Trojan-Downloader.Win32.Bitser

[Andrey_2024]

Добрый день.

Выпуск    Windows 11 Домашняя для одного языка
Версия    23H2
Дата установки    ‎29.‎11.‎2023
Сборка ОС    22631.3593
Взаимодействие    Windows Feature Experience Pack 1000.22700.1003.0

KIS
21.3.10.391 (I)
 

Файл был скачан и запущен до установки KIS.

После установки KIS был обнаружен только в загрузке и был удален.

В песочнице определился как Trojan-Downloader.Win32.Bitser.fjx., VHO:Trojan-PSW.Win32.Convagent.gen

Повторная полная проверка после установки ничего не дала.

Т.к. файл "установки опера" был точно запущен, что делать? Как теперь удалить результаты отработки вируса?

Снимок из песочницы: 

 

Edited June 3 by Andrey_2024
Дополнение

[AlexeyK]

44 минуты назад, Andrey_2024 сказал:

Т.к. файл "установки опера" был точно запущен, что делать?

Пока ничего не делайте, тут, похоже, просто ложное срабатывание. Отправил на повторный анализ в вирлаб, сообщу о результате.

Анализ файла на VT и OpenTIP.

[AlexeyK]

3 часа назад, Andrey_2024 сказал:

Как теперь удалить результаты отработки вируса?

Пока не ответили из вирлаба, значит есть вероятность, что детект не снимут. Судя по данным ВТ он загружает множество всевозможных доп. программ. Чтобы понять более полно, что он выполняет, отправил Вам просьбу выслать мне этот файл в личку. Я смогу его запустить и попробую посмотреть, от чего предстоит очищать ОС. Найти его в сети не удается.

[AlexeyK]

13 часов назад, Andrey_2024 сказал:

Как теперь удалить результаты отработки вируса?

Ложное срабатывание исправлено, это не вредоносный файл. Доверие KSN ему, конечно, не дали, но детектирования при проверке нет, хотя на OpenTIP он обозначен как Adware.

Этот файл, помимо Opera, устанавливает несколько доп. программ - Я. Браузер, Я. сервисы и - куда же без него - антивирус 360 TS. Но это происходит, если при инсталляции были пройдены все шаги установки и не сняты галочки. На скриншоте ниже видны все программы, которые установлены в нагрузку, удалить можно стандартным способом.

Спойлер

 

[andrew75]

Что интересно, есть даже такая, вполне себе официальная вещь.

[AlexeyK]

@andrew75 Не, это совсем другое. Официальная просто слегка приправлена Яндексом, да и подписана Opera. А это обычный рекламный бандлер, криво сделанный - при установке какие-то дефекты шрифта. Ну и подписан не пойми кем.) И собственно Оперу ставит самую свежую - 95 версии, которой уже вроде года полтора.) Скрины:

Спойлер

 

Edited June 4 by AlexeyK

[andrew75]

Да я понял. Это очень распространенная вещь для популярных программ сейчас. Обычно размещают на созвучных русскоязычных доменах. 

[AlexeyK]

Все-таки неизвестно было, что он еще там дозагружает, но теперь понятно, что это чисто рекламный установщик, а не вредонос.)

Кстати, на ВТ видно, какие движки, по всей видимости, слегка позаимствовали детектирование.)