Какая-то гадость добавляет папки в исключения защитника Windows

@BugMcGluck · Регистрация: 03.02.2025

Студворк — интернет-сервис помощи студентам

С недавних пор Защитник Windows начал ругаться на некую дрянь под названием BrowserModifier:Win32/Neobar. По факту он пишет, через реестр в настройки исключений добавлены папки:
C:\Program Files (x86)\Torrent Search
C:\ProgramData\Torrent_Search_PED
C:\Users\UpdatusUser\AppData\LocalLow\TS earch
C:\Users\UpdatusUser\AppData\Local\Temp
C:\Windows\Temp
и т.п. для каждого пользователя. Всего 9 папок.
Защитник их удаляет, но папки в исключениях вскоре снова появляются.
Я настроил аудит на ветку реестра, где лежат эти исключения \HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Mi crosoft\Windows Defender\Exclusions\Paths
И вот в системных событиях появились записи об изменениях в реестре.

Кликните здесь для просмотра всего текста

XML
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" /> 
  <EventID>4657</EventID> 
  <Version>0</Version> 
  <Level>0</Level> 
  <Task>12801</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8020000000000000</Keywords> 
  <TimeCreated SystemTime="2025-02-03T14:19:03.7984842Z" /> 
  <EventRecordID>3551645</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="4" ThreadID="27080" /> 
  <Channel>Security</Channel> 
  <Computer>ROUTER</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data Name="SubjectUserSid">S-1-5-18</Data> 
  <Data Name="SubjectUserName">ROUTER$</Data> 
  <Data Name="SubjectDomainName">WORKGROUP</Data> 
  <Data Name="SubjectLogonId">0x3e7</Data> 
  <Data Name="ObjectName">\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths</Data> 
  <Data Name="ObjectValueName">C:\Users\UpdatusUser\AppData\Local\Temp</Data> 
  <Data Name="HandleId">0x3ec</Data> 
  <Data Name="OperationType">%%1904</Data> 
  <Data Name="OldValueType">-</Data> 
  <Data Name="OldValue">-</Data> 
  <Data Name="NewValueType">%%1873</Data> 
  <Data Name="NewValue">0</Data> 
  <Data Name="ProcessId">0x5ce8</Data> 
  <Data Name="ProcessName">C:\Windows\System32\svchost.exe</Data> 
  </EventData>
  </Event>

Но как изловить этот процесс, который внёс изменения?
ProcessID="4" - это System, а по ThreadID="27080" ни диспетчер задач, ни Process Explorer ничего не находит.

P.S. полный скан Защитником ничего не нашёл. CureIt также ничего не нашёл.

@BugMcGluck · 06.02.2025, 16:07 **[ТС]**

прикладываю

@BugMcGluck · 06.02.2025, 18:37 **[ТС]**

прикладываю

@severnyj · 06.02.2025, 21:26

В какой момент происходит срабатывание Защитника?

@BugMcGluck · 07.02.2025, 00:32 **[ТС]**

В любой. И вскоре после загрузки, и в течении дня. Вот например по логам аудита за 06.02
8:48 созданы записи в реестре C:\Windows\System32\svchost.exe
10:43 удалены записи из реестра
и в ту же секунду снова созданы записи в реестре C:\Windows\System32\svchost.exe
10:47 удалены записи из реестра C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.24090.11-0\MsMpEng.exe
10:54 созданы записи в реестре C:\Windows\System32\svchost.exe
13:41 удалены записи из реестра C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.24090.11-0\MsMpEng.exe
Какой-то закономерности не наблюдаю

Добавлено через 2 минуты
Кстати, после того как я поправил групповую политику по поводу исключений защитника, в логах больше записей нет. Буду наблюдать.

@BugMcGluck · 07.02.2025, 18:21 **[ТС]**

За сегодняшний день ни уведомлений Защитника, ни событий безопасности про запись в реестр не появлялось.

@severnyj · 07.02.2025, 18:25

Ок, значит были прописаны в политиках.

@BugMcGluck · 10.02.2025, 12:50 **[ТС]**

Спасибо за помощь!

@severnyj · 11.02.2025, 16:44

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

Подготовьте лог SecurityCheck by glax24:
Скачайте архив, распакуйте в любую папку и запустите.
Дождитесь окончания сканирования, прикрепите лог C:\SecurityCheck\SecurityCheck.txt к своему следующему сообщению.

