Как удалить троян agent tesla

Как удалить троян agent tesla

Шаг 3. Выбрав объекты для удаления, для полного избавления от зловреда win32 trojan agent нажимаем кнопку «Обезвредить».

Шаг 4. Поздравляем, ваш компьютер чист!

Чистилка — совершенная защита от мусорного и ненужного ПО, которое проникает в ваш компьютер через нежелательные программы и рекламные объявления.

Надежная защита от всех вредоносных программ. Чистилка находит и удаляет вредоносные трояны, черви и шпионы.

Удаление Avoid installation of Agent Tesla through Afdsola Email: Удалите Avoid installation of Agent Tesla through Afdsola Email Навсегда

Что такое Avoid installation of Agent Tesla through Afdsola Email

Скачать утилиту для удаления Avoid installation of Agent Tesla through Afdsola Email

Удалить Avoid installation of Agent Tesla through Afdsola Email вручную

Получить проффесиональную тех поддержку

Читать комментарии

Описание угрозы

Имя исполняемого файла:

Avoid installation of Agent Tesla through Afdsola Email

(random file).exe

Viruses

Win32 (Windows XP, Windows Vista, Windows Seven, Windows 8)

Метод заражения Avoid installation of Agent Tesla through Afdsola Email

Avoid installation of Agent Tesla through Afdsola Email копирует свои файл(ы) на ваш жёсткий диск. Типичное имя файла (random file).exe. Потом он создаёт ключ автозагрузки в реестре с именем Avoid installation of Agent Tesla through Afdsola Email и значением (random file).exe. Вы также можете найти его в списке процессов с именем (random file).exe или Avoid installation of Agent Tesla through Afdsola Email.

Если у вас есть дополнительные вопросы касательно Avoid installation of Agent Tesla through Afdsola Email, пожалуйста, заполните эту форму и мы вскоре свяжемся с вами.

Скачать утилиту для удаления

Скачайте эту программу и удалите Avoid installation of Agent Tesla through Afdsola Email and (random file).exe (закачка начнется автоматически):

* SpyHunter был разработан американской компанией EnigmaSoftware и способен удалить удалить Avoid installation of Agent Tesla through Afdsola Email в автоматическом режиме. Программа тестировалась на Windows XP, Windows Vista, Windows 7 и Windows 8.

Функции

Удаляет все файлы, созданные Avoid installation of Agent Tesla through Afdsola Email.

Удаляет все записи реестра, созданные Avoid installation of Agent Tesla through Afdsola Email.

Программа способна защищать файлы и настройки от вредоносного кода.

Программа может исправить проблемы с браузером и защищает настройки браузера.

Удаление гарантированно — если не справился SpyHunter предоставляется бесплатная поддержка.

Антивирусная поддержка в режиме 24/7 входит в комплект поставки.

Скачайте утилиту для удаления Avoid installation of Agent Tesla through Afdsola Email от российской компании Security Stronghold

Если вы не уверены какие файлы удалять, используйте нашу программу Утилиту для удаления Avoid installation of Agent Tesla through Afdsola Email.. Утилита для удаления Avoid installation of Agent Tesla through Afdsola Email найдет и полностью удалит Avoid installation of Agent Tesla through Afdsola Email и все проблемы связанные с вирусом Avoid installation of Agent Tesla through Afdsola Email. Быстрая, легкая в использовании утилита для удаления Avoid installation of Agent Tesla through Afdsola Email защитит ваш компьютер от угрозы Avoid installation of Agent Tesla through Afdsola Email которая вредит вашему компьютеру и нарушает вашу частную жизнь. Утилита для удаления Avoid installation of Agent Tesla through Afdsola Email сканирует ваши жесткие диски и реестр и удаляет любое проявление Avoid installation of Agent Tesla through Afdsola Email. Обычное антивирусное ПО бессильно против вредоносных таких программ, как Avoid installation of Agent Tesla through Afdsola Email. Скачать эту упрощенное средство удаления специально разработанное для решения проблем с Avoid installation of Agent Tesla through Afdsola Email и (random file).exe (закачка начнется автоматически):

Функции

Удаляет все файлы, созданные Avoid installation of Agent Tesla through Afdsola Email.

