Malware Η Trojan

[Montezuma]

Καλησπερα σας, πριν απο 4 μερες ανοιξα ενα αρχειο Εξελ που μου ειχε στειλει καποιος πελατης μου και ξαφνικα το Ασφαλεια των Windows τρελλαθηκε και αρχισε να χτυπαει συνεχεια γι Malware
( C:\Windows\winversxs\smss.exe)( Generic.Malware/Suspicious, C:\WINDOWS\WININNIT\SMSS.EXE, Quarantined, 0, 392686, , , , , 7105D05671F283F2689FC9D1B6FD0401, 39F61DC13600D067BCBC9E0FCB3D2C3965C08CE119F509FA43B376927E27BCC3
Generic.Malware/Suspicious, C:\WINDOWS\WINREM\SMSS.EXE, Quarantined, 0, 392686, , , , , 2C64077D94C9025DA907989172FAB3B7, 7C5F439BF04F1812E2AF1DC218E0D8CA407AA25D9712654DA606B0DE21F8B455
Generic.Malware/Suspicious, C:\WINDOWS\DLLHOST\SMSS.EXE, Quarantined, 0, 392686, , , , , AA5C0B1D6A5B60A7E80949C7ECE68C48, 70677BDAE3FDC7F44B5B22C3FB38FF435CCF53A07C42E7FB61C6492C383EFFB7
Malware.AI.4181761072, C:\WINDOWS\TASKHOST\SMSS.EXE, Quarantined, 1000000, 0, , , , , 62076FB08502A3E0DFD1C8E53E74DD56, 2998388D74F9E1D6EEC0336BEA52E2350F4AF55931A29B8D9C899140109F7125
Malware.AI.3815493952, C:\WINDOWS\WINBIOSYSTEM\ROMSERVER.EXE, Quarantined)

(C:\WINDOWS\WINBIOSYSTEM\ROMSERVER.EXE)
To αποτελεσμα.... ΜΟΥ ΕΣΒΗΣΕ ΟΛΑ ΤΑ ΑΡΧΕΙΑ, ΜΑ ΟΛΑ , ΑΚΟΜΑ ΚΑΙ ΑΠΟ ΕΝΑ ΣΚΛΗΡΟ ΕΞΩΤΕΡΙΚΟ ΔΙΣΚΟ.....
Εκανα φορματ, ανοιξα τα Windows Και το MalwareBytes χτυπισε ξανα τα ιδια, απλα τα εσβησε και δεν εγινε ζημια,,
Ετρεξα το Kaspersky Online scaner , Esset, Trendy Κτλ και ολα μα ολα βρηκανε απο κατι, ΤΑ ΕΣΒΗΣΑ ΟΛΑ ΟΣΑ ΒΡΗΚΑΝ ....
Αλλα νομιζω οτι ακομα εχουν μεινει καποια υπολοιματα

Επεξ/σία 2 Μαΐου 2021 από Montezuma

[micos000]

Αυτό το excel το περίμενες ή απλά σου ήρθε και το άνοιξες; Με τον πελάτη επικοινώνησες; Να καθαρίσει και αυτός γιατί θα μάλλον θα στέλνει αυτόματα το μολυσμένο email σε όλες τις επαφές του.

Όσο για το σβήσιμο, είσαι σίγουρος ότι σβήστηκαν; Έκανες ιδιότητες στον εξωτερικό π.χ. να δεις αν δείχνει ότι έχει κατελημμένο χώρο; Μήπως είναι κρυφά ή έχουν οριστεί σαν αρχεία συστήματος και απλά δεν τα βλέπεις;

 

Επεξ/σία 2 Μαΐου 2021 από micos000

[neo80]

Καλησπέρα και Χριστός Ανέστη.

Μπες σε safe mode.

Κατέβασε το rkill.
Κάνε δεξί κλίκ πάνω του και τρέξτο σαν διαχειριστής.

μετά την εκτέλεση του rkill θα σου εμφανίσει ένα text αρχείο δώσε το περιεχόμενο του.

εδώ μέσα.

Μετά τρέξε ξανά τα Αντιικά που ξέρεις malwarebytes,tdsskiller,kasperksy,eset.

