Trojan:Win32/Powemet.A!attk и не только

@Joramormont · Регистрация: 06.11.2019

Студворк — интернет-сервис помощи студентам

Здравствуйте, Windows Defender второй день по несколько раз блокирует угрозу Trojan:Win32/Powemet.A!attk, а так же пару раз были другие трояны, но не успел зафиксировать.
SpyHunter 5 нашёл вроде, но нужно ждать 48 часов. Dr Web CureIt не нашёл ничего.

@Joramormont · 07.07.2022, 11:09 **[ТС]**

Я так понимаю это защитник химичит, что мне сделать?)

@Sandor · 07.07.2022, 11:14

Некоторое время подождите, ответит Dragokas

Dragokas · 07.07.2022, 12:38

- Запустите remove-snake.reg и подтвердите слияние кнопкой "Да".
- Правой кнопкой мыши нажмите на "sysmon_installer.cmd" и выберите "Запуск от имени Администратора".
- Запустите setup-snake.reg и подтвердите слияние кнопкой "Да"

Дальше продолжите выполнять инструкцию с пункта 4.

@Joramormont · 07.07.2022, 13:15 **[ТС]**

Вот все логи
https://disk.yandex.ru/d/CGG87m0mcruHsA

Dragokas · 07.07.2022, 14:59

А Windows Defender в этот раз точно НЕ сработал (до того, как вы его снова включили) ?

@Joramormont · 07.07.2022, 15:12 **[ТС]**

Я подождал около 5 минут, потом сам включил. Защитник обычно срабатывает почти сразу. Например, я включу компьютер в 15.05, он мне в 15.07 пришлет, что в 15.05 была обнаружена угроза

Добавлено через 1 минуту
Ну и соответственно мне при включении ничего не писало, и защитник было написано, что отключен администратором

@SQx · 08.07.2022, 04:40

Здравствуйте,

Могли бы пожалуйста временно переименовать каталог:

Code
1
D:\Program Files\net.downloadhelper.coapp

в

Code
1
D:\Program Files\net.downloadhelper.coapp_backup

и понаблюдать, но главное не запускать ничего с данного каталога. Сообщите если после этого проблема еще актуальна.

P.S. пожалуйста не удаляйте ничего самостоятельно.

Dragokas · 08.07.2022, 04:41

Отключите интернет (и локальную сеть) выдернув шнур из ПК, и перезагрузите систему. Отпишитесь, будет ли Защитник находить угрозу.

Если да, включаем интернет, идём дальше:

Нажмите Win + R и введите services.msc -> в списке найдите службу "Инструментарий управления Windows", двойной клик - Тип Запуска выберите "Отключена", применить. Перезагрузитесь и сообщите, как ведёт себя Защитник.
Потом, вернёте службу в исходное состояние (тип запуска - "Автоматически").

Пришлите файлы (через яндекс диск):

Code
1
2
C:\Program Files\Npcap\CheckStatus.bat
D:\Program Files\net.downloadhelper.coapp\bin/net.downloadhelper.coapp-win-64.exe

@Joramormont · 08.07.2022, 15:41 **[ТС]**

https://disk.yandex.ru/d/QHazRpgCJ2NfBQ
Вот файлы.
Сделал и как SQx сказал, и как Dragokas. Во всех случаях защитник сработал

@Joramormont · 08.07.2022, 23:27 **[ТС]**

Докладываю наблюдения. Угроза никуда не делась, запускается и без интернета.
Ещё вспомнил, как раз числа 15-16 скачивал с помощью downloadhelper фильм. Его удалил сразу как посмотрел. Но я в принципе уже давно им пользуюсь, проблем не было. Может, это как то поможет

@thyrex · 09.07.2022, 02:58

Отключите ВСЕ установленные расширения во ВСКХ браузерах и проверьте, будет ли срабатывать Защитник

@Joramormont · 09.07.2022, 09:39 **[ТС]**

Да, срабатывает. Программу net.downloadhelper.coapp, связанную с downloadHelper я не удалял, как выше сказали. Её удалять?