Удаляет все записи реестра, созданные Avoid installation of Agent Tesla through Afdsola Email.

Программа может исправить проблемы с браузером.

Иммунизирует систему.

Удаление гарантированно — если Утилита не справилась предоставляется бесплатная поддержка.

Антивирусная поддержка в режиме 24/7 через систему GoToAssist входит в комплект поставки.

Наша служба поддержки готова решить вашу проблему с Avoid installation of Agent Tesla through Afdsola Email и удалить Avoid installation of Agent Tesla through Afdsola Email прямо сейчас!

Оставьте подробное описание вашей проблемы с Avoid installation of Agent Tesla through Afdsola Email в разделе Техническая поддержка. Наша служба поддержки свяжется с вами и предоставит вам пошаговое решение проблемы с Avoid installation of Agent Tesla through Afdsola Email. Пожалуйста, опишите вашу проблему как можно точнее. Это поможет нам предоставит вам наиболее эффективный метод удаления Avoid installation of Agent Tesla through Afdsola Email.

Как удалить Avoid installation of Agent Tesla through Afdsola Email вручную

Эта проблема может быть решена вручную, путём удаления ключей реестра и файлов связанных с Avoid installation of Agent Tesla through Afdsola Email, удалением его из списка автозагрузки и де-регистрацией всех связанных DLL файлов. Кроме того, отсутствующие DLL файлы должны быть восстановлены из дистрибутива ОС если они были повреждены Avoid installation of Agent Tesla through Afdsola Email.

Чтобы избавиться от Avoid installation of Agent Tesla through Afdsola Email, вам необходимо:

1. Завершить следующие процессы и удалить соответствующие файлы:

Предупреждение: вам необходимо удалить только файлы, контольные суммы которых, находятся в списке вредоносных. В вашей системе могут быть нужные файлы с такими же именами. Мы рекомендуем использовать Утилиту для удаления Avoid installation of Agent Tesla through Afdsola Email для безопасного решения проблемы.

2. Удалите следующие папки:

3. Удалите следующие ключи и\или значения ключей реестра:

Предупреждение: Если указаны значения ключей реестра, вы должны удалить только указанные значения и оставить сами ключи нетронутыми. Мы рекомендуем использовать Утилиту для удаления Avoid installation of Agent Tesla through Afdsola Email для безопасного решения проблемы.

Как предотвратить заражение рекламным ПО? Мы рекомендуем использовать Adguard:

4. Сбросить настройки браузеров

Avoid installation of Agent Tesla through Afdsola Email иногда может влиять на настройки вашего браузера, например подменять поиск и домашнюю страницу. Мы рекомендуем вам использовать бесплатную функцию «Сбросить настройки браузеров» в «Инструментах» в программе Spyhunter Remediation Tool для сброса настроек всех браузеров разом. Учтите, что перед этим вам надо удалить все файлы, папки и ключи реестра принадлежащие Avoid installation of Agent Tesla through Afdsola Email. Для сброса настроек браузеров вручную используйте данную инструкцию:

Для Internet Explorer

• Если вы используете Windows XP, кликните Пуск, и Открыть. Введите следующее в поле Открыть без кавычек и нажмите Enter: «inetcpl.cpl».
• Если вы используете Windows 7 или Windows Vista, кликните Пуск. Введите следующее в поле Искать без кавычек и нажмите Enter: «inetcpl.cpl».
• Выберите вкладку Дополнительно
• Под Сброс параметров браузера Internet Explorer, кликните Сброс. И нажмите Сброс ещё раз в открывшемся окне.
• Выберите галочку Удалить личные настройки для удаления истории, восстановления поиска и домашней страницы.
• После того как Internet Explorer завершит сброс, кликните Закрыть в диалоговом окне.

Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Spyhunter Remediation Tool.

Для Google Chrome

• Найдите папку установки Google Chrome по адресу: C:\Users\»имя пользователя»\AppData\Local\Google\Chrome\Application\User Data.
• В папке User Data, найдите файл Default и переименуйте его в DefaultBackup.
• Запустите Google Chrome и будет создан новый файл Default.
• Настройки Google Chrome сброшены

Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Spyhunter Remediation Tool.

