Троян HEUR:Trojan.Win32.Yephiler.gen

[Сергей_]

Антивирус удаляет его постоянно и он снова появляется что делать? Отчет на скриншоте

 

Edited April 14 by Сергей_
Ошибка

[Maratka]

Запустите быструю проверку.

[Сергей_]

Запускал проверку диска С, угроз не обнаружено!

Edited April 14 by Сергей_

[andrew75]

@Сергей_, создайте тему в разделе Помощь в удалении вирусов клуба "Лаборатории Касперского", выполнив Порядок оформления запроса о помощи. Потребуется отдельная регистрация.

Там лечили аналогичную проблему.

 

[Maratka]

1 час назад, Сергей_ сказал:

Запускал проверку диска С, угроз не обнаружено!

Я же написал "быструю проверку".

[AlexeyK]

@Сергей_ Это ложное срабатывание на файл Wire VPN, сейчас оно исправлено, продукт больше не детектирует в нем угрозу.

https://opentip.kaspersky.com/FD335C2F7F0D0A86DB9690850305DC853EBF44686F82DE83736CACC0B33FBBA2/results?tab=upload

https://www.virustotal.com/gui/file/fd335c2f7f0d0a86db9690850305dc853ebf44686f82de83736cacc0b33fbba2?nocache=1

 

Спойлер

 

[Maratka]

7 минут назад, AlexeyK сказал:

Это ложное срабатывание на файл Wire VPN, сейчас оно исправлено, продукт больше не детектирует в нем угрозу.

   Если оно ложное, то кто этот файл восстанавливает?

[andrew75]

7 минут назад, Maratka сказал:

Если оно ложное, то кто этот файл восстанавливает?

хороший вопрос. Видимо родной сервис. На него-то детекта не было, я так понимаю.

[Maratka]

Я бы не сказал, что это обычная, повседневная реализация целостности файлов ПО.
Если детект сняли - значит:
1) Нужно восстановить удаленный файл из карантина
2) Проверить, что он доверенные по KSN (т.е. любый ложняк сначала тушится там, чтобы уменьшить количество пострадавших, и только потом, когда-нибудь, через несколько часов - придут базы).

[AlexeyK]

Долетел ответ от вирлаба об исправлении фолса.

Спойлер

 

19 минут назад, Maratka сказал:

Если оно ложное, то кто этот файл восстанавливает?

Предлагаете установить это приложение, протестировать, как оно проверяет свою целостность и сообщить о результате? Файл отправил в вирлаб, детект отключили через 10 минут.

[Maratka]

10 минут назад, AlexeyK сказал:

Долетел ответ от вирлаба об исправлении фолса.

Этот ли? Или может одноименный от старой или наоборот - обновленной версии? Какая версия у пострадавшего?

11 минут назад, AlexeyK сказал:

Предлагаете установить это приложение,

Не предлагаю, коль уж они не хотят работать с Россией. Побьет их файлы антивирус - то конечно проблема антивиурса, но еще и проблема их клиентов.

[AlexeyK]

7 минут назад, Maratka сказал:

Этот ли? Или может одноименный от старой или наоборот - обновленной версии? Какая версия у пострадавшего?

Программа обновлялась давно, самому свежему установщику уже год, так что скорее всего файл тот же. Надеюсь, пользователь сообщит о результате. Если детект останется - никаких проблем нет сделать новый запрос на анализ файла.

Спойлер

 

[Сергей_]

Быструю проверку сделал всю показал на скриншоте, так же там версию файлов. Базы антивируса обновленные, windows 10 обновлен до самых последних обновлений. Троян появился 09.04.2024 после подключения телефона компьютера iPhone iOS 17.4.1

До этого на компьютер устанавливал wirevpn но потом удалил, дату установки не помню но было не давно, скачивал с официального сайта.

Какие сейчас действия делать?

[andrew75]

13 минут назад, Сергей_ сказал:

До этого на компьютер устанавливал wirevpn но потом удалил

судя по всему он не удалился или не до конца удалился.

Что в папке c:\windows\SysWOW64\wire ?

upWire.exe это думаю апдейтер, который периодически проверяет обновления.

 

[Maratka]

14 минут назад, Сергей_ сказал:

Какие сейчас действия делать?

Покажите свойства (в т.ч. подпись) файла из вашего первого сообщения, то ли у меня какой-то косяк, то ли ??? движок форума уменьшает скриншоты, но вроде бы (не точно) там wire.dll, а не exe.

[andrew75]

@Maratka, детект на wire.dll, но запускает-то его exe-шник.

@Сергей_, вобщем я бы сходил на форум клуба, куда я вас посылал.

Ложное оно срабатывание или нет, а лучше проверить и удалить. Раз программа все равно не нужна.

[Сергей_]

Вроде программа корректно удалилась. Могу зано установить и удалить.

[Сергей_]

Я не могу удалить эти файлы, система пишет что файл кем-то занят!

Пошел скачивать файл и наткнулся на это

Сайт https:// wirevpn.cc/ru

[andrew75]

11 минут назад, Сергей_ сказал:

Вроде программа корректно удалилась.

А где вы свойства файлов смотрите, если она удалилась?

11 минут назад, Сергей_ сказал:

Я не могу удалить эти файлы, система пишет что файл кем-то занят!

Какой-то сервис остался, судя по всему.

Это уже гугловский детект.

[Maratka]

45 минут назад, Сергей_ сказал:

Пошел скачивать файл и наткнулся на это

Сайт https:// wirevpn.cc/ru

Кстати, про этот славный перевод на русский я и писал чуть выше, мол "не хотят работать в РФ".
Кнопка "скачать" которая... А если выбрать английский (украинский, или что там кто еще понимает) - то иначе будет, вида "получить/скачать сейчас".

В этой связи, рискну предположить, что всякое может быть, в т.ч. и что они для РФ специальную гадость кладут.

32 минуты назад, andrew75 сказал:

Какой-то сервис остался, судя по всему.

Думаю вариант - откатить точку восстановления до установки VPN.

[Сергей_]

16 минут назад, andrew75 сказал:

А где вы свойства файлов смотрите, если она удалилась?

29 минут назад, Сергей_ сказал:

Я только когда общаться на форме стал, вспомнил что скачивал данный vpn, а так я думал что это файлы windows.

Зашел в службы и увидел что эти процессы выполняться, их просто остановить и удалить?

[andrew75]

Как и следовало ожидать, upWire это именно апдейтер.

13 минут назад, Сергей_ сказал:

их просто остановить и удалить?

попробуйте остановить и удалить. Если получится, конечно. Если не получится, попробуйте в безопасном режиме.

Или, как вам выше посоветовали, откатитесь на точку восстановления. Так оно надежнее будет.

[Сергей_]

Спасибо! Все получилось!

[Maratka]

Я тоже рад.
На будущее - постарайтесь избегать установки ПО, производители которого явно декларируют, что они с Россией не дружат. А это как раз ваш случай: не думаю, что там что-то вот совсем специально они заделали, но и с другой стороны - Вы бы знать не знали, что тот VPN, который Вы удалили на самом деле далеко не удалился.
А в техподдержку туда, из России - думаю надежнее "на деревню дедушке" писать.

[andrew75]

Ну файлы скачиваются одинаковые.

Но на установщик некоторые ругаются https://www.virustotal.com/gui/file/c714873fec7b6884dd61d8f929e2d7b236542a9b11fa209e6387d0f9af21c7d1?nocache=1