Здравствуйте, переодически пользуюсь программой zapret для обхода блокировки Discord. Касперский же ругается на файл WinDivert64.sys (что ожидаемо) но помимо этого он жалуется на файлы в папке Windows > Temp и множество f_00 файлов в папке кэша браузера Гугл Хром.
Но буквально вчера все пошло чуть дальше, программу отметило как heur:Trojan.Multi.Misslink и у меня закрылись все папки и файлы, не работал браузер. 
Хотелось бы узнать от знающих людей, насколько это все опасно или безопасно.
P.S Троян уже возникал у другого пользователя на сайте github, разработчик говорит о ложном срабатывание, автор пишет что файл чист и никакого трояна там нет (1 скрин из той темы)
Заранее спасибо за ответы.

28 минут назад, Kataomi_3232 сказал:

программу отметило как heur:Trojan.Multi.Misslink

Какую программу? О ней на скринах вроде ничего нет.

28 минут назад, Kataomi_3232 сказал:

WinDivert64.sys (что ожидаемо) но помимо этого он жалуется на файлы в папке Windows > Temp и множество f_00 файлов в папке кэша браузера Гугл Хром.

Это все один и тот же файл, только в разных папках. Почему в кеше Хрома - не очень понятно, вроде там быть не должно. Или Вы его просто скачивали отдельно.

21 минуту назад, AlexeyK сказал:

Какую программу? О ней на скринах вроде ничего нет.

Это все один и тот же файл, только в разных папках. Почему в кеше Хрома - не очень понятно, вроде там быть не должно. Или Вы его просто скачивали отдельно.

Программу zapret, а конкретнее файл WinDivert64, скринов к сожалению нет, вот тема с аналогичной ситуацией - https://github.com/bol-van/zapret/issues/550
Что касается кэша хрома, то один из пользователей ответил так - это кеш который не скачался в браузере, Оно и триггерится на него выдавая предупреждение, но безопасности винды на это похер она интерпретирует это как "стоп" и браузер который опирается на безопасность винды тоже.

Цитата

Это все один и тот же файл, только в разных папках.

Скрин какой был, файлов на самом деле множество, ниже приклеплю фото как пример (взял с другой темы)
 

Edited May 6, 20251 yr by Kataomi_3232

А, ну это известная вещь. Странно почему они у вас раньше не туда писались.

Посмотрите эту тему - https://forum.kaspersky.com/topic/конфликт-с-goodbyedpi-54412/#comment-205177

 

2 минуты назад, andrew75 сказал:

А, ну это известная вещь. Странно почему они у вас раньше не туда писались.

Посмотрите эту тему - https://forum.kaspersky.com/topic/конфликт-с-goodbyedpi-54412/#comment-205177

 

А что насчет множества f_00 файлов и то, что касперский в моменте определил файл в троян? (тему выше скидывал, у человека аналогичная проблема была)

16 минут назад, Kataomi_3232 сказал:

А что насчет множества f_00 файлов

так работает zapret. Это неопасно. Что с этим делать написано по ссылке.

16 минут назад, Kataomi_3232 сказал:

касперский в моменте определил файл в троян?

тема, на которую вы дали ссылку, годичной давности. И там нет конкретики

Гадать на кофейной гуще неблагодарное занятие.

1 час назад, Kataomi_3232 сказал:

Хотелось бы узнать от знающих людей, насколько это все опасно или безопасно.

Что именно "это"?

Пока вы только приводите чужие скриншоты.

Цитата

так работает zapret. Это неопасно. Что с этим делать написано по ссылке.

Понял.
 

Цитата

 

Что именно "это"?

Пока вы только приводите чужие скриншоты.

 

Под это я подразумеваю сам запрет, насколько его работа безопасна для использующего. 
Но в целом спасибо за ответы, насколько я понимаю ничего серьезного нет и это обычная практика для подобных программ.

23 минуты назад, Kataomi_3232 сказал:

Под это я подразумеваю сам запрет,

Дело в том, что есть разные реализации zapret-а. Есть даже версии со встроенным майнером, которые выдают себя за zapret.

