Перейти к содержанию

Поймал майнер, помогите


Рекомендуемые сообщения

Добрый день!

Поймал майнер который закрывает всё, в том числе и avbr с автологгером. Во вложении логи frst и hijackthis, которые получил из безопасного режима. Помогите, пожалуйста!

FR_ST.txt Add_ition.txt HiJackThis.log

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

38 минут назад, evill сказал:

закрывает всё, в том числе и avbr с автологгером

 

 Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Если выдаёт ошибку, запускайте из любой другой папки, кроме Рабочего стола или папки Загрузки.
Как вариант, можно воспользоваться версией со случайным именем.

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите CollectionLog Автологером уже из нормального режима по правилам раздела - Порядок оформления запроса о помощи

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Включите защиту от подделки по этой инструкции.

 

"Пофиксите" в HijackThis только следующее:

O22 - Tasks: \Microsoft\Windows\MapInfoW\RecoveryHosts - C:\Programdata\Microsoft\dnyxh\script.bat (file missing)
O22 - Tasks: gSFGERgrRG547456 - C:\WINDOWS\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v gSFGERgrRG547456 /t REG_SZ /d "cmd.exe /c start www.dipladoks.org"
O22 - Tasks_Migrated: gSFGERgrRG547456 - C:\WINDOWS\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v gSFGERgrRG547456 /t REG_SZ /d "cmd.exe /c start www.dipladoks.org"
O22 - Tasks_Migrated: Maxthon5 Update - C:\Program Files (x86)\Maxthon5\Bin\Maxthon.exe -RunScheduledUpdate (file missing)

Перезагрузите компьютер.

 

Дополнительно удалите старые и соберите новые логи FRST.txt и Addition.txt

 

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-2643412204-3539658165-3937346803-1001\...\Run: [gSFGERgrRG547456] => cmd.exe /c start www.dipladoks.org (Нет файла)
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-2643412204-3539658165-3937346803-1001\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
    2023-05-30 20:53 - 2023-05-30 20:53 - 000000000 __SHD C:\ProgramData\princeton-produce
    2023-05-30 20:53 - 2023-05-30 20:53 - 000000000 __SHD C:\Program Files\RogueKiller
    2023-05-30 20:52 - 2023-05-30 20:52 - 000037376 _____ (Microsoft Corporation) C:\WINDOWS\system32\rfxvmt.dll
    AV: Kaspersky Total Security (Enabled - Up to date) {4F76F112-43EB-40E8-11D8-F7BD1853EA23}
    AV: Kaspersky Total Security (Enabled - Up to date) {0AB30972-4BAC-7BEE-CBCA-B8F9E68797D8}
    AS: Kaspersky Total Security (Enabled - Up to date) {B1D2E896-6D96-7460-F17A-838B9D00DD65}
    FW: Kaspersky Total Security (Enabled) {774D7037-0984-41B0-3A87-5E88E680AD58}
    FW: Kaspersky Total Security (Enabled) {32888857-01C3-7AB6-E095-11CC1854D0A3}
    AlternateDataStreams: C:\WINDOWS\tracing:? [16]
    AlternateDataStreams: C:\Users\gSFGERgrRG547456\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
    AlternateDataStreams: C:\Users\gSFGERgrRG547456\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
    AlternateDataStreams: C:\Users\Public\AppData:CSM [482]
    Toolbar: HKU\S-1-5-21-2643412204-3539658165-3937346803-1001 -> Нет имени - {C500C267-63BF-451F-8797-4D720C9A2ED9} -  Нет файла
    FirewallRules: [{69133470-AA2C-44AF-BF05-8A7A371F95CE}] => (Allow) LPort=26789
    FirewallRules: [{E7AEB5FB-124D-4049-8AE6-3285BC59AD21}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe => Нет файла
    FirewallRules: [{F69172FC-CF26-4355-AD9B-7EFFFA56B1F9}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe => Нет файла
    FirewallRules: [{D3ABB3F8-F860-4F4F-9D75-98780B9CBED7}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe => Нет файла
    FirewallRules: [{7446094C-2E24-4D76-9007-6E2F461F9024}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe => Нет файла
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

04.06.2023 в 18:09, Sandor сказал:

Проблема решена?

Вроде как) Спасибо!!!

04.06.2023 в 18:09, Sandor сказал:

Проблема решена?

автозагрузка в диспетчере задач очистилась. Не знаете как вернуть?

