Trojan:Win32/Powemet.A!attk и не только

@Joramormont · Регистрация: 06.11.2019

Студворк — интернет-сервис помощи студентам

Здравствуйте, Windows Defender второй день по несколько раз блокирует угрозу Trojan:Win32/Powemet.A!attk, а так же пару раз были другие трояны, но не успел зафиксировать.
SpyHunter 5 нашёл вроде, но нужно ждать 48 часов. Dr Web CureIt не нашёл ничего.

@Sandor · 29.06.2022, 12:56

Давайте попробуем так:
Подготовьте лог uVS.

@Joramormont · 29.06.2022, 13:19 **[ТС]**

вот логи

@Sandor · 29.06.2022, 13:44

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

Отключите до перезагрузки антивирус.

Выделите следующий код:

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Folder: C:\ProgramData\w1
2022-06-28 22:54 - 2021-06-12 13:48 - 000000000 ____D C:\ProgramData\w1
StartBatch:
  ECHO Y|CHKDSK C: /F
  pushd c:\windows\system32
  bcdedit.exe /set {default} recoveryenabled yes
EndBatch:
cmd: DISM.exe /Online /Cleanup-image /Restorehealth
cmd: sfc /scannow
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Выполнение скрипта может занять длительное время, дождитесь окончания.
Во время перезагрузки будет запущена проверка/исправление возможных ошибок диска, не прерывайте.

Вручную удалите папки

C:\Users\capta\Desktop\autologger
C:\Users\capta\Desktop\AV_block_remover

и выполните полную проверку Защитником.
Результат сообщите.

@Joramormont · 29.06.2022, 19:50 **[ТС]**

Полное сканирование не нашло угроз, вот логи.

@Joramormont · 29.06.2022, 19:54 **[ТС]**

После перезагрузки опять Trojan:Win32/Powemet.A!attk

@thyrex · 29.06.2022, 23:11

И все же попробуйте сделать экспорт задач SQL Server по инструкции https://docs.microsoft.com/en-... erver-2017

Добавлено через 33 минуты
И если есть возможность, то пришлите системную базу master (ссылку на скачивание пришлите в ЛС)

@Joramormont · 29.06.2022, 23:38 **[ТС]**

Можете, пожалуйста, поподробнее написать, что мне нужно сделать, если не сложно? (можно тоже в лс)

Добавлено через 10 минут
Я не понимаю, какие источники данных выбирать, потому что при всех зависает и пишет ошибку "поставщик не зарегистрирован", "время ожидания истекло". И про master не совсем понял

Мне нужно скачивать SQL Server Management Studio?

@thyrex · 29.06.2022, 23:45

Microsoft SQL Server Management Studio - 18.11

уже есть в списке установленных программ

Сообщение от Joramormont

И про master не совсем понял

база master.mdf нужна

@Sandor · 01.07.2022, 11:00

+
Выполните скрипт в UVS.

Code
1
2
3
4
5
6
;uVS v4.12 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
 
regt 39
restart

В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Компьютер будет перезагружен.

После перезагрузки соберите, пожалуйста, новый лог uVS.

@Joramormont · 01.07.2022, 11:20 **[ТС]**

После выполнения скрипта, угроза всё ещё есть (не знаю, насколько это важно сказать). Вот сами логи

@Sandor · 01.07.2022, 11:41

Мы пока только включили особый режим для углубленного повторного лога.
Некоторое время подождите.

Добавлено через 6 минут
+
Еще, пожалуйста, удалите старые и соберите новые логи FRST.txt и Addition.txt

@Joramormont · 01.07.2022, 20:25 **[ТС]**

Не заметил сообщения доп. Вот логи

@thyrex · 01.07.2022, 21:26

Есть подозрение, что на Windows 11 при сканировании пропускаются записи, относящиеся к WMI (возможно потому, что по умолчанию wmic.exe отсутствует в системе). Попробуйте добавить эту возможность в систему по инструкции и проведите еще раз сбор логов Farbar, предварительно удалив старые

@Joramormont · 01.07.2022, 21:53 **[ТС]**

Не уверен, что получилось добавить. Посмотрите пожалуйста

@thyrex · 02.07.2022, 07:44

В присланных базах SQL Server ничего необычного. По поводу wmic.exe: посмотрел номер сборки Вашей Windows 11 - там его еще не должны были выпилить.

Не припомните, хотя бы примерно, с какой даты Защитник начал срабатывать на вирус и после каких действий это началось?

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Code
1
2
3
4
5
6
7
8
9
10
Start::
CreateRestorePoint:
File: C:\WINDOWS\system32\ps
File: C:\WINDOWS\system32\s
File: c:\windows\Adobeupdate.exe
File: c:\windows\help\AdobeFlac.exe
2022-06-26 18:09 - 2022-03-12 19:03 - 000038493 _____ C:\WINDOWS\system32\ps
2022-06-26 18:09 - 2022-03-12 19:03 - 000038070 _____ C:\WINDOWS\system32\s
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание: будет выполнена перезагрузка компьютера.

Добавлено через 3 минуты
И еще вопрос: кроме Вас, кто еще имеет доступ к компьютеру? Или учетка Валера тоже Ваша?