Поэтому если программа получена из надёжного источника, то сама по себе она безопасна.

Но некоторые антивирусы ее не любят, из-за того что сам механизм ее работы может быть использован в деструктивных целях.

1 час назад, Kataomi_3232 сказал:

файлов на самом деле множество

Еще раз: это на самом деле один и тот же файл драйвера WinDivert во временной папке с разными именами.

1 час назад, andrew75 сказал:

так работает zapret.

При его работе создаются файлы в кеше Хрома? А то я не пользуюсь, не в курсе.

Edited May 6, 20251 yr by AlexeyK

33 минуты назад, AlexeyK сказал:

При его работе создаются файлы в кеше Хрома?

не знаю, я про последний скриншот, где они в TEMP

Только что, andrew75 сказал:

где они в TEMP

Ну с этим все понятно, а вот что там с кешем Хрома - не очень.)

3 часа назад, Kataomi_3232 сказал:

вот тема с аналогичной ситуацией - https://github.com/bol-van/zapret/issues/550

Тут изначально неправильная оценка ситуации ТС. Скорее всего этот детект в системной памяти heur:Trojan.Multi.Misslink вообще не имеет отношения к "запрету".

6 минут назад, AlexeyK сказал:

Скорее всего этот детект в системной памяти heur:Trojan.Multi.Misslink вообще не имеет отношения к "запрету"

да, я тоже так подумал.

Хм, а с чем тогда может быть связано появление heur:Trojan.Multi.Misslink?
Так еще забавно вышло, что я буквально за 2 часа до него проверял систему в безопасном режиме через сканнер KVRT + Eset Online Scanner.
Или данное явление не детектиться и появляется спонтанно? 
Из странностей могу заметить что мой гугл хром несколько раз в день вылетает и сам гугл выдает мне это - какое-то сторонее приложение изменило настройки, мы восстановили их по умолчанию. Вкладка расширений при этом автоматом переходит в режим разработчика + мой отец скачал игру из неизвестного мне источника. 
 

1 минуту назад, Kataomi_3232 сказал:

с чем тогда может быть связано появление heur:Trojan.Multi.Misslink?

Или данное явление не детектиться и появляется спонтанно? 

Я скачал, распаковал и просканировал архив по ссылке - при скане в нем найдено только ПНП. Кстати, примерно понятно, почему ловит в кеше Хром: это архив без пароля, при загрузке антивирус сразу детектрует файл. Скрин:

Спойлер

Просто так на основании рассказов и непонятного скриншота сказать не получится ничего. Может как раз дело в игре (если она вообще запускалась). Если действительно дело в этом запрете - нужно воспроизводить, чтобы понять, о чем речь, есть ли детект в памяти.

Где у Вас вообще было срабатывание - в антивирусе или KVRT? Есть ли запись об этом в отчетах?

@Kataomi_3232 Если хотите, можете проверить систему на наличие вредоносного ПО и вылечить ее при необходимости по этой ссылке, порядок оформления запроса здесь.

Срабатывание было в антивирусе, запись в отчете есть (только не знаю как его отправить)
 

22 минуты назад, Kataomi_3232 сказал:

запись в отчете есть

А Вам непременно требуется именно эта разновидность запрета? Есть другие, которые проверенные - в них точно ничего,кроме этого драйвера, нет. Тут еще какое-то расширение дететируется. Предположительно, после удаления файлов расширения и происходит это уведомление об изменении настроек сторонней программой.

Если не хотите лечить систему на форуме клуба, выполните полное сканирование антивирусом и удалите все найденные объекты кроме тех, в которых уверены и которые будут нужны. Удалите этот запрет и скачайте нормальный - сразу настройте исключение для WinDivert.

А в кеше Хрома я воспроизвел - вот такой детект при попытке скачивания архива.

Пользуюсь самой популярной версией zapretа - https://github.com/Flowseal/zapret-discord-youtube Мне кажется 90% как раз сидят на ней, может все же дело в игре скачанной не понятно откуда ибо других идей у меня нет. После скачки игры сел за пк и увидел 2 рекламных приложения которых устранил.
 

