[РЕШЕНО] Подозрение на вирусы

[SorcerOK]

Подозрение на вирусы, четыре папки, которые не получается удалить\зайти в них, хотя я под администратором. Скрин прикрепляю (папки выделил)

CollectionLog-2022.10.21-08.50.zip

[Sandor]

Здравствуйте!

 

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.
В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

[SorcerOK]

Прикрепляю

CollectionLog-2022.10.21-09.24.zip AV_block_remove_2022.10.21-09.18.log

[Sandor]

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O22 - Tasks_Migrated: Adobe Flash Player NPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_387_Plugin.exe -check plugin (file missing)
O22 - Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_387_pepper.exe -check pepperplugin (file missing)
O22 - Tasks_Migrated: Adobe Flash Player Updater - C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (file missing)
O22 - Tasks_Migrated: Repairing Yandex Browser update service - C:\Program Files (x86)\Yandex\YandexBrowser\19.6.3.185\service_update.exe --repair (file missing)
O22 - Tasks_Migrated: System update for Yandex Browser - C:\Program Files (x86)\Yandex\YandexBrowser\19.6.3.185\service_update.exe --run-as-launcher (file missing)
O22 - Tasks_Migrated: Системное обновление Браузера Яндекс - C:\Program Files (x86)\Yandex\YandexBrowser\20.6.0.905\service_update.exe --run-as-launcher (file missing)
O23 - Service S2: Malwarebytes Installer Service - (MBAMInstallerService) - B:\Program Files\Malwarebytes\Anti-Malware\MBAMInstallerService.exe (file missing)

Перезагрузите компьютер.

 

Версия Хрома очень устаревшая. Специально не обновляете?

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[SorcerOK]

Версия последняя пишет в хроме. Обновление - авто было, ничего не выключал. Кстати, те папки что на скрине в первом сообщение видимо автоматически удалены были при сканировании одной из утилит.
Из заметного - перезагрузка шустрее стала

Addition.txt FRST.txt

Изменено 21 октября, 2022 пользователем SorcerOK

[Sandor]

Хорошо, значит утилита неверно определила номер версии.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-761535804-2969590917-2823949084-1001\...\MountPoints2: {fa67c609-63d7-11eb-8c3c-0862664b7204} - "F:\ADE_Win.exe" 
  cmd: del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
  cmd: del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\*.*"
  cmd: del /s /q "%userprofile%\AppData\Local\Opera Software\Opera Stable\Cache\Cache_Data\*.*"
  cmd: DISM.exe /Online /Cleanup-image /Restorehealth
  cmd: sfc /scannow
  cmd: winmgmt /salvagerepository
  cmd: winmgmt /verifyrepository
  cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
  cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
  cmd: "%WINDIR%\SYSTEM32\lodctr.exe" /R
  cmd: "%WINDIR%\SysWOW64\lodctr.exe" /R
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[SorcerOK]

Прикрепляю.

Fixlog.txt

[Sandor]

Что-то ещё из подозрений осталось?

[SorcerOK]

Вроде нет. Спасибо.
Есть мысли что это было?

[Sandor]

Это были хвосты "популярного" сейчас майнера, блокирующего доступ к антивирусным утилитам.

 

В завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[SorcerOK]

Прикрепляю.

SecurityCheck.txt

[Sandor]

------------------------------- [ Windows ] -------------------------------
User Account Control enabled
The elevation prompt for administrators disabled
^It is recommended to enable (default): Win+R typing UserAccountControlSettings and Enter^
--------------------------- [ OtherUtilities ] ----------------------------
Git v.2.34.1 Warning! Download Update
TeamViewer v.15.28.5 Warning! Download Update
Node.js v.12.16.1 Warning! Download Update
Python 2.7.17 (64-bit) v.2.7.17150 Warning! Download Update
Notepad++ (32-bit x86) v.8.4.4 Warning! Download Update
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.20 (64-разрядная) v.5.20.0 Warning! Download Update
-------------------------- [ IMAndCollaborate ] ---------------------------
Viber v.17.8.1.2 Warning! Download Update
Skype, версия 8.71 v.8.71 Warning! Download Update
---------------------------- [ ProxyAndVPNs ] -----------------------------
OpenVPN 2.4.8-I602-Win10  v.2.4.8-I602-Win10 Warning! Download Update
--------------------------------- [ P2P ] ---------------------------------
uTorrent Web v.1.2.9 Warning! Ad-supported P2P-client.
-------------------------------- [ Java ] ---------------------------------
Java SE Development Kit 8 Update 191 (64-bit) v.8.0.1910.12 Warning! This software is no longer supported. Please uninstall it and use Java SE Development Kit (jdk-18_windows-x64_bin.exe).
-------------------------------- [ Media ] --------------------------------
K-Lite Codec Pack 11.7.0 Full v.11.7.0 Warning! Download Update
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox (x64 ru) v.100.0 Warning! Download Update
Yandex v.22.9.3.888 Warning! Download Update
 

По возможности исправьте перечисленное.

 

Читайте Рекомендации после удаления вредоносного ПО

[SorcerOK]

Спасибо за помощь!

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".