безплатната си версия Free, а в Plus (платената) имаше добавен мониторинг на промени по регистрите, но като гледам правилата не помня дали ставаше само за стойности или и за цели ключове.

Аз като имам време ще прегледам и логовете.

 

Така и така ключовете не се появиха отново.. Върших същото, което съм правил и вчера, абсолютно никаква разлика. Ще изчакам тогава, благодаря.

Как е сега положението? Мога ли да считам проблема за приключен или решен?

Поздрави!