Помогите, пожалуйста, добить майнер

[JohnJohnson 0]

Привет! Подхватил майнер, уже знаю откуда, больше не подхвачу. Прогнал через dr web cureit, он несколько файлов нашёл и удалил, но майнер остался. Потом пошёл через AutoLogger, там в планировщке 3 файла вредоносного скрипта в powershell. Я сделал скрипт для удаления, ввёл его в АВЗ, ребутнул компьютер. Потом снова прогнал через AutoLogger, там эти файлы всё равно остались. Видимо, что-то ещё нужно добавить в скрипт. Тут я уже не компетентен(

Заранее большое спасибо!

CollectionLog-2022.06.25-23.31.zip

Изменено 25 июня, 2022 пользователем JohnJohnson

[thyrex 1 473]

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DeleteSchedulerTask('Microsoft\Windows\WDI\WDI');
 DeleteSchedulerTask('Microsoft\Windows\MUI\782190135');
 DeleteSchedulerTask('Microsoft\Windows\MUI\2060180645');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[JohnJohnson 0]

Да, вот теперь файлы пропали из автозапуска, спасибо огромное!

Если Вам не лень, то не могли бы кратко и гуманитарно объяснить, в чём было дело и почему удалять можно именно так?

CollectionLog-2022.06.26-00.21.zip

[thyrex 1 473]

Откуда же мне знать, что за скрипт Вы писали до обращения на форум

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[JohnJohnson 0]