@Joramormont · 02.07.2022, 10:14 **[ТС]**

1. По поводу wmic.exe - я его вчера не нашел в функциях (там был только snmp протокол для wmic), а командная строка писала, что такой функции нет (ошибка 87).
Насчёт даты - я заметил уведомления днём ранее от того, как создал здесь пост. Но судя по записям защитника это всё идёт с 16 июня. В загрузках ничего такого нет, в истории браузера к сожалению не могу посмотреть, после недавнего скрипта всё удалилось.

15 июня подключался по ammy admin к другому компьютеру, но это был доступ к нему, а не ко мне, и это было утром. А сообщения дефендер начал присылать вечером 16го.

Насчёт доступа к компьютера - Валера это я, так что скорее всего моя учетка (не очень помню, но вроде были давно проблемы с доступом к текущей и пришлось другую создавать).

В журнале защитника так же есть графа "затронутые элементы", может её сюда скинуть?

Вот логи. (После перезагрузки ничего не изменилось).

@thyrex · 02.07.2022, 12:51

Тогда хотя бы уберите права Администратора с учетки Валера.

Если в графе Затронутые элементы есть какая-то информация, можете ее предоставить

Добавлено через 2 минуты
Сделайте лог TDSSkiller

@Joramormont · 02.07.2022, 14:39 **[ТС]**

Ничего не нашло

@Joramormont · 02.07.2022, 14:40 **[ТС]**

Права администратора убрал у Валеры

@SQx · 02.07.2022, 16:16

Здравствуёте,

покажите пожалуйста результат следующего фикса

Закройте и сохраните все открытые приложения.

Выделите следующий код::

Code
1
2
3
4
5
6
7
8
9
Start::
CreateRestorePoint:
CMD: type C:\WINDOWS\system32\ps
CMD: type C:\WINDOWS\system32\s
Folder: C:\ProgramData\KMSAuto
Powershell: Get-WMIObject -Namespace root\Subscription -Class  ActiveScriptEventConsumer -Filter "Name='SCM Event Consumer'"
Powershell: Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding -Filter "__Path LIKE '%SCM Event Consumer%'"
Powershell: Get-WMIObject -Namespace root\Subscription -Class __EventFilter -filter "Name= 'SCM Event Filter'" 
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST/FRST64 (от имени администратора).
Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). .
Обратите внимание, что компьютер будет перезагружен.

Новые блоги и статьи Все статьи Все блоги /
Запустил конкурс "тем и промптов для текстовых квестов созданных почти чисто ИИ" Adler 06.10.2026 Всем привет! За последние три-четыре дня я создал более 16 текстовых квестовых игр используя преимущественно по одному запросу к ИИ на игру. Мне так понравилось смотреть все ветки/ сцены во всех. . .	ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Nekobox - outbounds[0].transport: unknown transport type: raw damix 01.10.2026 Фикс ошибки Правым кликом по серверу -> отладочная информация -> edit Заменить "net": "raw", на "net": "tcp", Нажать кнопку reload.
Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .	Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .	Мобильное приложение ColorStep pavlinmavlin 17.09.2026 Реализовал приложение Красный, Зеленый, Синий в Unity3d + c#. Название изменил на ColorStep. Приложение прошло модерацию и теперь доступно для скачивания. Делал его сам, шаг за шагом — и вот,. . .	Запрет дублирования строк в табличной части Maks 13.09.2026 Реализация из решения ниже выполнена на нетиповом справочнике "Нормы ТО" с табличной часть "Виды ТО", разработанного в КА2, со следующими реквизитами: - ВидТО (СправочникСсылка. ВидыТО); - ВидГСМ. . .

@Sandor 22833 / 15994 / 3100 Регистрация: 08.10.2012 Сообщений: 65,141
	29.06.2022, 12:56
	Давайте попробуем так: Подготовьте лог uVS. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	29.06.2022, 19:50 [ТС]
	Полное сканирование не нашло угроз, вот логи. 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,196
	29.06.2022, 23:11
	И все же попробуйте сделать экспорт задач SQL Server по инструкции https://docs.microsoft.com/en-... erver-2017 Добавлено через 33 минуты И если есть возможность, то пришлите системную базу master (ссылку на скачивание пришлите в ЛС) 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	29.06.2022, 23:38 [ТС]
	Можете, пожалуйста, поподробнее написать, что мне нужно сделать, если не сложно? (можно тоже в лс) Добавлено через 10 минут Я не понимаю, какие источники данных выбирать, потому что при всех зависает и пишет ошибку "поставщик не зарегистрирован", "время ожидания истекло". И про master не совсем понял Мне нужно скачивать SQL Server Management Studio? 0

@Sandor 22833 / 15994 / 3100 Регистрация: 08.10.2012 Сообщений: 65,141
	01.07.2022, 11:41
	Мы пока только включили особый режим для углубленного повторного лога. Некоторое время подождите. Добавлено через 6 минут + Еще, пожалуйста, удалите старые и соберите новые логи FRST.txt и Addition.txt 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,196
	01.07.2022, 21:26
	Есть подозрение, что на Windows 11 при сканировании пропускаются записи, относящиеся к WMI (возможно потому, что по умолчанию wmic.exe отсутствует в системе). Попробуйте добавить эту возможность в систему по инструкции и проведите еще раз сбор логов Farbar, предварительно удалив старые 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,196
	02.07.2022, 12:51
	Тогда хотя бы уберите права Администратора с учетки Валера. Если в графе Затронутые элементы есть какая-то информация, можете ее предоставить Добавлено через 2 минуты Сделайте лог TDSSkiller 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	02.07.2022, 14:39 [ТС]
	Ничего не нашло 0