Цитата

Если не хотите лечить систему на форуме клуба, выполните полное сканирование антивирусом и удалите все найденные объекты кроме тех, в которых уверены и которые будут нужны.

Проводил сегодня полную проверку пк в безопасном режиме с помощью KVRT + Eset Online Scanner + на завершение HitmanPro. Сейчас только только закончил проверять пк с помощью проверки самого касперского (выкрутил к тому же настройки на максимум) - ничего не находит и не находил. 

Edited May 6, 20251 yr by Kataomi_3232

16 минут назад, Kataomi_3232 сказал:

Пользуюсь самой популярной версией zapretа

Просто выше давали другую ссылку, я про нее и подумал. Эта вроде нормальная, с ней не должно быть проблем.

Раз все просканировали и ничего не находит, а что-то еще порой детектируется - что мы еще может тут сказать? Только если лечить с логами на форуме клуба. Если после удаления рекламных приложений проблем нет - ну тогда ничего и не делайте.) Ну или попробовать все же удалить игру.

Edited May 6, 20251 yr by AlexeyK

Решил на последок проверить пк через dr.web Curelt!

Вот такую охапку дров он мне нашел (проверка все еще идет) Я так понимаю нужно после проверки бежать на форум к ним и скидывать логи?

6 минут назад, Kataomi_3232 сказал:

он мне нашел

Первая строка hosts - это может быть совершенно безопасно, если сами вносили в него изменения или какая-то нормальная программа.

Следующие 4 строки - это обычные ПНП. А учитывая строгость к этому типу ПО данного вендора, как правило можно не обращать внимания.

Последние 4 - проверьте файлы на вирустотал. Можете потом сюда скинуть ссылки на результаты их сканирования. Или скопируйте эти файлы в какую-либо папку, заархивируйте с паролем и через любое облако скиньте мне в личку.

Game.js - https://www.virustotal.com/gui/file/7f70e46c0de6250a54f81523e0ce34f6c64b061413dc6751e8d00e49fe39894b

Wext.vbs - https://www.virustotal.com/gui/file/f2ff3b5fc3bb9f4056d5476ebc3151f9bad31120ebc7d03e770b0e757eee9eaf

wslC2.xml - https://www.virustotal.com/gui/file/50a49dfc71924629c066c3cb9f9dc188dec9401e450396123c132c12d6a1d0db

cpuz_x64_rus.exe - https://www.virustotal.com/gui/file/0339fa97e5eb8677c85c0792988ed1c9ea7a87d4dc8cae652b13f8aa19a71368
 

Цитата

Первая строка hosts - это может быть совершенно безопасно, если сами вносили в него изменения или какая-то нормальная программа.

Не трогал это и даже не знаю как, прочитал в интернете про этот детект, говорят возникает у многих с крякнутой виндой (как на этом пк) 

У cpu-z нет официальной русской версии. Так что там может быть что угодно.

@Kataomi_3232 Все 4 детекта - это ложные срабатывания. Я обновил скан на ВТ, там все зеленое, кроме Доктора.

8 минут назад, Kataomi_3232 сказал:

Не трогал это и даже не знаю как

Можно посмотреть, что там за записи, способ открытия файла найдете в сети.

Цитата

Можно посмотреть, что там за записи, способ открытия файла найдете в сети.

Открыл, посмотрел и ничего не понял, можно ли сюда скинуть полностью текст скриншотом или не стоит?

 

Цитата

Все 4 детекта - это ложные срабатывания. Я обновил скан на ВТ, там все зеленое, кроме Доктора.

С одной стороны это отлично, а с другой я надеялся что прикол с хромом это вина этих троянов, а оно все ложное...

Edited May 6, 20251 yr by Kataomi_3232

Я после такого количества ложняков оставил бы с миром этот сканер, а то он натворит больше проблем, чем что-то решит. И обходил бы стороной в дальнейшем.

Только что, Kataomi_3232 сказал:

можно ли сюда скинуть полностью текст скриншотом или не стоит?

Скиньте лучше мне в личку.