arch.rar

[thyrex 1 473]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
Task: {0009D9D7-BA77-4A41-9428-F0B156808FAE} - System32\Tasks\Opera scheduled Autoupdate 1602688457 => C:\Users\Boar\AppData\Local\Programs\Opera\launcher.exe --scheduledautoupdate $(Arg0) (Нет файла)
Task: {1602ED16-E785-4981-9DB1-05B2D394563E} - System32\Tasks\Opera scheduled Autoupdate 1601740775 => C:\Users\Boar\AppData\Local\Programs\Opera\launcher.exe --scheduledautoupdate $(Arg0) (Нет файла)
Edge Extension: (Нет имени) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [не найдено]
Edge Extension: (Нет имени) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [не найдено]
Edge Extension: (Нет имени) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [не найдено]
Edge Extension: (Нет имени) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [не найдено]
FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\autoconfig.js [2018-09-19] <==== ВНИМАНИЕ (Указывает на *.cfg файл)
FF ExtraCheck: C:\Program Files\mozilla firefox\cck2.cfg [2018-09-19] <==== ВНИМАНИЕ
AlternateDataStreams: C:\Users\Boar\Application Data:bc6be3eabffaddc099151eee7bdd94ee [394]
AlternateDataStreams: C:\Users\Boar\AppData\Roaming:bc6be3eabffaddc099151eee7bdd94ee [394]
AlternateDataStreams: C:\Users\Boar\AppData\Local\Temp:$DATA [16]
FirewallRules: [{BBA559E2-FDFA-4C8C-8D31-3C6A9CB27485}] => (Allow) C:\Users\Boar\AppData\Local\Programs\Opera\64.0.3417.73\opera.exe => Нет файла
FirewallRules: [{E7A7EA9D-5527-4A4C-9A0C-904AEB959120}] => (Allow) C:\Users\Boar\AppData\Local\Programs\Opera\70.0.3728.178\opera.exe => Нет файла
FirewallRules: [{5EC1E58D-174B-4AAD-8082-EB5A72BD3F18}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => Нет файла
FirewallRules: [{3FE2E3EB-668D-4327-95E5-CF495380ACD6}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7\steamwebhelper.exe => Нет файла
FirewallRules: [TCP Query User{274B7618-9B9F-4001-87E8-C832C1F0480E}E:\divinity original sin 2 definitive edition\bin\eocapp.exe] => (Allow) E:\divinity original sin 2 definitive edition\bin\eocapp.exe => Нет файла
FirewallRules: [UDP Query User{FC906A3A-8E95-4A2A-9B95-E48848FE12C5}E:\divinity original sin 2 definitive edition\bin\eocapp.exe] => (Allow) E:\divinity original sin 2 definitive edition\bin\eocapp.exe => Нет файла
FirewallRules: [TCP Query User{2339ED71-B8A4-4E84-B126-57BB3DBB13E3}E:\wasteland 3\wl3.exe] => (Allow) E:\wasteland 3\wl3.exe => Нет файла
FirewallRules: [UDP Query User{1D6CD26A-DD2F-4826-82F0-33F35FA8AF36}E:\wasteland 3\wl3.exe] => (Allow) E:\wasteland 3\wl3.exe => Нет файла
FirewallRules: [TCP Query User{22E13DCD-0EA4-4970-8268-A351A1A687F4}E:\steam\steamapps\common\grand theft auto v\gta5.exe] => (Allow) E:\steam\steamapps\common\grand theft auto v\gta5.exe => Нет файла
FirewallRules: [UDP Query User{B9D9533A-BB53-42F3-B4D6-835E0F48E076}E:\steam\steamapps\common\grand theft auto v\gta5.exe] => (Allow) E:\steam\steamapps\common\grand theft auto v\gta5.exe => Нет файла
FirewallRules: [TCP Query User{B616D375-FB59-4A57-9705-8564765E1D82}E:\total war - warhammer ii\warhammer2.exe] => (Allow) E:\total war - warhammer ii\warhammer2.exe => Нет файла
FirewallRules: [UDP Query User{E57310ED-C5CB-4257-8AE6-4B2B42B4817B}E:\total war - warhammer ii\warhammer2.exe] => (Allow) E:\total war - warhammer ii\warhammer2.exe => Нет файла
FirewallRules: [TCP Query User{D0F59028-8098-4910-A919-997B314C6666}E:\photoshop 2020\ps2102w10\photoshop\local\stubexe\0xbc2cb868fac6ae30\chrome.exe] => (Block) E:\photoshop 2020\ps2102w10\photoshop\local\stubexe\0xbc2cb868fac6ae30\chrome.exe => Нет файла
FirewallRules: [UDP Query User{A7DBD466-C218-464A-90A7-69715AA99E83}E:\photoshop 2020\ps2102w10\photoshop\local\stubexe\0xbc2cb868fac6ae30\chrome.exe] => (Block) E:\photoshop 2020\ps2102w10\photoshop\local\stubexe\0xbc2cb868fac6ae30\chrome.exe => Нет файла
FirewallRules: [TCP Query User{CFD60C85-F3DF-4426-9E8A-440EF437DA88}E:\world_of_tanks_ru\win64\worldoftanks.exe] => (Allow) E:\world_of_tanks_ru\win64\worldoftanks.exe => Нет файла
FirewallRules: [UDP Query User{0288A925-9DE0-4D46-B951-3413C1E14204}E:\world_of_tanks_ru\win64\worldoftanks.exe] => (Allow) E:\world_of_tanks_ru\win64\worldoftanks.exe => Нет файла
FirewallRules: [TCP Query User{986FC6A1-B900-4E5C-97FA-891B8E626D11}E:\xampp\apache\bin\httpd.exe] => (Allow) E:\xampp\apache\bin\httpd.exe => Нет файла
