На файловом сервере, на шарах папки перемещаютсяв скрытую папку

[EvgenijSH]

На файловом сервере файлы перемещаются в скрытую папку с именем "_", такое происходит в не на всем серваке, а только в расшаренных папках. Там появился вот такой вот ярлык "%windir%\system32\cmd.exe /c start _ & _\DeviceManager.exe & exit". Dr.Web CureIt и Kaspersky Virus Removal Tool ничего не находит.

В системном администрировании разбираюсь слабо, т.к. опыта работы практически нет - молодой специалист. Прошу о помощи.

Сделал лог AVZ и проверку MBAM

Вложения

CollectionLog-2018.12.06-11.07.zip

(47.59 КБ) 0 скачиваний

CollectionLog-2018.12.06-11.07.zip

(47.59 КБ) 0 скачиваний

[Sandor]

Здравствуйте!

Почему игнорируете сообщения Автологера?

Логи сделаны в терминальной сессии, сделайте их из консоли.

[EvgenijSH]

+

Определитесь, где будете продолжать лечение - здесь или на virusinfo?

Одновременное лечение может вам же повредить, а консультанта запутать.

[Sandor]

+

Определитесь, где будете продолжать лечение - здесь или на virusinfo?

Одновременное лечение может вам же повредить, а консультанта запутать.

[EvgenijSH]

Здравствуйте. Спасибо за ответ, я просто в этом деле не оч. опытный.

Вложения

Вложение CollectionLog-2018.12.06-17.21.zip больше недоступно

[EvgenijSH]

Цитата Sandor:



где будете продолжать лечение

На файловом сервере, на шарах папки перемещаютсяв скрытую папку

Надо понимать - здесь? Если да, там закроем тему.



На этот раз логи собраны устаревшей версией Автологера. Будьте внимательны, это как раз результат одновременного обращения на разные ресурсы.



Дополнительно:

Скачайте

Farbar Recovery Scan Tool

(или с

зеркала

) и сохраните на Рабочем столе.



Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.



Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в

этом руководстве

.

[Sandor]

На шарах нашел файл "DeviceManager.exe", MBAM его кидает в карантин, но ничего не меняется. Если этот файл переименовать/удалить, появляется новый.

Отключил часть пк от сети и теперь после переименования файла новый не появляется - я так понимаю нужно копаться в отключенных компах?




Цитата Sandor:



Надо понимать - здесь? Если да, там закроем тему.

На файловом сервере, на шарах папки перемещаютсяв скрытую папку

Да, здесь.

[EvgenijSH]

Цитата EvgenijSH:



На шарах нашел файл

На файловом сервере, на шарах папки перемещаютсяв скрытую папку

На время лечения закройте их или смените на них пароль. Не исключено, что источник - другой компьютер, имеющий доступ в шару.

[Sandor]

+ В течении дня приносили флешку, на которой такая же ситуация (файлы перемещены в скрытую папку "_", есть ярлык "%windir%\system32\cmd.exe /c start _ & _\DeviceManager.exe & exit"). Флешку проверил "касперским фри", тот удалил там "DeviceManager.exe"

06.12.2018 12.01.35;Обнаруженный объект (файл) удален;G:\_\DeviceManager.exe;G:\_\DeviceManager.exe;HEUR:Trojan.Win32.Generic;Троянская программа;12/06/2018 12:01:35

[EvgenijSH]

Цитата Sandor:



Скачайте Farbar Recovery Scan Tool

На файловом сервере, на шарах папки перемещаютсяв скрытую папку

Эти логи сделайте все же.




Цитата EvgenijSH:



приносили флешку, на которой такая же ситуация

На файловом сервере, на шарах папки перемещаютсяв скрытую папку

Попробуйте выяснить, где она была до того, как принесли.

Если найдете проблемный компьютер и нужна будет помощь, создайте для него отдельную тему.