Вирус Ground как избавиться ?

[Dymok]

Windows 10 в основном, но может быть и Windows 7, 11

В основном тут появляется, но могут и другие файлы заражаться. После удаления опять появляется. Особенно если видимо подключить съёмные носители, где есть вирус.

Тип: Вирус
Название: Virus.Win32.Renamer.j
Точность: Точно
Степень угрозы: Высокая
Тип объекта: Файл
Имя объекта: Ground.exe
Путь к объекту: C:\Users\Дмитрий\AppData\Roaming
MD5 объекта: 0E54CD5BF552F73867A28525921CAD0F

Есть какие то специализированные утилиты для борьбы с это заразой ?  Обычная версия антивирусной программы не очень то помогает. Слишком много всего находит, что не нужно удалять.

Хорошо бы если сделали утилиту именно под этот вирус, чтобы проверяло и не позволяло распространяться. И искало всё файлы начинающиеся на G, особенно если есть такой же файл, но без буквы G впереди и проверяло что внутри файла.  Остальное бы ничего не проверяло.

Вроде бы вирус старый и простой, но Антивирусы, в том числе Касперского с ним не справляются...

[kmscom]

18 минут назад, Dymok сказал:

Особенно если видимо подключить съёмные носители, где есть вирус.

18 минут назад, Dymok сказал:

много всего находит, что не нужно удалять.

нет слов )))). ха-ха-ха
интересно, автор в трезвой памяти и твердом уме )))). 

если антивирусу не давать удалять, что он находит, то он не очень то поможет с любым вирусом 

[andrew75]

1 час назад, Dymok сказал:

Слишком много всего находит, что не нужно удалять.

А проверять только конкретные файлы и настраивать исключения вы видимо не умеете?

[AlexeyK]

1 час назад, Dymok сказал:

Слишком много всего находит, что не нужно удалять.

Насколько я понял, этот вирус заражает исполняемые файлы в системе и добавляет в начале их имени букву g. Но даже в случае исходного имени это не ложный детект, просто сохранилось имя, а сам файл модифицирован. Антивирус детектирует такие файлы не потому, что они лишние, а потому, что заражены. По этой ссылке в одном из комментариев об этом говорится, вроде в Вашем случае так и есть.

 

[Dymok]

В 22.05.2026 в 11:24, AlexeyK сказал:

Насколько я понял, этот вирус заражает исполняемые файлы в системе и добавляет в начале их имени букву g. Но даже в случае исходного имени это не ложный детект, просто сохранилось имя, а сам файл модифицирован. Антивирус детектирует такие файлы не потому, что они лишние, а потому, что заражены. По этой ссылке в одном из комментариев об этом говорится, вроде в Вашем случае так и есть.

 

Там всякие нужные файлы, например утилиты для прошивки. Или например постоянно каким то образом заражается Виктория. При чём заражается ярлык, у него появляется буква G.

Модифицируются файлы как на С диске, так и на других.

Этот вирус видимо широко распространён, просто Касперский антивирус его не видит нормально и не может идентифицировать. Иногда если запустить проверку диска, пишет,   что всё проверено и нормально, а фактически есть фалы изменённые.

Вирус даже модифицирует утилиту от Касперского.

В общем вирус старый, вот и гуляет по планете, его вообще не заметно. Проблема появляется когда он фотографии на компьютере подписывает в нижнем углу. 

Я так понял, что продукция Касперского в борьбе с этим вирусом бесполезна. 

Edited May 23 by Dymok

[andrew75]

Много текста и никакой конкретики.

Основной тезис - антивирусы с ним не справляются.

А в чем это конкретно выражается?

Вот детект из первого сообщения (Название: Virus.Win32.Renamer.j)  он откуда?

В 22.05.2026 в 08:18, Dymok сказал:

После удаления опять появляется

после удаления чем?

В 22.05.2026 в 08:18, Dymok сказал:

Обычная версия антивирусной программы не очень то помогает.

какая именно антивирусная программа?

У вас антивирус вообще установлен или вы его только для проверки запускаете?

[Dymok]

В 22.05.2026 в 08:18, Dymok сказал:

Есть какие то специализированные утилиты для борьбы с это заразой ? 

Я вообще то спросил про то, есть может какая то специальная утилита   от Лаборатории Касперского именно для борьбы с этим вирусом.

Ответа не получил, но видимо нету...

Может кто то знает что у других есть. 

Запускал для проверки утилиту Kaspersky Virus Removal Tool  

в борьбе с этим вирусом она сама становиться вирусным, т.е. её заражает и она становиться разносчиком вируса.

Потом установил версию на компьютер Free версию для пробы.  Да на что то способна, находит, удаляет, но до кучи удаляет без спроса нужные файлы. А то, что нужно удалять пропускает. Не может отследить распространение вируса.

