[решено] Подозрение на заражение

Sandor · Отправлено: **18:54, 31-07-2022** | #31

То, что был отключен UAC - серьёзная уязвимость.
Соберите новые логи, можно FRST.

Если предполагаете, что заражение происходит через один из подключаемых к серверу компьютеров, думаю, нужно отключить всех и изменить пароли на подключение.
Затем по очереди каждый пролечить, например, через KVRT. После чего по одному подключать.

Leaves · Отправлено: **09:53, 01-08-2022** | #32

Цитата Sandor:

Соберите новые логи, можно FRST. »

Приврепил

Цитата Sandor:

Если предполагаете, что заражение происходит через один из подключаемых к серверу компьютеров »

Думаю вряд-ли. Они подключаются через RemoteApp, на сервере ничего не делают кроме 1С. и прав админских ни у кого нет

Sandor · Отправлено: **10:01, 01-08-2022** | #33

Известны ли вам эти файлы?

Цитата:

C:\Windows\Tasks\Wrap.exe
C:\Windows\Tasks\MSTask.exe
C:\ProgramData\migrate.exe
C:\ProgramData\st.bat
C:\ProgramData\ru.bat

Файл

Цитата:

C:\Windows\Tasks\svchosl.exe

проверьте на www.virustotal.com и дайте ссылку на результат.
Скорее всего вредонос и можно удалить.

Leaves · Отправлено: **10:25, 01-08-2022** | #34

Цитата Sandor:

Известны ли вам эти файлы? »

Неизвестны

Цитата Sandor:

проверьте на www.virustotal.com и дайте ссылку на результат. »

https://www.virustotal.com/gui/file/...4f191b9dab1837

Sandor · Отправлено: **10:36, 01-08-2022** | #35

Все перечисленные файлы удалите.

Просканируйте систему с помощью KVRT.
Будет создана папка C:\KVRT2020_Data\Reports
Упакуйте её в архив и прикрепите к следующему сообщению.

Leaves · Отправлено: **10:38, 01-08-2022** | #36

Цитата Sandor:

Все перечисленные файлы удалите. »

После этого перезагрузка нужна будет?

Цитата Sandor:

Просканируйте систему с помощью KVRT. »

Из терминального сеанса врядли это удасться сделать. буду планировать под выходные чтобы кто-нибудь дал мне доступ через TeamViewer

Sandor · Отправлено: **10:40, 01-08-2022** | #37

Цитата Leaves:

После этого перезагрузка нужна будет? »

Нет.

Цитата Leaves:

буду планировать под выходные »

Хорошо.

Leaves · Отправлено: **13:54, 01-08-2022** | #38

Цитата Sandor:

C:\ProgramData\migrate.exe
C:\ProgramData\st.bat
C:\ProgramData\ru.bat »

Вот это удалилось.

Цитата Sandor:

C:\Windows\Tasks\MSTask.exe
C:\Windows\Tasks\svchosl.exe
C:\Windows\Temp\~Mp2BD.tmp »

это не удаляется, занято таким-то процессом, через диспетчер задач завершаешь процесс, закрывается диспетчер задач и процесс запускается заново. Как еще можно удалить?

Sandor · Отправлено: **14:00, 01-08-2022** | #39

Как видите, такой способ лечения, которым мы с вами пробуем лечить - не эффективен.

Других способов лечения я пока не вижу:

Цитата Sandor:

Просканируйте систему с помощью KVRT.
Будет создана папка C:\KVRT2020_Data\Reports »

с последующей перезагрузкой.
После перезагрузки и без подключения к сети стОит ещё раз проверить.

Leaves · Отправлено: **14:17, 01-08-2022** | #40

Цитата Sandor:

Просканируйте систему с помощью KVRT. »

Системный раздел тоже проверить?