FirewallRules: [UDP Query User{212AFE64-86EF-47E1-9242-CE89146A4979}E:\xampp\apache\bin\httpd.exe] => (Allow) E:\xampp\apache\bin\httpd.exe => Нет файла
FirewallRules: [TCP Query User{BDD40184-A65B-4AB4-8A17-F991A3C10442}E:\doom\doomx64.exe] => (Allow) E:\doom\doomx64.exe => Нет файла
FirewallRules: [UDP Query User{4B99DCB6-8059-4D00-856F-8E293CE89CA6}E:\doom\doomx64.exe] => (Allow) E:\doom\doomx64.exe => Нет файла
FirewallRules: [TCP Query User{F4EB2642-9E7C-4011-B5A3-5ED0E152BCCC}E:\hearthstone\hearthstone.exe] => (Allow) E:\hearthstone\hearthstone.exe => Нет файла
FirewallRules: [UDP Query User{0D2D19D2-BA92-4059-8F09-8A3711456E60}E:\hearthstone\hearthstone.exe] => (Allow) E:\hearthstone\hearthstone.exe => Нет файла
FirewallRules: [TCP Query User{91FFD359-03E0-4841-8F31-6991FB90D8DB}E:\overwatch\_retail_\overwatch.exe] => (Allow) E:\overwatch\_retail_\overwatch.exe => Нет файла
FirewallRules: [UDP Query User{BA215043-D6E2-4C86-8C12-D4432177EB28}E:\overwatch\_retail_\overwatch.exe] => (Allow) E:\overwatch\_retail_\overwatch.exe => Нет файла
FirewallRules: [{47C1CC11-0162-47A1-A12D-AB904DCCA3F4}] => (Allow) E:\Steam\steamapps\common\EvolveGame\bin64_SteamRetail\Evolve.exe => Нет файла
FirewallRules: [{A8943010-7B9B-46EF-B711-69C67FAD3912}] => (Allow) E:\Steam\steamapps\common\EvolveGame\bin64_SteamRetail\Evolve.exe => Нет файла
FirewallRules: [TCP Query User{9882966A-F9B0-40E8-883F-D89541B0D3BF}C:\users\boar\appdata\roaming\101xp game center\launcher101xp.exe] => (Allow) C:\users\boar\appdata\roaming\101xp game center\launcher101xp.exe => Нет файла
FirewallRules: [UDP Query User{1C7071AF-D242-4B28-B398-35761A47F123}C:\users\boar\appdata\roaming\101xp game center\launcher101xp.exe] => (Allow) C:\users\boar\appdata\roaming\101xp game center\launcher101xp.exe => Нет файла
FirewallRules: [{76E54CA6-9DEC-48C9-9B6E-29347F913B31}] => (Allow) E:\Steam\steamapps\common\Warframe\Tools\Launcher.exe => Нет файла
FirewallRules: [{ECCB8BAB-38AE-4E8D-993A-96C47A7B4E1D}] => (Allow) E:\Steam\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{48FB50EB-0DE9-4FA5-B53B-560D60AD3F76}] => (Allow) E:\Steam\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{BFED8084-3750-4EAD-A2A1-58D731100E85}] => (Allow) E:\Steam\steamapps\common\Warframe\Tools\RemoteCrashSender.exe => Нет файла
FirewallRules: [{D6DBED92-5892-47AE-AE41-37B1464B37AF}] => (Allow) E:\Steam\steamapps\common\Warframe\Tools\Launcher.exe => Нет файла
FirewallRules: [{6307AF03-97F6-4050-AF2B-D3D1A6931975}] => (Allow) E:\Steam\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{A71BA07E-2F8B-47C2-881B-799483D352C0}] => (Allow) E:\Steam\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{C58A85E1-A8FD-41D9-BFED-80F49C55A106}] => (Allow) E:\Steam\steamapps\common\Warframe\Tools\RemoteCrashSender.exe => Нет файла
FirewallRules: [TCP Query User{1D12673B-586A-4AD3-BBC0-562E8A9B84D4}E:\101xp game center\launcher101xp.exe] => (Allow) E:\101xp game center\launcher101xp.exe => Нет файла
FirewallRules: [UDP Query User{82F72968-6D90-4686-8DE1-465508CE7C3D}E:\101xp game center\launcher101xp.exe] => (Allow) E:\101xp game center\launcher101xp.exe => Нет файла
FirewallRules: [TCP Query User{047634CD-929F-4D5E-90A4-5F11F37C6A4D}E:\dying light steam-rip [=nemos=]\dying light\dyinglightgame.exe] => (Allow) E:\dying light steam-rip [=nemos=]\dying light\dyinglightgame.exe => Нет файла
FirewallRules: [UDP Query User{D7259B80-77F6-433F-8D30-9AB25DC1F13F}E:\dying light steam-rip [=nemos=]\dying light\dyinglightgame.exe] => (Allow) E:\dying light steam-rip [=nemos=]\dying light\dyinglightgame.exe => Нет файла
FirewallRules: [TCP Query User{0414A76C-86EB-4223-9388-050FAD2ECB6C}E:\total war - warhammer 2\warhammer2.exe] => (Allow) E:\total war - warhammer 2\warhammer2.exe => Нет файла
FirewallRules: [UDP Query User{042984B7-B814-4EAB-8B64-DD396BAB8177}E:\total war - warhammer 2\warhammer2.exe] => (Allow) E:\total war - warhammer 2\warhammer2.exe => Нет файла
FirewallRules: [TCP Query User{425FB530-E91B-4C9D-877D-1A018B985F03}E:\ubisoft game launcher\games\forhonor\forhonor.exe] => (Allow) E:\ubisoft game launcher\games\forhonor\forhonor.exe => Нет файла
FirewallRules: [UDP Query User{EFA7B4F8-8FFC-4E54-8ECB-2D5F23E9D8EF}E:\ubisoft game launcher\games\forhonor\forhonor.exe] => (Allow) E:\ubisoft game launcher\games\forhonor\forhonor.exe => Нет файла
