Перейти к содержанию

[РЕШЕНО] поймал майнер btcmine 2711, пытался лечить cure it, после перезагрузки он опять появляется


Рекомендуемые сообщения

поймал майнер btcmine 2711, пытался лечить cure it, после перезагрузки он опять появляется при проверке. В безопасном режиме запустил утилиту AV block remover, она нашла пользователя John и удалила. Что нужно сделать еще ?

AV_block_remove_2023.04.20-23.20.log

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

В целом AVbr справился хорошо, остались только некоторые хвосты.

 

Программы от IObit относятся к нежелательному ПО, поэтому деинсталлируйте IObit Uninstaller 12.

 

"Пофиксите" в HijackThis (только следующие строки):

O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O22 - Tasks: \Microsoft\Windows\WindowsBackup\OnlogonCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)
O22 - Tasks: \Microsoft\Windows\WindowsBackup\TaskCheck - C:\Programdata\ReaItekHD\taskhostw.exe (file missing)

 

Перезагрузите компьютер вручную.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

Ссылка на комментарий
Поделиться на другие сайты

Удалите принудительно через Geek Uninstaller

 

 

Затем:

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    CHR Notifications: Default -> hxxps://1.biqund.com; hxxps://10.biqund.com; hxxps://100.biqund.com; hxxps://100.cepoqez.com; hxxps://11.biqund.com; hxxps://12.biqund.com; hxxps://13.biqund.com; hxxps://14.biqund.com; hxxps://15.biqund.com; hxxps://16.biqund.com; hxxps://17.biqund.com; hxxps://18.biqund.com; hxxps://19.biqund.com; hxxps://2.biqund.com; hxxps://20.biqund.com; hxxps://21.biqund.com; hxxps://22.biqund.com; hxxps://23.biqund.com; hxxps://24.biqund.com; hxxps://25.biqund.com; hxxps://26.biqund.com; hxxps://27.biqund.com; hxxps://28.biqund.com; hxxps://29.biqund.com; hxxps://3.biqund.com; hxxps://30.biqund.com; hxxps://31.biqund.com; hxxps://32.biqund.com; hxxps://34.biqund.com; hxxps://35.biqund.com; hxxps://36.biqund.com; hxxps://37.biqund.com; hxxps://38.biqund.com; hxxps://39.biqund.com; hxxps://4.biqund.com; hxxps://40.biqund.com; hxxps://41.biqund.com; hxxps://42.biqund.com; hxxps://43.biqund.com; hxxps://44.biqund.com; hxxps://45.biqund.com; hxxps://46.biqund.com; hxxps://47.biqund.com; hxxps://48.biqund.com; hxxps://49.biqund.com; hxxps://5.biqund.com; hxxps://5.cepoqez.com; hxxps://50.biqund.com; hxxps://51.biqund.com; hxxps://52.biqund.com; hxxps://53.biqund.com; hxxps://54.biqund.com; hxxps://55.biqund.com; hxxps://56.biqund.com; hxxps://57.biqund.com; hxxps://58.biqund.com; hxxps://58.cepoqez.com; hxxps://59.biqund.com; hxxps://6.biqund.com; hxxps://60.biqund.com; hxxps://61.biqund.com; hxxps://62.biqund.com; hxxps://63.biqund.com; hxxps://64.biqund.com; hxxps://65.biqund.com; hxxps://66.biqund.com; hxxps://67.biqund.com; hxxps://68.biqund.com; hxxps://69.biqund.com; hxxps://7.biqund.com; hxxps://7.cepoqez.com; hxxps://70.biqund.com; hxxps://71.biqund.com; hxxps://72.biqund.com; hxxps://73.biqund.com; hxxps://73.cepoqez.com; hxxps://74.biqund.com; hxxps://75.biqund.com; hxxps://76.biqund.com; hxxps://77.biqund.com; hxxps://78.biqund.com; hxxps://78.cepoqez.com; hxxps://79.biqund.com; hxxps://8.biqund.com; hxxps://80.biqund.com; hxxps://81.biqund.com; hxxps://82.biqund.com; hxxps://83.biqund.com; hxxps://84.biqund.com; hxxps://85.biqund.com; hxxps://86.biqund.com; hxxps://87.biqund.com; hxxps://88.biqund.com; hxxps://9.biqund.com; hxxps://90.biqund.com; hxxps://91.biqund.com; hxxps://92.biqund.com; hxxps://93.biqund.com; hxxps://94.biqund.com; hxxps://95.biqund.com; hxxps://96.biqund.com; hxxps://97.biqund.com; hxxps://98.biqund.com; hxxps://99.biqund.com; hxxps://bvideo.pro; hxxps://music.yandex.ru
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты

Отлично!

 

В завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты

  • 2 недели спустя...

