Обнаружил майнер tool.btcmine.2711.

[centipede]

Здравствуйте. Скачал с торрента Office, позже обнаружил сильную нагрузку цп и озу, после просканил Cureit'ом, он обнаружил 10 угроз( в их числе tool.btcmine2711 и trojan). При запуске диспетчера задач майнер пропадает и нагрузка падает, также он сам закрывал браузер при по попытке зайти на safezone. Через безопасный режим создал лог. Прошу помогите.

CollectionLog-2023.08.04-17.46.zip

[Sandor]

Здравствуйте!

 

Скачайте AV block remover.
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя).
Как вариант, можно воспользоваться версией со случайным именем.

Если и так не сработает, запускайте из безопасного режима с поддержкой сети.

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

[centipede]

Все сделал. AV обнаружил и удалил Jhon.

CollectionLog-2023.08.07-01.21.zip AV_block_remove_2023.08.07-01.12.log

 

Похоже майнер удалился, нагрузка на озу снизилась до прежнего уровня, и теперь пускает на safezone, диспетчер задач сам не закрывается.

 

Провел проверку Cureit'oм он угроз не нашёл.

[Sandor]

Хорошо. Включите защиту от подделки (была отключена майнером).

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:
 

Цитата

 

Adobe Flash Player 10 Plugin

App Explorer

 

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[centipede]

Сделано.

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  2023-08-03 14:34 - 2023-08-03 14:34 - 000000000 __SHD C:\ProgramData\princeton-produce
  2023-08-03 14:33 - 2023-08-03 14:33 - 000037376 _____ (Microsoft Corporation) C:\Windows\system32\rfxvmt.dll
  FirewallRules: [{38151848-56C0-42D2-A5AA-CD9FACAE5970}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
  FirewallRules: [{A86F6870-2AC9-40A6-820E-34A3937B6BCC}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
  FirewallRules: [{DA9AB7CF-01E2-4231-81B3-FB103DAC9F18}] => (Block) LPort=445
  FirewallRules: [{4F6A6F3D-70E9-467D-B11E-ACDB54D77538}] => (Block) LPort=445
  FirewallRules: [{9ED071AC-10CB-4B1D-8436-7E34F3213284}] => (Block) LPort=139
  FirewallRules: [{125782D9-44D7-4F27-A1DD-E65E110E278E}] => (Block) LPort=139
  FirewallRules: [{D88272CC-A0D7-40AE-AE3B-699F75D05403}] => (Allow) C:\ProgramData\Windows Tasks Service\winserv.exe => Нет файла
  FirewallRules: [{48F2B5A8-9C63-435E-84BC-8828A838225B}] => (Allow) LPort=3389
  FirewallRules: [{7CBB4030-48F8-4EE0-9C0C-CF35C1676A19}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
  FirewallRules: [{4EBC56E9-E943-4E02-9279-9B6BC6447729}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
  FirewallRules: [{92AE8124-1EFD-4B6A-9FDF-A02CEA9CC7A1}] => (Block) LPort=445
  FirewallRules: [{AA94437E-C94B-4B04-B0DA-DF0B1B9C75F1}] => (Block) LPort=445
  FirewallRules: [{7D6194E0-B73B-411F-A578-9917FE410E8D}] => (Block) LPort=139
  FirewallRules: [{CC08FE6B-1D9D-4912-85BF-EA233D618579}] => (Block) LPort=139
  FirewallRules: [{805201F5-5DA2-4F67-A76A-E0F1EFF69EE0}] => (Allow) C:\ProgramData\WindowsTask\AppModule.exe => Нет файла
  FirewallRules: [{5BA94D77-8A47-4269-B11A-C7DB394F651C}] => (Allow) C:\ProgramData\WindowsTask\AMD.exe => Нет файла
  FirewallRules: [{BC4D02AB-754E-46DC-ABD9-0E87815A0227}] => (Block) LPort=445
  FirewallRules: [{90A98013-045E-4B48-A999-3655546A2401}] => (Block) LPort=445
  FirewallRules: [{0CFB1B60-89A1-409F-8883-5536F9D57843}] => (Block) LPort=139
  FirewallRules: [{3AD64221-5136-427E-9DA9-B17F0E469E69}] => (Block) LPort=139
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[centipede]

Готово.

Fixlog.txt

[Sandor]

Хорошо. Если проблема решена, в завершение:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[centipede]

Да проблема решена, спасибо вам огромное!

SecurityCheck.txt

[Sandor]

Отлично!

Исправьте по возможности:

 

Java 8 Update 351 (64-bit) v.8.0.3510.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u371-windows-x64.exe - Windows Offline (64-bit))^
 

Читайте Рекомендации после удаления вредоносного ПО