Для Mozilla Firefox

• Откройте Firefox
• В меню выберите Помощь >Информация для решения проблем.
• Кликните кнопку Сбросить Firefox.
• После того, как Firefox завершит, он покажет окно и создаст папку на рабочем столе. Нажмите Завершить.

Предупреждение: Так вы потеряте выши пароли! Рекомендуем использовать бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Spyhunter Remediation Tool.

Анализ семейства троянов Agent Tesla

Agent Tesla – это шпионское ПО, способное похищать личные данные из веб-браузеров, почтовых клиентов и FTP-серверов. Зловред также может собирать скриншоты, видео и захватывать данные из буфера обмена. Распространение зловреда производится через-спам рассылку с использованием социальной инженерии, злоумышленники уделяют большое внимание к деталям, снабжая свои письма реальными логотипами и легитимно выглядящими подписями. Чаще всего рассылку производят от имени-отправителя резидентов англоговорящих стран. Для большей убедительности, меняются имена компаний от которых ведется рассылка и текст, отличительной чертой, данной спам-рассылки от других, является то, что авторы рассылки уделили достаточно много внимания подготовке.

Рассуждая с позиции получателя, единственным и довольно заметным признаком того, что письмо отправлено от лица злоумышленника, является адрес отправителя, домен чаще всего не совпадает с названием фирмы, как и имя отправителя, не сильно похоже на имя в подписи, что чаще всего не характерно легитимным деловым письмам. В качестве наживок используются различные психологические уловки, как например запрос у сотрудников различных организаций цен на товары, перечисленные в архиве, или, например попытка узнать есть ли перечисленный товар в наличии.

Цель одна — заставить жертву открыть / запустить вредоносный макрос из документа, приложенного в архиве, и скачать полезную нагрузку с C2-сервера.

ОГЛАВЛЕНИЕ
• Анализ в системе Athena
  • 1.1. Статический анализ
  • 1.2 Динамический анализ
  • 2.1 Первичный осмотр
  • 2.2 Статический анализ и отладка

  Анализ в системе Athena

  1.1. Статический анализ

  

  Во внешнем аналитическом ресурсе «VitusTotal», в файле было обнаружено вредоносное содержимое несколькими антивирусными движками.

  

  Во вкладке «Индикаторы» сработал индикатор «Цифровая подпись: Несовпадение контрольной суммы PE файла».

  

  Во вкладке «Источники вердикта» строится графическая карта с источниками и их вердиктами, а также общим вердиктом по исследуемому файлу.

  

  1.2. Динамический анализ

  Динамический анализ в системе Афина, выявил множество индикаторов. Среди них, отмечается событие в виде добавление пути к копии вредоносного семпла в исключения Windows Defender, что само по себе является точным признаком вредоносной активности, ведь обычные программы не станут без разрешения пользователя, добавлять свой путь в исключения EDR.

  Вредоносное программное обеспечение считывает значения реестра для клиента удаленного подключения WinSCP, на что отреагировал индикатор «Исследование клиентов удаленного подключения». В том числе программа считала файл истории подключений FTP-клиента – FileZilla, об этом информирует индикатор «Кража пользовательских данных из файлов FTP-клиента». Дальше, ПО начало поиск конфигурационных файлов пользователя, из браузеров: Chrome, Comodo, Flock. Индикатор «Кража пользовательских данных из файлов почтового приложения» отреагировал на попытку ВПО считать информацию из реестра, хранящую в себе адрес электронной почты Outlook, и считало конфигурационные файлы почтового клиента Thunderbird.

  О том, что ПО пыталось исследовать сторонние клиенты удаленных подключений, а также браузеров свидетельствуют индикатор «Исследование файлов других приложений».

  В заключении, ПО сразу же добавило свою исполняемо копию в автозагрузки.

  

  Среди системных программ, выявленных в процессе динамического исследования, были выявлены такие как: powershell.exe, conhost.exe, schtasks.exe:

  

  В блоке «Дампы» видно, что ПО во время работы создало свою копию, создало лог и оставила в системе временные файлы. В том числе, были собраны дампы процессов приложения, один из который в статическом исследовании был помечен, как «Подозрительный».