Ποιο antivirus έχεις εγκατεστημένο;

Επεξ/σία 2 Μαΐου 2021 από neo80

[Montezuma]

58 λεπτά πριν, micos000 είπε

Αυτό το excel το περίμενες ή απλά σου ήρθε και το άνοιξες; Με τον πελάτη επικοινώνησες; Να καθαρίσει και αυτός γιατί θα μάλλον θα στέλνει αυτόματα το μολυσμένο email σε όλες τις επαφές του.

Όσο για το σβήσιμο, είσαι σίγουρος ότι σβήστηκαν; Έκανες ιδιότητες στον εξωτερικό π.χ. να δεις αν δείχνει ότι έχει κατελημμένο χώρο; Μήπως είναι κρυφά ή έχουν οριστεί σαν αρχεία συστήματος και απλά δεν τα βλέπεις;

 

Ναι το εμαιλ το περιμενα. Οχι δεν επικοινωνησα ακομα, απο εβδομαδα μαλλον θα μιλησω μαζι του.
Ναι ειμαι σιγουρος οτι τα εσβησε ολα ,διοτι ο δισκος μου εδειχνε αδειος, και ο SSD και ο HDD (Εξωτερικος).

[micos000]

Οπότε πας με τους δίσκους σε ένα καθαρό σύστημα και ξεκινάς έλεγχο για ανάκτηση.

[Montezuma]

5 ώρες πριν, neo80 είπε

Καλησπέρα και Χριστός Ανέστη.

Μπες σε safe mode.

Κατέβασε το rkill.
Κάνε δεξί κλίκ πάνω του και τρέξτο σαν διαχειριστής.

μετά την εκτέλεση του rkill θα σου εμφανίσει ένα text αρχείο δώσε το περιεχόμενο του.

εδώ μέσα.

Μετά τρέξε ξανά τα Αντιικά που ξέρεις malwarebytes,tdsskiller,kasperksy,eset.

Ποιο antivirus έχεις εγκατεστημένο;

Τωρα ,νομιζω δεν εχει πια νοημα, διοτι εκανα FORMAT και ενγκατεστησα ξανα τα windows απο την αρχη....

Ξαφνικά το Malwarebytes μου έβγαλε ξανά τα ίδια, ακριβώς οπως τα έχω αναρτήσει. 

Έκανα καθαρή εγκατάσταση,  πώς γίνετε αυτό???

Για antivirus έχω αυτό των Windows.

 

Επεξ/σία 3 Μαΐου 2021 από Montezuma

[Montezuma]

4 ώρες πριν, micos000 είπε

Οπότε πας με τους δίσκους σε ένα καθαρό σύστημα και ξεκινάς έλεγχο για ανάκτηση.

Δύσκολο να γίνει ανάκτηση,  διότι ο δίσκος του υπολογιστή είναι SSD.

Από τον άλλον θα κάνω με το  Recuva h to Stellar.

Ξαφνικά το Malwarebytes μου έβγαλε ξανά τα ίδια, ακριβώς οπως τα έχω αναρτήσει. 

Έκανα καθαρή εγκατάσταση,  πώς γίνετε αυτό???

Επεξ/σία 3 Μαΐου 2021 από Montezuma

[micos000]

Βάζεις κανένα activator ή όχι; Αυτό το C:\WINDOWS\WINBIOSYSTEM\ROMSERVER.EXE τι είναι και σου μπαίνει συνέχεια; Τα 10άρια τα έχεις κατεβάσει από την microsoft ή όχι;

[neo80]

9 ώρες πριν, Montezuma είπε

Δύσκολο να γίνει ανάκτηση,  διότι ο δίσκος του υπολογιστή είναι SSD.

Από τον άλλον θα κάνω με το  Recuva h to Stellar.

Ξαφνικά το Malwarebytes μου έβγαλε ξανά τα ίδια, ακριβώς οπως τα έχω αναρτήσει. 

Έκανα καθαρή εγκατάσταση,  πώς γίνετε αυτό???

Για δώσε screenshot απο partitions του υπολογιστή που κάνεις την εγκατάσταση. Υποψιάζομαι ότι το Δεσμευμένο partition απο το σύστημα έχει κολλήσει rootkit.

η υπάρχει hidden partition άλλη λογική εξήγηση δεν μπορώ να δώσω.

