Поймал майнер toolbtcmine2711

[FoRExFeeD]

Здравствуйте, поймал майнер toolbtcmine2711. Младший брат лазил по сайтам и в итоге скачал майнер. ЦП загружается на 100%, диспетчер задач\браузер при вводе антивируса\папки programdata автоматически закрываются. Первым делом решил установить Curelt. Нашел toolbtcmine2711 под именем windowhost.exe. После перезагрузки майнер все так же на месте. Был бы очень рад любой помощи.

CollectionLog-2023.06.28-03.27.zip

[Sandor]

Здравствуйте!

 

Что-то ещё для лечения запускали? В этих логах не видно следов майнера.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[FoRExFeeD]

Запускал AV block remover, логи на всякий случай тоже прикреплю.AV_block_remove_2023.06.28-02.50.log

Addition.txt FRST.txt

[Sandor]

Ясно, спасибо.

 

6 часов назад, FoRExFeeD сказал:

После перезагрузки майнер все так же на месте

По логам ничего подобного не видно. Процессор по-прежнему постоянно загружен на 100%?

[FoRExFeeD]

5 минут назад, Sandor сказал:

Процессор по-прежнему постоянно загружен на 100%?

 

Нет, загруженность пропала. Не обратил даже внимания сразу. AVBR видимо все так помог.

[Sandor]

Небольшую очистку мусора сделаем:

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  Task: {3FBCCB0A-31EC-4071-96F3-FD786D875547} - \Microsoft\Windows\UpdateOrchestrator\Reboot_Battery -> Нет файла <==== ВНИМАНИЕ
  Task: {A0EB447C-F7B6-4537-BFBA-A90813B029F3} - \Microsoft\Windows\UpdateOrchestrator\Reboot_AC -> Нет файла <==== ВНИМАНИЕ
  FirewallRules: [{465A52B3-499F-4645-A519-E07084D5770C}] => (Allow) LPort=1688
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[FoRExFeeD]

Прикрепляю
Fixlog.txt

[Sandor]

Ещё один скрипт выполните в безопасном режиме:

 

• Выделите следующий код:

• Start::
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Windows\SysWow64\unsecapp.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhost.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\ReaItekHD\taskhostw.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\MicrosoftHost.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\audiodg.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AppModule.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\ProgramData\WindowsTask\AMD.exe
  DeleteValue: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|C:\Program Files\RDP Wrapper
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[FoRExFeeD]

Прикрепляю 

Fixlog.txt

[Sandor]

Хорошо. Последним скриптом мы удалили лишние исключения Защитника.

 

В завершение:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[FoRExFeeD]

SecurityCheck.txt

[Sandor]

Примите к сведению:

------------------------------ [ ArchAndFM ] ------------------------------
WinRAR 6.21 (64-разрядная) v.6.21.0 Внимание! Скачать обновления
--------------------------------- [ P2P ] ---------------------------------
uTorrent Web v.1.3.0 Внимание! Клиент сети P2P с рекламным модулем!.
------------------------------- [ Browser ] -------------------------------
Yandex v.23.5.2.625 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
 

Читайте Рекомендации после удаления вредоносного ПО