  

  В лог файле содержится информация по версиям программного обеспечения, находящегося в окружении ОС.

  

  В статике, вредоносный вердикт, был вынесен за счет сигнатурного анализа с использованием антивирусов, внешнего аналитического ресурса VirusTotal, а также подозрительный вердикт вынесла «Система» из-за несоответствия вердиктов модели машинного обучения и антивирусных движков. Динамика установила вредоносный вердикт, за счет событий (кража пользовательских данных, управление Defender), и дампов файлов/процессов.

  
  

  Исследование файла

  2.1. Первичный осмотр

  Для удобства извлечения динамически генерируемых модулей, и других исполняемых PE, используется онлайн сервис www.unpac.me и analyze.intezer.com. На ресурсе www.unpac.me, в процессе динамической распаковки, удалось извлечь четыре PE, среди которых три DLL и один EXE, не считая собственной копии вредоноса, которую он помещает по пути C:\Users\ \AppData\Roaming\lluLbfyDcd.exe:

  

  Если прогнать через www.unpac.me файл bddff1ee-8667-474d-b470-167aea1af3de.exe мы сможем увидеть учетную запись от SMTP-сервера злоумышленника:

  

  На почтовом ящике, судя по частоте отправки некоторых писем, можно найти реальные данные злоумышленника:

  

  Так выглядят учётные данные на почтовом сервере злоумышленника, которые зловред отправляет ему, используя доступ к его почтовому ящику, из всех входящих сообщений 1/3 являются учетными данными присланные от вредоносного ПО для доступа к чужим учетным данным:

  

  Можно найти архивы с cookie-файлами от браузеров Firefox и Chrome которые зловред украла с другого компьютера:

  
  

  На analyze.intezer.com можно увидеть, куда вредоносное ПО делает запросы.

  

  2.2. Статический анализ и отладка

  В метаданных, можно увидеть оригинальное название файла как EEna.exe. Detect It Easy показывает, что вредоносное ПО разработано, с использованием платформы .NET на языке C#, является 32-х разрядной, весит относительно немного и обфусцированна/упакована неизвестным протектором:

  

  Среди ресурсов было найдено два изображения, PNG и BMP. Зловред их использует для распаковки подгружаемых DLL и EXE.

  

  При просмотре строк в исходнике, можно найти имя компьютера, возможно принадлежащего автору сборки данного вредоносного ПО — DESKTOP-G2JV1IG.

  

  Также была найдена строка, с использованием C#-класса Bitmap, используемая для работы с полученными изображениями, извлечения DLL и EXE.

  

  Открыв бинарный файл CLI вредоноса, видно, что в точке входа инициализируется объект класса AboutBox, и для него запускается цикл обработки сообщений приложения в текущем потоке.

  Отлаживая AboutBox1, наблюдается подозрительный цикл c инициализацией объекта Bitmap и массив «b» размером 26624 байта, сохранив дамп данного массива в “Dump_Malware1.txt” увидим, что на самом деле, данный набор байтов представляет из себя DLL с именем Aads.dll, написанную на C# с использованием .NET. Ниже можно увидеть, как вызывается метод InvokeMember с параметром Load, для динамической загрузки извлеченной DLL.

  

  Далее видно, что полученное изображение Aeeee.png тот же файл что мы экстрагировали первоначально, при помощи Detect It Easy (справа), оба изображения имеют одинаковый размер по 106712 байт.

  

  Опустившись чуть ниже, видно, что при помощи метода GetType инициализируется доступ к некоторому типу Aads.Sorts.HeapSort:

  

  В метод «Heapsort» класса «Aads.Sorts» передается несколько аргументов, среди которых массив с именем array с тремя другими массивами строк, это видно на строке с выполнением CreateInstance:

  

  Перейдя на отладку Aads.dll можно заметить, что в самом начале выполняется метод Dodge в который как раз и передаются три аргумента, в нем же видно, как выполняется sleep на 34.6 секунд, после чего происходит распаковка и загрузка ReactionDiffusion и инициализация типа ReactionVessel, итоговым результатом данных действий, является распакованный динамический модуль Tyrone.dll, код которого сохраняется в динамическом 8-ми битном массиве array:

  

  В методе LowestBreakIteration, видно, что подгружаются данные из секции ресурсов Interface.Properties.Resources.