@BugMcGluck · 20.02.2025, 20:27 **[ТС]**

прикладываю

@severnyj · 20.02.2025, 21:52

Следующие программы не поддерживаются, если не используете - деинсталлируйте:

Microsoft SQL Server 2012
Microsoft Silverlight
Microsoft Office Visio 2010
Microsoft SQL Server 2008
QuickTime 7

Обновите:

Git version 2.21.0 v.2.21.0 Внимание! Скачать обновления
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14430.20306 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
calibre 64bit v.7.13.0 Внимание! Скачать обновления
Приложение NVIDIA 11.0.1.189 v.11.0.1.189 Внимание! Скачать обновления
Microsoft .NET Framework 4.6.1 v.4.6.01055 Внимание! Скачать обновления
GitHub Desktop v.3.4.13 Внимание! Скачать обновления
AnyDesk v.ad 7.0.15 Внимание! Скачать обновления
Notepad++ (32-bit x86) v.8.4.8 Внимание! Скачать обновления
TeamViewer v.15.36.9 Внимание! Скачать обновления
TeamViewer 15.10.5.0 v.15.10.5.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
TechPowerUp GPU-Z v.2.43.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
Total Commander (Remove or Repair) v.8.0 beta 22 Внимание! Скачать обновления
FastStone Image Viewer 7.5 v.7.5 Внимание! Скачать обновления
Cisco Webex Meetings v.41.10.5 Внимание! Скачать обновления
Discord v.0.0.306 Внимание! Скачать обновления
Microsoft Teams v.1.6.00.1381 Внимание! Скачать обновления
Zoom v.5.17.2 (29988) Внимание! Скачать обновления
SoftEther VPN Client v.4.34.9745 Внимание! Скачать обновления
OpenVPN 2.6.12-I001 amd64 v.2.6.1201 Внимание! Скачать обновления
Java 8 Update 161 (64-bit) v.8.0.1610.12 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^
Java 8 Update 45 (64-bit) v.8.0.450 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^
Java SE Development Kit 8 Update 5 (64-bit) v.8.0.50 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE Development Kit (jdk-23_windows-x64_bin.exe).
Java 8 Update 161 v.8.0.1610.12 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-i586.exe - Windows Offline)^
Java 8 Update 45 v.8.0.450 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-i586.exe - Windows Offline)^
VLC media player 2.1.3 v.2.1.3 Внимание! Скачать обновления
Установка DivX v.2.8.0.18 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
HandBrake 1.5.1 v.1.5.1 Внимание! Скачать обновления
K-Lite Mega Codec Pack 18.3.0 v.18.3.0 Внимание! Скачать обновления

Советую денсталлировать:

CCleaner v.6.32 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
Bonjour v.3.0.0.10 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
UmmyVideoDownloader v.1.8.1.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
Skype Web Plugin v.7.32.6.278 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

+++

Рекомендации после удаления вредоносного ПО

Новые блоги и статьи Все статьи Все блоги /
мат медиц модель 30. презентация проекта anaschu 27.08.2026 хоп хоп хоп хидахоп, а я кладую))	Как у меня протекала болезнь zorxor 27.08.2026 Здравствуйте, друзья! Эта запись блога предназначена именно для вас - для моих дорогих друзей, которые знали меня лично. Чтобы ответить на вопрос - а что же со мной произошло на самом деле? Я учился. . .	Нашел вот забавное видео о измерениях. Лучшее что я видел на эту тему kumehtar 26.08.2026 ILETXiw9bMQ Основная суть и тезисы по измерениям: 0D (Нулевое измерение): точка, не имеющая длины, ширины, высоты или объема. Объект не может перемещаться в 0D. 1D (Первое измерение):. . .	[EasyBuilder Pro] Памятка по разработке для панелей Weintek ФедосеевПавел 26.08.2026 Памятка по разработке для панелей Weintek ВВЕДЕНИЕ Ранее, при реализации проектов основное внимание уделял разработке управляющей программы для контроллера, а панели оператора доставалось время. . .
Модель по догадкам anaschu 25.08.2026 Прошло две недели. Я уже рассказывал, как разговаривал с сотрудниками у сортировки и как понял, что главная ветка — не про приёмку, а про отбор. Но тогда я думал, что понял механику. На этой неделе я. . .	Запись в регистр сведений независимо от заполненности табличной части Maks 25.08.2026 Реализация из решения ниже выполнена на нетиповом документе с несколькими табличными частями, разработанного в КА2. Задача: Обеспечить запись документа в регистр сведений независимо от. . .	Ноутбук Альфария kumehtar 24.08.2026 Встретился тут в сети ноутбук Альфария, примарха Альфа-Легиона. Хотя возможно, это ноутбук Омегона, разумеется. Ну как вам?	Мастера простых решений DevAlt 23.08.2026 В сишарп стэках winforms, да и wpf существует сложная система связывания источниках данных и элементов формы(текстовые поля и метки), опирается все это на технологию событий и мета. . .

