Засел trojan.tofsee

[krysler77]

Засел trojan.tofsee

Возникла такая проблема. Засел trojan.tofsee в оперативной памяти. Как заметил, при перезагрузке компа не все программы запустились( короче не сработал конкретно авто запуск) и тормозить стал. Решил проверить утилитой Drweb Curelt: нашел в оперативной памяти файл raptr.exe:2164 он его автоматически сам удалил. Спустя какое то время перегрузил комп загрузился нормально, но при проверке на вирусы опять нашел и удалил. Вроде думал решил проблему убрав программу из авто запуска к которой относился этот файл. Перегрузился проверил ни чего нет. Удалил от греха подальше. Это было на Windows 10. Решил откатиться на W8 начал устанавливать дрова для видеокарты AMD, но без установки этой проги ( Максимальная удовольствия. Нулевым усилием.
Raptr делает игровой ПК быстро, красиво, и без проблем.) последняя версия драйвера не устанавливалась. Поставил эту программу обратно, драйвер встал и с этой прогой опять появился вирус. Буду рад хоть какому нибудь совету. Да раньше с этой программой проблем не было.

 

[safety]

добавьте образ автозапуска системы, можно из безопасного режима системы.

версию программы скачайте отсюда
как создать образ автоазпуска:
Как создать образ автозапуска в uVS. Краткая инструкция

 

[krysler77]

Правда не знаю он может именно это не найти ведь я саму программу снес, но это мое предположение.

 

[safety]

образ переделайте актуальной верией uVS. 3.86.4
https://content.wuala.com/contents/al_1963/avirus/Universal%20Virus%20Sniffer/files/uvs_latest.zip/?dl=1
образ лучше сделать из безопасного режима системы.

пример варианта Tofsee

C:\USERS\НАСТЯ\WARVXEIS.EXE
HKEY_USERS\S-1-5-21-3125051414-3064364983-2944098670-1000\Software\Microsoft\Windows\CurrentVersion\Run\MSConfig
"C:\Users\Настя\warvxeis.exe"

 

[krysler77]

Вот файл сделал с новой прогой как сказали.

 

[safety]

признаков tofsee нет в образе.

по очистке системы можно выполнить это.

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

;uVS v3.86.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
OFFSGNSAVE
delref %SystemDrive%\USERS\URMAN78\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\AONEDLCHKBICMHEPIMIAHFALHEEDJGBH\3.7.20_0\SUPERMEGABEST
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
----------

 

[krysler77]

Это я сделаю отпишусь. Но проблема то может остаться. Я просто боюсь если при обновлении драйвера на видеокарту он опять не установит без этой проги. Может еще раз проверить только после установки этой проги? И еще вопрос этот скрипт выполнять в безопасном режиме или при обычной загрузке?

 

[safety]

ну, можно поставить программу, на которую у вас подозрение с Tofsee и сделать еще раз образ автозауска из безопасного режима... + добавьте лог проверки антивируса, если он детектирует tofsee

 

[krysler77]

Поставил прогу, может конечно зря, но проверил drweb опять появился в оперативной памяти. Сделал образ заново вместе с прогой. Только не понял про лог с вирусом как сделать?

 

[safety]

krysler77,
1. raptr у вас легальное приложение?
2. повторное сканирование в ДрВеб находит троян в памяти?
3. ДрВеб находит в памяти только в случае если raptr запущен?
4. пробуйте создать образ автозапуска из нормального режима при запущенном raptr без проверки ДрВебом

 

[krysler77]

1. Легальное.
2. Да находит(скрин сделан после создания образа)
3. Да

 

[safety]

krysler77,
если приложение легальное, с цифровой подписью,

Действительна, подписано "Raptr, Inc"

то возможно у ДрВеб ложно срабатывание.

 

[krysler77]

Да оно легально. Все может быть что ложно, слышал что бывает такое. Спасибо за помощь. И хотел вопрос задать какой же лучше антивирус поставить, кокой хот более менее?

 

[safety]

лучше всего, чтобы антивирусник был лицензионным. тот же ДрВеб можно оставить, добавить в исключения каталог raptr.

можно еще проверить систему с загрузочного диска с помощью live CD. тут вариант что некоторое приложение внедряется в процесс raptr, и сам raptr не при чем.

 

[krysler77]

Проверил правда с помощью Kaspersky Rescue Disk 10 вообще ни чего не нашел. А ставить Drweb не хочу потому что он слишком много в чем находит вирусы, а на самом деле там ни чего нет. Мой пример это доказывает. Так и по удалять много чего можно нужного из за его перестраховки. Но все равно спасибо за помощь.