Rootkit

[Wzionke 0]

Witam proszę o pomoc comodo cleaning esentialls wykrył mi rootkita którego nie może usunąć zamieszczam logi, pozdrawiam.

 

FRTS

https://pastebin.com/dp5de1cD

https://pastebin.com/QQK8WZvg

https://pastebin.com/zpz334db

 

 

GMER

http://wklejto.pl/783799

[filutka78 11]

comodo cleaning esentialls wykrył mi rootkita

Gdzie go wykrył (ścieżka) ?

 

F.

[Wzionke 0]

Rootkit.HiddenFile

 

C:\System Volume Information\MountPointManagerRemoteDatabase

C:\System Volume Information\Syscache.hve

C:\System Volume Information\Syscache.hve.LOG1

C:\System Volume Information\Syscache.hve.LOG2

C:\System Volume Information\tracking.log

C:\System Volume Information\{16a0b974-06e9-11ea-bcd4-7824af8a0d91}{3808876b-c176-4e48-b7ae-04046e6cc752}

C:\System Volume Information\{3808876b-c176-4e48-b7ae-04046e6cc752}

C:\System Volume Information\{441da6a5-0adf-11ea-be36-7824af8a0d91}{3808876b-c176-4e48-b7ae-04046e6cc752}

C:\System Volume Information\{441da6a6-0adf-11ea-be36-7824af8a0d91}{3808876b-c176-4e48-b7ae-04046e6cc752}

C:\System Volume Information\{4939bab0-06c7-11ea-b98c-7824af8a0d91}{3808876b-c176-4e48-b7ae-04046e6cc752}

C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTDiagLog.etl

C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTEventLog-Application.etl

C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTEventlog-Security.etl

C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTEventLog-System.etl

C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTUBPM.etl

C:\Windows\System32\LogFiles\WMI\RtBackup\EtwRTWFP-IPsec Diagnostics.etl

 

 

Rootkit.HiddenDir

 

C:\System Volume Information\SPP

C:\Windows\CSC\v2.0.6

Edytowane 20 Listopada 2019 przez Wzionke

[filutka78 11]

To fałszywe wykrycia - wystarczy spojrzeć na nazwy:

System Volume Information = folder kopii potrzebnych do Przywracania Systemu

*.etl = potrzebne do bazy danych

*.log = to notatka pokazująca wykonane działania systemowe lib programowe.

RtBackup - https://serverfault.com/questions/237637/what-is-stored-in-windir-system32-logfiles-wmi-rtbackup

 

F.

[Wzionke 0]

Ok dziękuje pozdrawiam.