@severnyj 6555 / 3015 / 614 Регистрация: 04.04.2012 Сообщений: 10,910
	06.02.2025, 21:26
	В какой момент происходит срабатывание Защитника? 0

@BugMcGluck 0 / 0 / 0 Регистрация: 03.02.2025 Сообщений: 16
	07.02.2025, 00:32 [ТС]
	В любой. И вскоре после загрузки, и в течении дня. Вот например по логам аудита за 06.02 8:48 созданы записи в реестре C:\Windows\System32\svchost.exe 10:43 удалены записи из реестра и в ту же секунду снова созданы записи в реестре C:\Windows\System32\svchost.exe 10:47 удалены записи из реестра C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.24090.11-0\MsMpEng.exe 10:54 созданы записи в реестре C:\Windows\System32\svchost.exe 13:41 удалены записи из реестра C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.24090.11-0\MsMpEng.exe Какой-то закономерности не наблюдаю Добавлено через 2 минуты Кстати, после того как я поправил групповую политику по поводу исключений защитника, в логах больше записей нет. Буду наблюдать. 0

@BugMcGluck 0 / 0 / 0 Регистрация: 03.02.2025 Сообщений: 16
	07.02.2025, 18:21 [ТС]
	За сегодняшний день ни уведомлений Защитника, ни событий безопасности про запись в реестр не появлялось. 0

@severnyj 6555 / 3015 / 614 Регистрация: 04.04.2012 Сообщений: 10,910
	07.02.2025, 18:25
	Ок, значит были прописаны в политиках. 0

@BugMcGluck 0 / 0 / 0 Регистрация: 03.02.2025 Сообщений: 16
	10.02.2025, 12:50 [ТС]
	Спасибо за помощь! 0

@severnyj 6555 / 3015 / 614 Регистрация: 04.04.2012 Сообщений: 10,910
	11.02.2025, 16:44
	Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите. Компьютер будет перезагружен автоматически. Подготовьте лог SecurityCheck by glax24: Скачайте архив, распакуйте в любую папку и запустите. Дождитесь окончания сканирования, прикрепите лог C:\SecurityCheck\SecurityCheck.txt к своему следующему сообщению. 0

@severnyj 6555 / 3015 / 614 Регистрация: 04.04.2012 Сообщений: 10,910
	20.02.2025, 21:52
	Следующие программы не поддерживаются, если не используете - деинсталлируйте: Microsoft SQL Server 2012 Microsoft Silverlight Microsoft Office Visio 2010 Microsoft SQL Server 2008 QuickTime 7 Обновите: Git version 2.21.0 v.2.21.0 Внимание! Скачать обновления Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14430.20306 Внимание! Скачать обновления ^Инструкция по обновлению Microsoft Office.^ calibre 64bit v.7.13.0 Внимание! Скачать обновления Приложение NVIDIA 11.0.1.189 v.11.0.1.189 Внимание! Скачать обновления Microsoft .NET Framework 4.6.1 v.4.6.01055 Внимание! Скачать обновления GitHub Desktop v.3.4.13 Внимание! Скачать обновления AnyDesk v.ad 7.0.15 Внимание! Скачать обновления Notepad++ (32-bit x86) v.8.4.8 Внимание! Скачать обновления TeamViewer v.15.36.9 Внимание! Скачать обновления TeamViewer 15.10.5.0 v.15.10.5.0 Внимание! Скачать обновления Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления TechPowerUp GPU-Z v.2.43.0 Внимание! Скачать обновления Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления Total Commander (Remove or Repair) v.8.0 beta 22 Внимание! Скачать обновления FastStone Image Viewer 7.5 v.7.5 Внимание! Скачать обновления Cisco Webex Meetings v.41.10.5 Внимание! Скачать обновления Discord v.0.0.306 Внимание! Скачать обновления Microsoft Teams v.1.6.00.1381 Внимание! Скачать обновления Zoom v.5.17.2 (29988) Внимание! Скачать обновления SoftEther VPN Client v.4.34.9745 Внимание! Скачать обновления OpenVPN 2.6.12-I001 amd64 v.2.6.1201 Внимание! Скачать обновления Java 8 Update 161 (64-bit) v.8.0.1610.12 Внимание! Скачать обновления ^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^ Java 8 Update 45 (64-bit) v.8.0.450 Внимание! Скачать обновления ^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^ Java SE Development Kit 8 Update 5 (64-bit) v.8.0.50 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE Development Kit (jdk-23_windows-x64_bin.exe). Java 8 Update 161 v.8.0.1610.12 Внимание! Скачать обновления ^Удалите старую версию и установите новую (jre-8u441-windows-i586.exe - Windows Offline)^ Java 8 Update 45 v.8.0.450 Внимание! Скачать обновления ^Удалите старую версию и установите новую (jre-8u441-windows-i586.exe - Windows Offline)^ VLC media player 2.1.3 v.2.1.3 Внимание! Скачать обновления Установка DivX v.2.8.0.18 Внимание! Скачать обновления ^Удалите старую версию, скачайте и установите новую.^ HandBrake 1.5.1 v.1.5.1 Внимание! Скачать обновления K-Lite Mega Codec Pack 18.3.0 v.18.3.0 Внимание! Скачать обновления Советую денсталлировать: CCleaner v.6.32 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы. Bonjour v.3.0.0.10 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии. UmmyVideoDownloader v.1.8.1.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!! Skype Web Plugin v.7.32.6.278 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности. +++ Рекомендации после удаления вредоносного ПО 0