@SQx · 09.07.2022, 15:26

Здравствуйте,

Если проблема не в ней, то можете переименовать ее в исходное название. Если она вам не нужна то удаляйте.

Скажите пожалуйста если пробовали проверить если проблема возникает в режиме чистой загрузке?

@Joramormont · 09.07.2022, 16:14 **[ТС]**

Да, угроза появляется и при чистой загрузке

@SQx · 09.07.2022, 16:30

Здравствуйте,

Предоставьте пожалуйста новый лог утилиты FRST в режиме восстановления (Recovery Environment).

Важно, если вы используете Bitlocker, убедитесь, что у Вас имеется ключ восстановления (Bitlocker recovery key), так как он может потребоваться.

Также понадобиться флэшка на которую необходимо закачать утилиты FRST (FRST64 для версии x64).

Загрузитесь в среде восстановления

Чтобы войти в среду восстановления с Windows 10/11, следуйте инструкциям (на английском языке) TenForums
В параметрах загрузки выберите Troubleshooting > Advanced Options > Command prompt.

Как только получили доступ к командной строке

Подключите USB-накопитель к зараженному компьютеру
В командной строке введите notepad и нажмите Enter
Notepad (Блокнот) откроется. Нажмите на меню Файл и выберите Открыть.
Нажмите Компьютер/Этот компьютер, найдите букву своего USB-накопителя, затем закройте окно Notepad(Блокнот)
В командной строке введите e:\frst.exe (для версии x64 введите e:\frst64.exe и нажмите Enter
Примечание. Замените букву e на букву вашего USB-накопителя
FRST откроется
Нажмите Да, чтобы принять заявление об отказе от ответственности
Сначала нажмите кнопку Scan (сканирования). Это деактивирует руткит (если он имеется).
После ожидайте пока не создаться лог FRST.txt на флэш-накопителе. Скопируйте и вставьте журнал FRST.txt в свой ответ. Результат автоматического удаления также указан в файле FRST.txt под секцией service.

После завершения работы в среде восстановления перезагрузите компьютер в обычном режиме.

@Joramormont · 09.07.2022, 17:23 **[ТС]**

Тут 2 файла. FRST - это то, что остается после перезагрузки. вывы - это я скопировал в среде восстановления специально

@thyrex · 09.07.2022, 23:54

1. Система лицензионная или нет (или так: активатор родной или нет)?
2. Обновления для системы в июне случайно не ставили перед появлением проблемы?

Вы писали, что удаленно подключались к другой машине? С помощью AmmyAdmin?

@Joramormont · 09.07.2022, 23:57 **[ТС]**

1. Честно, лицензия, но активатор не родной
2. По истории обновлений, в июне были только 17 числа. Вот эти 2
https://support.microsoft.com/... b6f1d9ea11
https://support.microsoft.com/... ca9b76a5b7

3.Да, AmmyAdmin

@thyrex · 10.07.2022, 00:03

АmmyAdmin не активировали? Или тоже левый активатор какой-нибудь?

Добавлено через 58 секунд
Сейчас эта программа установлена или удалена?

@Joramormont · 10.07.2022, 00:04 **[ТС]**

Его вообще не активировал, демо версией (или как она там называется) пользовался. Если вдруг это важно, никаких файлов, ничего не переносил, было подключение на пару минут и всё

