[РЕШЕНО] Поймал майнер tool.btcmine.2711. Не могу создать архив с логами используя Autologger

[Zvex88]

Всех приветствую. При попытке скачать игру через торрент словил себе майнер, который нагружает мне проц, при попытках его выловить через диспетчер задач он исчезает, при этом пакостит пытаясь закрывать оперу на разных сайтах по лечению вирусов, включая этот. Полечил CureIT'ом, но при перезапуске системы он снова появляется. Сейчас увидев данный раздел хочу попросить помощи, но почитав раздел "порядок оформления запроса о помощи", скачав Autologger и вроде бы сделав всё по инструкции - архив с логами не создаётся. Скачал автологгер, антивирус был Dr.Web, удалил его через "удаление программ", отключил брандмауэр, запускаю от имени администратора, открывается стандартное окно автологгера с предупреждением об выгрузке всех антивирусов и т.д, потом открываются Internet Explorer и Opera GX и автологгер тут же закрывается, никаких файлов с логами не создаётся. Сделал вот этот скрипт

Спойлер

Q: Во время работы AutoLogger вылезла ошибка, он прервал свою работу не отработав до конца. Что мне делать?
A: Для того чтобы помочь разобраться из-за чего это произошло
Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

который создал мне архив autologgerreport, файл прикрепил  Вопрос - что я в данной ситуации делаю неправильно и как сделать так чтобы всё заработало?
Система Windows 10 x64

AutoLoggerReport.7z

Изменено 5 апреля, 2023 пользователем Zvex88

[Zvex88]

CollectionLog-2023.04.05-12.51.zipСоздал логи в безопасном режиме

 

По аналогии с другими похожими темами с майнерами на этом форуме скачал AV block remover, запустил в безопасном режиме с поддержкой сети. Вроде почистилось, некий John удалился. Докинул повторные логи после всего сделанного

AV_block_remove_2023.04.05-13.32.log CollectionLog-2023.04.05-13.40.zip

[Sandor]

Здравствуйте!

 

Хорошо, что догадались самостоятельно

 

Дочистим кое-что.

 

1. 

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:
 

Цитата

Adobe Flash Player 32 PPAPI

 

2. 

Файл CheckBrowserLnk.log
 из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 

 

3.

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O22 - Tasks: \Microsoft\Windows\WindowsBackup\OnlogonCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\RealtekCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\TaskCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\WinlogonCheck - C:\Programdata\ReaItekHD\taskhost.exe (file missing)
O22 - Tasks: \System\SystemCheck - C:\Users\Aleksandr\AppData\Roaming\Microsoft\Windows\Helper.exe -SystemCheck (file missing)
O22 - Tasks: Adobe Flash Player PPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_465_pepper.exe -check pepperplugin
O22 - Tasks: Adobe Flash Player Updater - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe
O22 - Tasks_Migrated: \AVG\Overseer - C:\Program Files\Common Files\AVG\Overseer\overseer.exe /from_scheduler:1 (file missing)
O22 - Tasks_Migrated: Adobe Flash Player PPAPI Notifier - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashUtil32_32_0_0_433_pepper.exe -check pepperplugin (file missing)
O22 - Tasks_Migrated: Adobe Flash Player Updater - C:\WINDOWS\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe

 

Перезагрузите компьютер.

 

4.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Zvex88]

Сделано

ClearLNK-2023.04.05_15.23.38.log Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  bl (HKLM-x32\...\{2A075BB4-E976-4278-BF3F-E5C6945D84C0}) (Version: 1.0.0 - Your Company Name) Hidden
  Google Update Helper (HKLM-x32\...\{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}) (Version: 1.3.99.0 - Google Inc.) Hidden
  ph (HKLM-x32\...\{185F9795-9663-4F13-9EF9-307A282ADB5A}) (Version: 1.0.0 - Your Company Name) Hidden
  AlternateDataStreams: C:\Users\Aleksandr\Application Data:671890e017d8a4fb26004192461213ff [394]
  AlternateDataStreams: C:\Users\Aleksandr\AppData\Roaming:671890e017d8a4fb26004192461213ff [394]
  AlternateDataStreams: C:\Users\Aleksandr\AppData\Local\Microsoft:ISBD1 [33]
  AlternateDataStreams: C:\Users\Aleksandr\AppData\Local\Microsoft:ISBD2 [33]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [8856]
  FirewallRules: [{338082A5-840F-4AB8-AB65-DFE11FC4D258}] => (Allow) LPort=11000
  FirewallRules: [{8CB8732A-B40E-4C7F-9486-B3B597C92BA8}] => (Allow) LPort=11000
  FirewallRules: [{2BD2835E-4A95-4155-B413-7A23E522426A}] => (Allow) C:\Users\Aleksandr\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
  FirewallRules: [{529D0E18-E229-4F94-9A76-69B93A58EC5F}] => (Allow) C:\Users\Aleksandr\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
  FirewallRules: [{23254D91-F172-4005-AD99-7A0EB0513E20}] => (Allow) LPort=25565
  FirewallRules: [{03288A0F-A241-4441-ACA9-20E7F46EADC7}] => (Allow) LPort=25565
  FirewallRules: [{D65463F3-E8AC-43A6-97E7-2611858ECD83}] => (Allow) LPort=4995
  FirewallRules: [{75B31476-2C25-4B66-9936-AC59B672797A}] => (Allow) LPort=4995
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

В перечне установленных программ появятся скрытые ранее:

Цитата

 

bl

Google Update Helper

ph

 

Удалите их.

[Zvex88]

Сделано

Fixlog.txt

[Sandor]

Хорошо. Если проблема решена, в завершение:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Zvex88]

SecurityCheck.txt

[Sandor]

Примите к сведению и по возможности исправьте:

 

------------------------------- [ Windows ] -------------------------------
Контроль учётных записей пользователя отключен (Уровень 1)
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
--------------------------- [ OtherUtilities ] ----------------------------
Notepad++ (64-bit x64) v.8.3 Внимание! Скачать обновления
NVIDIA GeForce Experience 3.26.0.154 v.3.26.0.154 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 5.40 (64-разрядная) v.5.40.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.0.0.309 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.1.8.2 Внимание! Клиент сети P2P с рекламным модулем!.
-------------------------------- [ Java ] ---------------------------------
Java 8 Update 311 (64-bit) v.8.0.3110.11 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u361-windows-x64.exe - Windows Offline (64-bit))^
-------------------------------- [ Media ] --------------------------------
AIMP v.v4.12.1880, 06.01.2017 Внимание! Скачать обновления
K-Lite Mega Codec Pack 12.8.5 v.12.8.5 Внимание! Скачать обновления
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 32 PPAPI v.32.0.0.465 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее.
---------------------------- [ UnwantedApps ] -----------------------------
UmmyVideoDownloader v.1.10.5.2 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
 

 

Читайте Рекомендации после удаления вредоносного ПО

[Zvex88]

Дай бог здороица всем присутствующим и помогающим таким же дурачкам как я, скачивающим всякую фигню со странных источников. Нереально полезную работу делаете, снимаю шляпу, спасибо огромное

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".