Ссылка на комментарий
Поделиться на другие сайты

Нажмите сочетание win+R и введите

Цитата

shell:startup

 

Добавьте в эту папку ярлыки тех программ, которые вам нужны.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

В завершение, пожалуйста:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Lichtqwe
      От Lichtqwe
      Активировал windows через кмс, подхватил майнера с добавлением пользователя john, не получается скачать антивирус, autologger и av block remover не запускаются даже после того как переименовал, пишет отказано в доступе
    • Medoed Stepa
      От Medoed Stepa
      Недавно заметил что у меня очень сильно начал греться процессор, после запуска компьютера, FPS  начал проседать и.т.д
      Захожу в диспетчер задач вначале высокая загрузка, потом падает ( на форумах говорится что это нормально в первые 2-3с пока диспетчер задач считывает информацию), но  проблема в том что заходя через приложение MyASUS, показывается загрузка процессора которая в среднем составляет 30-40%, при только открытом этом приложении , дальше при открытии диспетчера задач загрузка падает до 3%  что в диспетчере задач что в приложении , но при закрытии сразу возрастает до 40%, так же сегодня заметил что если отключить интернет то загрузка тоже падает . Одним словом майнер в чистом виде.
      Писать бы на форум не стал не попробовав базовые способы решения , что было сделано: полная проверка через KVRT , Dr web Cureit , ручная проверка через монитор ресурсов , все виды проверок через Microsoft Defender (он кстати нашел троян и 1 вирус, но всё равно удалив их проблема не решилась)
       Физические проблемы с процессором и видеокартой сомнительны так как при запуске приложений-игр ,производительность заметно возрастает если держать свернутым диспетчере задач (производительность не возрастала бы в обратном случае)
      Все драйвера обновлены до последних версий и windows тоже, так же проверял на системные сбои через приложение LatencyMon (проблемы не были найдены)
      Из последнего ,что запускал необычного обходы для dicord и youtube  -Zapret , через командные строки , А так всегда пользуюсь только лицензированным ПО  и соблюдаю цифровую гигиену.
      Есть предположение что так как Zapret был запущен через командую строку от имени администратора ,антивирусы не могут его найти так как считают его расширением или программным ПО - Приложением (на данный момент  Zapret был деинсталлирован через командную строку (предположительно)) 
       
      Снизу прикрепил ,то что нашел Microsoft Defender
       
       


    • trashdetectiv
      От trashdetectiv
      Установил zapret для обхода блокировки discord'a с репозитория.

      После установки, появился майнер, который работает под видом dialer.exe. Были заполнен файл hosts новыми элементами и мною успешно почищен. Далее отследил папку C:\ProgramData\Google\Chrome\updater.exe и также успешно удалён и в автозапуске тоже. Чуть позже обратил внимания на ошибку при попытке скачать приложение с microsoft store: "произошла ошибка одна из служб работает неправильно ...". Проверил службу обновления винды, она называется ..._bkp. Погуглил, нашёл на форуме kaspersk'ого такую же проблему со службой - и пошёл проверять у себя. Выяснилось, что у меня всё так же. Через реестер переименовал все папки, но проблема с microsoft store не ушла. Служба обновления винды работает, но в параметрах пишет "что-то пошло не так. попытайтесь повторно открыть параметры позже" и значок паузы.

      Хочу убедиться, что не осталось остаточных файлов от майнера.

      Windows 11
       
      CollectionLog-2024.11.22-00.18.zip
    • November 11
      От November 11
      Я не знаю от куда появился майнер. Пк был не у меня какое-то время
      Но это точно что-то из этого так как начался сильный нагрев, а также сайты с антивирусом закрывает
      Доступа к сайту нет
      4.zip
    • niromerskiy
      От niromerskiy
      Добрый день, с недавних пор заметил что компьютер начал себя странно вести. В частности играя мой ФПС в играх не с того не с сего со 120 падал до 30 и не поднимался до перезапуска ПК. Думал на все кроме майнера, дошло время я решил посмотреть журналы Защитника Виндовс, и понял что у меня с ним что-то не то, он вроде как работает, но при этом и не работает. Начал пытаться чинить его, и вдруг резко задумался о том может ли это быть связанно с вирусами, сразу подумал на майнер. Начал писать в яндексе запрос "Как проверить ПК на наличие МАЙНЕРА", браузер закрывался почти мгновенно. Начитался на форумах и вспомнил что не так давно с момента как ПК начал себя плохо вести, я активировал Microsoft Office через КМС, в основном пользовался всегда своим проверенным, но потеряв его я решил найти в интернете, как я полагаю начало было положено именно с него. Помогите избавиться от майнера.
×
×
  • Создать...