Добавлено через 36 секунд
Сейчас удалена

Новые блоги и статьи Все статьи Все блоги /
Установка нескольких штампов электронной подписи в строго определенных местах файла docx ВладимирСамохин 19.07.2026 (В!) Работа с Электронной подписью - это неотъемлемая часть современного документооборота. Но что делать, если нужно поставить несколько штампов электронной подписи в строго определенных местах. . .	сукцессия 35. Научная статья о проделанной работе anaschu 19.07.2026 Написал в формате латекс и пдф	Вангую, что это не пройдёт модерацию, и на неделе я запущу свой сервер. Hrethgir 19.07.2026 Эта публикация сейчас в песочнице и ждёт приглашения. https:/ / habr. com/ ru/ sandbox/ 295048/ начало и оглавление - Как «пернатого» заставить осваивать новые горизонты опыта через масштабирование. . .	сукцессия 33. открытые вопросы от клауде anaschu 19.07.2026 "Что накопилось за эту часть А — тринадцать правок, из которых шесть пришли из ваших вопросов и каждая оказалась реальной ошибкой, а не калибровкой: односторонний симбиоз, отсутствующий листопад,. . .
32 сукцессия anaschu 19.07.2026 сукцессия 28‑мерное ядро стабилизировано Коллеги, фиксирую разбор инженерных правок и их изоморфную проекцию на экономику, меметику и половой отбор. Модель теперь не «подкручивает» сходимость —. . .	сукцессия 31: модель микоризы - это модель ещё нескольких явлений, социальных и экономических anaschu 18.07.2026 Теория «Всего»: апдейт v1. 1. 2 — 28‑мерное ядро стабилизировано Коллеги, фиксирую разбор инженерных правок и их изоморфную проекцию на экономику, меметику и половой отбор. Модель теперь не. . .	сукцессия 30. Массив проверяющих друг друга моделей anaschu 18.07.2026 Архитектура сети взаимопроверяющих моделей микоризной сукцессии (v2. 0) Развитие тензорного ОДУ-ядра и создание кросс-платформенного калибровочного полигона Уважаемые коллеги! В продолжение. . .	Грибы - это женщины, деревья - это мужчины. Анти инь янь для союза мужчины и женщины. anaschu 18.07.2026 ГЛАВНЫЙ НАУЧНО-ФИЛОСОФСКИЙ ВЫВОД: Сексуально-Репродуктивный Капитализм против Государства Моногамии Коллеги, мы вышли на финишную прямую 20-мерного ОДУ-моделирования вековой сукцессии (ветка. . .

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	07.07.2022, 11:09 [ТС]
	Я так понимаю это защитник химичит, что мне сделать?) 0

@Sandor 22540 / 15976 / 3100 Регистрация: 08.10.2012 Сообщений: 65,092
	07.07.2022, 11:14
	Некоторое время подождите, ответит Dragokas 0

Dragokas 18035 / 7738 / 892 Регистрация: 25.12.2011 Сообщений: 11,502 Записей в блоге: 16
	07.07.2022, 12:38
	- Запустите remove-snake.reg и подтвердите слияние кнопкой "Да". - Правой кнопкой мыши нажмите на "sysmon_installer.cmd" и выберите "Запуск от имени Администратора". - Запустите setup-snake.reg и подтвердите слияние кнопкой "Да" Дальше продолжите выполнять инструкцию с пункта 4. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	07.07.2022, 13:15 [ТС]
	Вот все логи https://disk.yandex.ru/d/CGG87m0mcruHsA 0

Dragokas 18035 / 7738 / 892 Регистрация: 25.12.2011 Сообщений: 11,502 Записей в блоге: 16
	07.07.2022, 14:59
	А Windows Defender в этот раз точно НЕ сработал (до того, как вы его снова включили) ? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	07.07.2022, 15:12 [ТС]
	Я подождал около 5 минут, потом сам включил. Защитник обычно срабатывает почти сразу. Например, я включу компьютер в 15.05, он мне в 15.07 пришлет, что в 15.05 была обнаружена угроза Добавлено через 1 минуту Ну и соответственно мне при включении ничего не писало, и защитник было написано, что отключен администратором 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	08.07.2022, 15:41 [ТС]
	https://disk.yandex.ru/d/QHazRpgCJ2NfBQ Вот файлы. Сделал и как SQx сказал, и как Dragokas. Во всех случаях защитник сработал 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	08.07.2022, 23:27 [ТС]
	Докладываю наблюдения. Угроза никуда не делась, запускается и без интернета. Ещё вспомнил, как раз числа 15-16 скачивал с помощью downloadhelper фильм. Его удалил сразу как посмотрел. Но я в принципе уже давно им пользуюсь, проблем не было. Может, это как то поможет 0