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Ссылка на комментарий
Поделиться на другие сайты

Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Albert2025
      Автор Albert2025
      Добрый день.
      Подозреваю, что сегодня с флэшки случайно запустил вирус.
      Проверки файлов на флэшке через opentip.kaspersky.com выдает результаты HEUR:Trojan.Win64.Convagent.gen и Trojan.VBS.Starter.pl
      На компьютере при этом в Диспетчере задач есть какие-то неизвестные запущенные процессы.
      Но при этом проверка KVRT и DrWeb CureIt результатов не приносит, ничего не обнаруживается.
      Боюсь, что сидит какой-нибудь шифровальщик или троян, собирающий данные (пароли и т.д.).
        Прошу помочь разобраться, что делает этот вирус и как избавиться от него, во вложении архив с флэшки, пароль virus.
      Также в директории был еще файл *.dat, но он слишком большого размера, при помещении его в архив он превышает допустимый размер.
      P.S. Также приложил логи.
      rootdir1.rar
      CollectionLog-2025.05.20-11.45.zip
    • qwerty1234
      Автор qwerty1234
      Здравствуйте! После посещения сайтов с бесплатными играми и фильмами ноутбук стал резко вибрировать и шуметь. Любой фильм или игра сопровождаются ритмичной вибрацией, которой раньше не было. Подозреваю, что поймал майнер.
      По рекомендации из одной из недавних тем скачал Security Check by glax24. Просканировал. Прикладываю результат.
      Так как сам я в этом не Копенгаген, прошу помочь расшифровать написанное и посоветовать план действий. Заранее благодарен!!!
       
      SecurityCheck by glax24 & Severnyj v.1.4.0.58 [15.08.24]
      WebSite: www.safezone.cc
      DateLog: 09.05.2025 18:25:29
      Path starting: C:\Users\Емельян\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
      Log directory: C:\SecurityCheck\
      IsAdmin: True
      User: Emelian
      VersionXML: 13.80is-05.05.2025
      ___________________________________________________________________________
      Windows 11 Professional (x64) Версия: 24H2 (10.0.26100.3915) Язык: Russian(0419)
      Дата установки ОС: 25.11.2024 07:02:43
      Статус лицензии: Windows(R), Professional edition Постоянная активация прошла успешно.
      Режим загрузки: Normal
      Браузер по умолчанию: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
      Системный диск: 😄 ФС: [NTFS] Емкость: [475.9 Гб] Занято: [339.8 Гб] Свободно: [136.1 Гб]
      ------------------------------- [ Windows ] -------------------------------
      Контроль учётных записей пользователя включен (Уровень 3)
      Центр обеспечения безопасности (wscsvc) - Служба работает
      Удаленный реестр (RemoteRegistry) - Служба остановлена
      Обнаружение SSDP (SSDPSRV) - Служба работает
      Службы удаленных рабочих столов (TermService) - Служба остановлена
      Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
      Фоновая интеллектуальная служба передачи (BITS) (BITS) - Служба остановлена
      Оптимизация доставки (DoSvc) - Служба работает
      Служба "Безопасность Windows" (SecurityHealthService) - Служба работает
      Служба оркестратора обновлений (UsoSvc) - Служба работает
      WaaSMedicSvc (WaaSMedicSvc) - Служба остановлена
      Центр обновления Windows (wuauserv) - Служба остановлена
      ---------------------------- [ Antivirus_WMI ] ----------------------------
      Windows Defender (выключен и обновлен)
      Kaspersky Anti-Virus (включен и обновлен)
      --------------------------- [ FirewallWindows ] ---------------------------
      Брандмауэр Защитника Windows (mpssvc) - Служба работает
      ---------------------- [ AntiVirusFirewallInstall ] -----------------------
      Kaspersky Anti-Virus v.21.3.10.391
      -------------------------- [ SecurityUtilities ] --------------------------
      Kaspersky Password Manager v.25.0.0.225
      --------------------------- [ OtherUtilities ] ----------------------------
      Среда выполнения Microsoft Edge WebView2 Runtime v.136.0.3240.50
      Steam v.2.10.91.91
      Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34438 v.14.42.34438.0
      Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34438 v.14.42.34438.0
      ------------------------------- [ Backup ] --------------------------------
      Microsoft OneDrive v.25.065.0406.0002
      ---------------------------- [ ProxyAndVPNs ] -----------------------------
      PlanetVPN-2.10.30.68 v.2.10.30.68
      ------------------------------- [ Browser ] -------------------------------
      Microsoft Edge v.136.0.3240.50
      ------------------ [ AntivirusFirewallProcessServices ] -------------------
      C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avp.exe v.21.3.0.1
      Kaspersky Anti-Virus Service 21.3 (AVP21.3) - Служба работает
      C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 21.3\avpui.exe v.21.3.12.434
      Microsoft Defender Core Service (MDCoreSvc) - Служба остановлена
      Microsoft Defender Antivirus Service (WinDefend) - Служба остановлена
      Microsoft Defender Antivirus Network Inspection Service (WdNisSvc) - Служба остановлена
      ----------------------------- [ End of Log ] ------------------------------
    • Денис К
      Автор Денис К
      Здравствуйте, словил вирус, майнер Tool.BtcMine.2794. Пытался почистить с помощь Cure It, удаляется ровно до следующей перезагрузки ПК. 
      Логи прикладываю
      CollectionLog-2025.05.18-21.17.zip
    • gehrakl12
      Автор gehrakl12
      Не удаляется через Avbr, ломает доктор веб, при этом нет явных признаков, типа закрытия браузера при переходе на страницу антивируса в браузере.Addition.txtFRST.txt
    • gehrakl12
      Автор gehrakl12
      Не удаляется через Avbr, ломает доктор веб, при этом нет явных признаков, типа закрытия браузера при переходе на страницу антивируса в браузере.Addition.txtFRST.txt
×
×
  • Создать...