FirewallRules: [TCP Query User{0BE45876-3AEE-4C0C-89AC-86DBD703BCFF}E:\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) E:\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
FirewallRules: [UDP Query User{0CA23928-CCB4-4989-B6E8-C083BDE012B9}E:\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) E:\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
FirewallRules: [TCP Query User{E58DC91D-0DCC-42E3-A308-B6CC94A151BE}E:\the last spell v0.91.11\the last spell.exe] => (Allow) E:\the last spell v0.91.11\the last spell.exe => Нет файла
FirewallRules: [UDP Query User{08049896-953A-41F1-9A46-E644CED67A0A}E:\the last spell v0.91.11\the last spell.exe] => (Allow) E:\the last spell v0.91.11\the last spell.exe => Нет файла
FirewallRules: [TCP Query User{445A3029-03D1-4C9D-AE51-14A95E37CF64}E:\stellaris\stellaris.exe] => (Allow) E:\stellaris\stellaris.exe => Нет файла
FirewallRules: [UDP Query User{50D4D2E0-9066-4876-80F9-8A89679C2257}E:\stellaris\stellaris.exe] => (Allow) E:\stellaris\stellaris.exe => Нет файла
FirewallRules: [TCP Query User{413AF627-224E-4D0B-A0FE-D359E58EB921}E:\steam\steamapps\common\battlefield 1\bf1.exe] => (Allow) E:\steam\steamapps\common\battlefield 1\bf1.exe => Нет файла
FirewallRules: [UDP Query User{121C4181-D1B1-4DC8-8C80-9A86E64D71CE}E:\steam\steamapps\common\battlefield 1\bf1.exe] => (Allow) E:\steam\steamapps\common\battlefield 1\bf1.exe => Нет файла
FirewallRules: [TCP Query User{087B2234-CD93-4D57-9B6C-E72990296DD9}E:\steam\steamapps\common\destiny 2\destiny2.exe] => (Allow) E:\steam\steamapps\common\destiny 2\destiny2.exe => Нет файла
FirewallRules: [UDP Query User{87C4EE11-200F-4444-A5FD-14B9C7B7E76B}E:\steam\steamapps\common\destiny 2\destiny2.exe] => (Allow) E:\steam\steamapps\common\destiny 2\destiny2.exe => Нет файла
FirewallRules: [{717557C9-F6AE-4C84-BAE7-8CE506B1A829}] => (Allow) C:\Users\Boar\AppData\Local\Programs\Opera\79.0.4143.50\opera.exe => Нет файла
FirewallRules: [{2E22C50D-D051-445E-BD96-111DC7C6F65A}] => (Allow) C:\Users\Boar\AppData\Local\Programs\Opera\79.0.4143.72\opera.exe => Нет файла
FirewallRules: [TCP Query User{CA17F1C5-E649-43D0-9C95-D58939F0382F}E:\forza horizon 5\forzahorizon5.exe] => (Allow) E:\forza horizon 5\forzahorizon5.exe => Нет файла
FirewallRules: [UDP Query User{83F8531C-3B45-4B4C-9C9D-8EA9326C10A2}E:\forza horizon 5\forzahorizon5.exe] => (Allow) E:\forza horizon 5\forzahorizon5.exe => Нет файла
FirewallRules: [TCP Query User{C670EB1F-C7CE-441B-BBCB-87050C78AAAF}C:\users\boar\appdata\local\discord\app-1.0.9004\discord.exe] => (Allow) C:\users\boar\appdata\local\discord\app-1.0.9004\discord.exe => Нет файла
FirewallRules: [UDP Query User{91289D18-1C63-48CB-BD92-CCF61E3F9EE4}C:\users\boar\appdata\local\discord\app-1.0.9004\discord.exe] => (Allow) C:\users\boar\appdata\local\discord\app-1.0.9004\discord.exe => Нет файла
FirewallRules: [{BA725514-CABE-4BE1-AF21-5A97FD8715BA}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{CD69D137-9EAE-4F97-95A7-BE473DE403CE}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
FirewallRules: [TCP Query User{9F2FA10D-04A9-469F-B57E-B82C5F0DE782}E:\vampire survivors v0.5.0f\vampiresurvivors.exe] => (Allow) E:\vampire survivors v0.5.0f\vampiresurvivors.exe => Нет файла
FirewallRules: [UDP Query User{B7760E54-B262-4FD1-9AF7-BAAF35EA0C5B}E:\vampire survivors v0.5.0f\vampiresurvivors.exe] => (Allow) E:\vampire survivors v0.5.0f\vampiresurvivors.exe => Нет файла
FirewallRules: [TCP Query User{EDA6D8FA-548A-40CF-A3BF-8BCA47F98063}E:\the binding of isaac rebirth\isaac-ng.exe] => (Block) E:\the binding of isaac rebirth\isaac-ng.exe => Нет файла
FirewallRules: [UDP Query User{35F15A6A-C513-4419-BDBF-F25C251B9ED6}E:\the binding of isaac rebirth\isaac-ng.exe] => (Block) E:\the binding of isaac rebirth\isaac-ng.exe => Нет файла
FirewallRules: [{9EE15014-1A35-4D9B-898C-F6AB8E537CD6}] => (Allow) C:\ProgramData\Windows\Profile\dllhostn.exe => Нет файла
FirewallRules: [{E7853A38-28E2-40E7-A93D-24669A857D63}] => (Allow) C:\ProgramData\Windows\Profile\wasp.exe => Нет файла
FirewallRules: [{D4DF1A40-11A4-4188-BFB2-7199F5D7A0DC}] => (Allow) C:\ProgramData\Windows\Profile\waspwing.exe => Нет файла
C:\ProgramData\Windows\Profile
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

• Обратите внимание: будет выполнена перезагрузка компьютера.