[Montezuma]

1 ώρα πριν, neo80 είπε

Για δώσε screenshot απο partitions του υπολογιστή που κάνεις την εγκατάσταση. Υποψιάζομαι ότι το Δεσμευμένο partition απο το σύστημα έχει κολλήσει rootkit.

η υπάρχει hidden partition άλλη λογική εξήγηση δεν μπορώ να δώσω.

Όταν πήγα να κάνω εγκατάσταση τα windows , πρόσεξα ότι ο δίσκος μου είχε 4 partitions , προσπάθησα να τα διαγράψω για να έχω μόνο 1 διαμέρισμα αλλά δεν γινόταν.

Κατάφερα να διαγράψω μόνο 1 διαμέρισμα από τα 4 .

Μπήκα και μέσο cmd, αλλά ούτε από κει κατάφερα να τα διαγράψω. 

Το ένα διαμέρισμα είχε 150 μβ, το άλλο είχε 16 μβ. Και ένα άλλο που έλεγε system, δεν θυμάμαι πόσο mb ήταν.

Σε λίγο θα μπω στο pc και θα στειλω screenshot , διοτι ακόμα και σήμερα, ο δισκος έχει 3 διαμερίσματα.

[hp8]

33 λεπτά πριν, Montezuma είπε

Κατάφερα να διαγράψω μόνο 1 διαμέρισμα από τα 4 .

Μπήκα και μέσο cmd, αλλά ούτε από κει κατάφερα να τα διαγράψω. 

ένας εύκολος τρόπος για να διαγράψεις  το δίσκο χωρίς προγράμματα κλπ είναι αυτός  Κατέβασε ένα linux και ακολούθησε τον οδηγό Ασε μόνο τον δίσκο που σε ενδιαφέρει για περισσότερη ασφάλεια μην κάνεις κάνα λάθος 

[Montezuma]

11 ώρες πριν, micos000 είπε

Βάζεις κανένα activator ή όχι; Αυτό το C:\WINDOWS\WINBIOSYSTEM\ROMSERVER.EXE τι είναι και σου μπαίνει συνέχεια; Τα 10άρια τα έχεις κατεβάσει από την microsoft ή όχι;

Όχι δεν έχω κανένα Activator τα windows είναι κατεβασμένα από την Microsoft και είναι ενεργοποιημένα με αγορασμένο Serial

Μολις είδα τωρα ότι ο δίσκος μου έχει πάλι 4 διαμερισματα... ενώ είχα διαγράψει το ένα.

πως γίνετε αυτό???

 

Και ενα Screenshoot απο τον Δισκο//
 

[neo80]

Εγώ θα πρότεινα να κάνεις Διαμόρφωση τόμου σε όλα τα partition και ξανά εγκατάσταση τα windows.

Όσο για αυτό το partition 16MB δεν είναι καταχωρημένο στο σύστημα και είναι λιγάκι ύποπτο και θα πρέπει να γίνει Επέκταση τόμου και να το κάνεις Διαμόρφωση τόμου.

 

Επεξ/σία 3 Μαΐου 2021 από neo80

[Montezuma]

1 ώρα πριν, neo80 είπε

Εγώ θα πρότεινα να κάνεις Διαμόρφωση τόμου σε όλα τα partition και ξανά εγκατάσταση τα windows.

Όσο για αυτό το partition 16MB δεν είναι καταχωρημένο στο σύστημα και είναι λιγάκι ύποπτο και θα πρέπει να γίνει Επέκταση τόμου και να το κάνεις Διαμόρφωση τόμου.

 

Αυτό το 16 MB δεν μπορεσα να το διαγράψω με κανέναν τρόπο, όπως και το άλλο τον 100 MB.

Ενώ αυτό τον 507 MB το διέγραψα μια φορά, έκανα επέκταση τόμου, αλλά ξαναεμφανιστικε από το πουθενά...

Διαμόρφωση τόμου έκανα αλλά δεν γίνετε,  δεν μπορεί να γίνει  μου ελεγε. (Δεν το έβγαζε σαν επιλογή)

Δεν ξέρω τι συμβαίνει..

Επεξ/σία 3 Μαΐου 2021 από Montezuma

[nickol-us]

Ούτε κατά την εγκατάσταση των windows δεν μπορούσες να διαγράψεις όλα τα διαμερίσματα σε ακαταχώρητο και να κάνεις δημιουργία partition; Μετά μόνο από κάνα Hirens boot;