@thyrex 14456 / 7495 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	09.07.2022, 02:58
	Отключите ВСЕ установленные расширения во ВСКХ браузерах и проверьте, будет ли срабатывать Защитник 1

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	09.07.2022, 09:39 [ТС]
	Да, срабатывает. Программу net.downloadhelper.coapp, связанную с downloadHelper я не удалял, как выше сказали. Её удалять? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	09.07.2022, 16:30
	Здравствуйте, Предоставьте пожалуйста новый лог утилиты FRST в режиме восстановления (Recovery Environment). Важно, если вы используете Bitlocker, убедитесь, что у Вас имеется ключ восстановления (Bitlocker recovery key), так как он может потребоваться. Также понадобиться флэшка на которую необходимо закачать утилиты FRST (FRST64 для версии x64). Загрузитесь в среде восстановления Чтобы войти в среду восстановления с Windows 10/11, следуйте инструкциям (на английском языке) TenForums В параметрах загрузки выберите Troubleshooting > Advanced Options > Command prompt. Как только получили доступ к командной строке Подключите USB-накопитель к зараженному компьютеру В командной строке введите notepad и нажмите Enter Notepad (Блокнот) откроется. Нажмите на меню Файл и выберите Открыть. Нажмите Компьютер/Этот компьютер, найдите букву своего USB-накопителя, затем закройте окно Notepad(Блокнот) В командной строке введите e:\frst.exe (для версии x64 введите e:\frst64.exe и нажмите Enter Примечание. Замените букву e на букву вашего USB-накопителя FRST откроется Нажмите Да, чтобы принять заявление об отказе от ответственности Сначала нажмите кнопку Scan (сканирования). Это деактивирует руткит (если он имеется). После ожидайте пока не создаться лог FRST.txt на флэш-накопителе. Скопируйте и вставьте журнал FRST.txt в свой ответ. Результат автоматического удаления также указан в файле FRST.txt под секцией service. После завершения работы в среде восстановления перезагрузите компьютер в обычном режиме. 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	09.07.2022, 15:26
	Здравствуйте, Если проблема не в ней, то можете переименовать ее в исходное название. Если она вам не нужна то удаляйте. Скажите пожалуйста если пробовали проверить если проблема возникает в режиме чистой загрузке? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	09.07.2022, 16:14 [ТС]
	Да, угроза появляется и при чистой загрузке 0

@thyrex 14456 / 7495 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	09.07.2022, 23:54
	1. Система лицензионная или нет (или так: активатор родной или нет)? 2. Обновления для системы в июне случайно не ставили перед появлением проблемы? Вы писали, что удаленно подключались к другой машине? С помощью AmmyAdmin? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	09.07.2022, 23:57 [ТС]
	1. Честно, лицензия, но активатор не родной 2. По истории обновлений, в июне были только 17 числа. Вот эти 2 https://support.microsoft.com/... b6f1d9ea11 https://support.microsoft.com/... ca9b76a5b7 3.Да, AmmyAdmin 0

@thyrex 14456 / 7495 / 1583 Регистрация: 06.09.2009 Сообщений: 27,143
	10.07.2022, 00:03
	АmmyAdmin не активировали? Или тоже левый активатор какой-нибудь? Добавлено через 58 секунд Сейчас эта программа установлена или удалена? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:04 [ТС]
	Его вообще не активировал, демо версией (или как она там называется) пользовался. Если вдруг это важно, никаких файлов, ничего не переносил, было подключение на пару минут и всё Добавлено через 36 секунд Сейчас удалена 0