Даже те что в исключения добавлял, потом почему то перестают быть исключением и вообще не понятно сделана логистика.  Очень трудно найти, то что нужно в программе.  Я такое не люблю и точно покупать не буду.

Ничем не лучше встроенного майкрософтовского. Тот так же это же удаляет и потом опять может заразиться. Но он проще и понятнее.

В общем можно констатировать, что у Лаборатории касперского нет продуктов, которые могут эффективно бороться с вирусом Ground. Проблема не решаемая...

[Maratka]

3 минуты назад, Dymok сказал:

в борьбе с этим вирусом она сама становиться вирусным, т.е. её заражает и она становиться разносчиком вируса.

Значит нужно запустить ее с CD, или лоченной флешки (таких мало), или SD-карты (такие все). Как вариант - в режиме защиты от сбоев. Как самый действенный вариант против вирусов (но именно вирусов, т.е. ПО, которые изменяет чужие бинари, а не создает свои) - с другой системы, в данном случае - диск Линукса с антивирусом.

 

5 минут назад, Dymok сказал:

Потом установил версию на компьютер free версию для пробы.  Да на что то способна, находит, удаляет, но до кучи удаляет без спроса нужные файлы.

Так значит нужно поставить режиме, чтобы спрашивала. Он есть, включается одной галкой.

6 минут назад, Dymok сказал:

Очень трудно найти, то что нужно в программе.  Я такое не люблю и точно покупать не буду.

Free-версию производителю продать Вам будет сложно. Как и купить ее Вам у производителя.

[andrew75]

@Dymok, отдельной утилиты для борьбы конкретно с этим вирусом нет.

Удалить вирус можно например с помощью Kaspersky rescue disk

Только после этого нужно использовать антивирус чтобы не допустить нового заражения.

@Maratka, проблема у ТС не в том, чтобы удалить вирус (хотя если он удаляет его в одной конкретной папке это не решит проблему), а в том что

В 22.05.2026 в 08:18, Dymok сказал:

После удаления опять появляется. Особенно если видимо подключить съёмные носители, где есть вирус.

А резидентный антивирус он не использует поскольку

В 22.05.2026 в 08:18, Dymok сказал:

Обычная версия антивирусной программы не очень то помогает. Слишком много всего находит, что не нужно удалять.

 

[Maratka]

  

37 минут назад, andrew75 сказал:

А резидентный антивирус он не использует поскольку

Даже на W7 этот вид ПО через флешку не может распространяться. Там уже лет с мохнатый пень, как нет с нее автозапуска. Т.е. что-то запустить - нужно специально тыкнуть туда. Тем паче, современная W11, или почти современная W10.

Антивирус от MS, встроенный в ту самую W11/10 будет детектить это влет, просто в силу возраста малвары (ну или пусть мне покажут список вирусов, именно вирусов, не чего то другого) за последний год.

Т.е. я к чему: обойти список файлов/ключей реестра при AD - ну наверное можно. Я сам это делал году так в 2015-2016-2017. Но то что я делал - было исправлено через 2-3 месяца. И это точно знаю, ибо сам проверял, и баги закрывал. Есть ли возможность сейчас обойти - есть. Ибо раз никто не поручится (а никто не поручится!), что нет уязвимостей в ОС - то идем от обратного.

Но это настолько маловероятно, что такое "дежурное" название вирусу никто не даст. Там будет название что называется "громкое". А тут название года так из 2005-го, скромненькое.... Какое-то такое, что даже не интересное, ну вот было бы нечто - я бы попросил себе этот семпл, чтобы мне его автор темы выслал - чего там сложного, выключи антивирус, в архив с паролем, и мне на почту... Но ведь не прошу - ибо тут у меня не 99,9, а строго 100%, которые невозможны статистически, но на себя взяв отвественность - утверждаю, что 100%, что это древность.

Т.е. да - заразиться им - нужно специально постараться...
Как-то так в общем...

[andrew75]

Так я в целом согласен. При использовании любого антивируса, этот вирус не может быть опасен.

Но если он заражает KVRT, значит он висит резидентно.

Что даже дефендер не должен был бы допустить.
Поэтому может у ТС дефендер отключен.
Ибо он тоже может находить что-то что не надо удалять )

[Maratka]

53 минуты назад, andrew75 сказал:

Но если он заражает KVRT, значит он висит резидентно.

А они все так - иначе как оно будет отслеживать новые файлы-бинари, и заражать их.

 

Но против этого антивирусы ЛК работают лет около 20 точно.
Там есть проблемы (если есть, но в те времена были) -с т.н. полиморфными вирусами, которые шифровали не то, чтобы себя, но и тело своей жертвы. Т.е. на момент появления детекта - там был выбор вида "блокировать или удалить". Лечить - не было, ибо непонятно было, что там вылечить из жертвы, и что оставить. Потом как-то потихоньку разбирались. Не сразу, да, там да еще математика, завязанная на криптографию. Но даже и тогда-  заражения при детекте не было, и быть не могло.
 