  
  

  Так в декомпиляторе dnSpy выглядит изображение, из которого будет извлечен динамический модуль Tyrone.dll:

  
  

  Извлеченные бинарные данные являются очередной динамической 32-х разрядной библиотекой, в метаданных видно, что авторские права пренадлежат некой компании Zephyr LTD, что скорее всего является дезинформацией, оригинальное имя библиотеки отображается как Tyrone.dll:

  
  

  Далее поток выполняет код из библиотеки Aads.dll:

  

  Инициализируется объект типа Assembly, с передачей параметров из-за обфускации кода, объект, принадлежит Tyrone.dll:

  

  Метод #co принимает объект #E, на основе класса Assembly, для загрузки динамического кода, и доступа к необходимому типу:

  

  Здесь можно увидеть обфусцированный код, непонятные названия методов, специально усложняющих процесс анализа, но мы продолжим отладку, перейдем в класс sPD5DWZ6OayElkPNA8:

  

  Далее определяется указатель на метод 77pv5SbRQ и переход в область этой функции::

  
  

  Далее в папку Appdata/Roaming загружается тот же вредоносный .exe:

  

  В метаданных, оригинальное имя файла lluLbfyDcd.exe отображается как EEna.exe. В процессе отладки попадаем в метод, который загружает обфусцированный xml-документ:

  

  Далее инициализируется ряд параметров для создания задачи в планировщике задач, вредоносного процесса lluLbfyDcd.exe, путь до исполняемого PE прописывается в .

  AllowStartOnDemand – указывает что задачу можно запустить с помощью команды Выполнить или контекстного меню.

  Enabled — указывает, что задача включена. Задача может быть выполнена только в том случае, если этот параметр имеет значение «True».

  Hidden — указывает, что задача не будет отображаться в пользовательском интерфейсе по умолчанию.

  RunOnlyIfIdle — указывает, что задача выполняется только в том случае, если компьютер находится в состоянии простоя.

  WakeToRun — указывает, что планировщик задач разбудит компьютер при выполнении задачи.

  ExecutionTimeLimit — количество времени, затраченное на выполнение задачи (в моем случае PT0S, что означает ноль секунд, т.е. сразу).

  Priority — указывает уровень приоритета для задачи.

  Также видно, как создается tmpE2EC.tmp в папку Local\Temp, для записи в неё данных, в виде пути к расположению файла tmpE2EC.tmp и xml-данные пользователя c параметрами для запуска lluLbfyDcd.exe:

  

  Происходит формирование командной строки для вызова утилиты schtasks.exe с передачей аргументов:

  

  Команда целиком выглядит следующим образом:

  

  При помощи schtasks создается планирование новой задачи с передачей имени задачи и путь до xml-данных. После инициализации объекта с информацией для запуска задачи, происходит её запуск, с передачей аргумента Process.WindowStyle.Hidden указывая на то, что процесс нужно запустить со скрытым окном:

  

  В планировщике задач, в Updates, видно новую задачу lluLbfyDcd готовую к запуску:

  

  Создается экземпляр процесса lluLbfyDcd и удаляет tmpE2EC.tmp c XML-данными для запуска процесса:

  

  Далее выполняются обфусцированные методы, и возвращается массив размером 172 032 байта (165 Кб на диске):

  

  Данный массив представляет собой бинарный файл CLI-PE, он же bddff1ee-8667-474d-b470-167aea1af3de.exe, полученный в самом начале на веб-ресурсе www.unpack.me:

  

  Извлекается хеш-таблица пространства имен для работы с HTTP-запросами:

  

  Данные массива деобфусцируются в бинарный PE-файл, с использованием ключа stoiqWvsa, который хранится в массиве array:

  

  Дамп массива, открытый в Detect It Easy, показывает, что он является исполняемым PE созданным при помощи .NET и C#:

  

  Далее вызывается метод GetRuntimeDirectory и возвращается директория в которой установлен CLR, после чего считываются данные из GetRuntimeDirectory() + Config\machine.config:

  