Ну вот описание, даже не по классу, и даже не поверхностное, но какое нашел:
https://threats.kaspersky.com/ru/threat/Virus.Win32.Crypto/

Но все это потухло лет 15 назад. Перестали писать: зачем, если на основе того же алгоритма, но не заражая файлы (т.е. проще, не нужно разбираться с устройством бинарей) можно шифронуть раздел, и потребовать выкуп.

[Friend]

В 23.05.2026 в 17:21, andrew75 сказал:

Virus.Win32.Renamer.j

https://threats.kaspersky.com/ru/threat/Virus.Win32.Renamer.j/
https://threats.kaspersky.com/en/threat/Virus.Win32.Renamer.j/

[Dymok]

Проблема в том, что есть носители с информацией, которые нужно подключать.

Если их подключить с работающим антивирусником, то всё нужное удалит. Там всякие утилиты например для прошивки, проверки дисков. Антивирус их не знает и удаляет.

Если подключить отключив антивирусник, то заразиться компьютер.

Он даже официальные программы для 3д принтера, сканера удаляет, считая что это вредоносное ПО.

Теперь ещё непонятно что нашёл

[andrew75]

3 минуты назад, Dymok сказал:

Если их подключить с работающим антивирусником, то всё нужное удалит.

включите интерактивный режим - https://forum.kaspersky.com/topic/интерактивный-режим-как-включить-58249/

[AlexeyK]

2 минуты назад, Dymok сказал:

непонятно что нашёл

А что тут непонятно? Зараженные файлы, выше об этом было. Вам лучше переустановить ОС с такими делами. Только нормальную, официальную по возможности.

[kmscom]

.... и наконец-то удалить вирус с того, что вы называете

7 минут назад, Dymok сказал:

носители с информацией, которые нужно подключать.

даже если это ценная информация ))))

Edited May 29 by kmscom

[AlexeyK]

10 минут назад, Dymok сказал:

Если подключить отключив антивирусник, то заразиться компьютер.

Чем же он заразится, если там всего лишь

11 минут назад, Dymok сказал:

всякие утилиты например для прошивки, проверки дисков. Антивирус их не знает и удаляет.

И к тому же АВ не удаляет то, что не знает, как раз наоборот.

[andrew75]

6 минут назад, AlexeyK сказал:

Чем же он заразится, если там всего лишь

видимо там не только то, о чем пишет ТС )

Хотя при включенном антивирусе, компьютер не сможет заразиться просто при подключении флешки.

[AlexeyK]

Судя по описанию и скрину, флешки подлежат форматированию, а ОС переустановке. И нужные программы придется заново скачивать (с того же источника с тем же зловредом 🙂). Похоже, что тут только большая зачистка поможет. 

[Dymok]

В 29.05.2026 в 12:58, AlexeyK сказал:

А что тут непонятно? Зараженные файлы, выше об этом было. Вам лучше переустановить ОС с такими делами. Только нормальную, официальную по возможности.

Это программа для векторной графики. С чего ей быть зараженной...

Касперский всё подобное считает вирусом и пытается удалять.

В общем Касперский для пенсионеров только, где чистая виндовс с программами от Яндекса.

[Maratka]

12 минут назад, Dymok сказал:

Это программа для векторной графики. С чего ей быть зараженной...

Покажите детекты.

[AlexeyK]

1 час назад, Dymok сказал:

Это программа для векторной графики. С чего ей быть зараженной...

Ваш детект Virus.Win32.Renamer.j говорит о том, что в системе отработал или еще работает файловый вирус. Этот тип угроз видоизменяет файлы, т.е. из внедряет в них свой вредоносный код. В результате это уже не только программа для векторной графики, а еще и зловред. Неизмененное имя не говорит о том, что файл тоже не изменен. Подробнее почитайте в сети, просто уже надоело сто раз одно и то же повторять. Такие файлы нужно пытаться лечить, чтобы удалить из них вредоносный код.

Edited May 31 by AlexeyK

[andrew75]

ТС верит что у него система чистая, а антивирус только нужные файлы удаляет.
Переубедить его нам явно не удастся, хотя мы пытались.

[AlexeyK]

Да уж, решил вот задетектировать файл анинсталлера доверенного приложения, плюс набросился на свой собственный файл.)

@Dymok Если эти файлы со скрина (upgrade.exe и uninstall.exe) еще на месте, пришлите мне в личку их архивированную с паролем копию через любое облако (и пароль не забудьте). Также можете скинуть любые другие файлы, которые продукт детектирует незаслуженно с Вашей точки зрения.

Edited May 31 by AlexeyK