  Рассмотрим работу бинарного файл CLI c оригинальным именем bddff1ee-8667-474d-b470-167aea1af3de.exe, выполняющего функции передачи данных пользователя. В процессе отладки, видно, как вредоносное ПО извлекает системную информацию:

  

  Для GET-запроса по HTTP на api.ipify.org используется класс HttpWebRequest:

  

  Делается это для того, чтобы определить ip-адрес зараженной машины в глобальной сети. Среди сформированных полей HTTP-заголовка, можно найти такие значения как: время ожидания (timeout) в миллисекундах, поле if-modified-since, тип запроса (GET), юзерагент (UserAgent), длину контента и ряд других полей, сформированных для осуществления HTTP-запроса на этот домен:

  

  Чтобы в процессе отслеживать то, как будет вести себя зловред, самостоятельно был изменен возвращаемый ответ от inetsim, в итоге зловред получает подменный ip-адрес (100.100.100.100).

  

  Создается таймер для повтора отправки запроса:

  

  Далее видно как формируется интервал для запросов длительностью каждые двадцать минут:

  

  Используется вызов Clipboard.GetText для копирования содержимого из буфера обмена. Ниже демонстрируется текст, который был самостоятельно специально скопирован в буфер обмена, и вызов данной функции:

  

  Обрабатывает символы для отправки содержимого в html:

  

  Далее формируется список дерикторий для проверки 29-ти источников на компьютере жертвы:

  
  

  С помощью ПО Wireshark видно как осуществляются DNS запросы на api.ipify.org и checkappexec.microsoft.com:

  

  С помощью ПО Wireshark видно как осуществляются DNS запросы на api.ipify.org и checkappexec.microsoft.com:

  Как удалить Trojan:Win32/AgentTesla!ml навсегда?

  У меня на пк появился очень хитрый вирус, который просто так не удалишь. Пробовал удалить вирус вручную, но после перезагрузки он сам заново скачивался. Обычно обитает в C:\ProgramData\Steam\SteamUpdate.7z

  Голосование за лучший ответ
  gg твоим паролям
  Откати систему на контрольную точку восстановления, на дату когда вируса не было
  антивирусный загрузочный диск нужен для этого

  Посмотри //iaisite.ru/publ/moj_kompjuter/chto_delat_esli_antivirusnaja_programma_ne_mozhet_udalit_virus/7-1-0-61
  Можешь воспользоваться аналогичной программой рт Касперского. Тоже бесплатная.

  брат а ты камким читом пользовался. случайно не Divine.
  L1sticПрофи (509) 2 года назад
  elstПрофи (642) 8 месяцев назад
  Вы решили эту проблему?? Я сама недавно столкнулась с этой занозой.
  elstПрофи (642) 8 месяцев назад

  Я уж и не помню)))) Вам нужно сделать полное сканирование компьютера с помощью антивируса, и в программе антивируса должен быть путь на этот вирус. Просто переходите по папкам и удаляете. Если не получится, то надо жесткий диск форматировать.

  elstПрофи (642) 8 месяцев назад
  А, блин он ведь сам скачивался.
  elstПрофи (642) 8 месяцев назад
  Короче не помню)

  Delfie Ученик (152) elst, блин, я 5 день уже пытаюсь его удалить, вчера делала полную переустановку винды и на пк и на ноуте (вирус передался на ноут через роутер) через загрузочную флешку (может быть, мне подменили домен, когда я загружала файлы для установочной флешки?) А вся эта каша произошла из за меня, я захотела поиграть в игру детства 2009 года, нашла ролик на ютубе с этой игрой и с закрепленной ссылкой, ведущей в облако с самим трояном. Делала сброс настроек роутера, прошивку не делала. После переустановки винды такое ощущение вирус не исчез, вероятно сидит в роутере. Не знаю что и делать то. Весь день вчера провозилась с этими компами, переустанавливала винду заново раза 3. Морально устала от всего этого

  DelfieУченик (152) 8 месяцев назад

  У друга есть знакомый, который знает этот вирус, говорит это старый, но довольно усовершенствованный вирус, рассылает по почте письма всем, кому я когда либо писала по типу «помоги мне..». В общем жесть полная

  Читать:

  Xiaomi redmi note 7 как поменять аккумулятор