[РЕШЕНО] Майнер Realtek HD. Восстанавливается после перезагрузки

[Александp Фёдоров]

Добрый вечер.

Скачал репак у этой недоброй женщины: 

В нем оказался Realtek HD. Очень жесткий. В обычном режиме ничего не дает делать. Диспетчер, проводник (в ProgramData), браузер при упоминании Realtek закрывает. KVRT сканирует часами по кругу. DrWeb находит вирус, но не может вылечить. AnVir сразу вылетает. Восстановление системы не работает. Autoloader не загружается.

Каким-то чудом AVbr удалил вирус из оперативки, но сам вылетел, не дойдя до перезагрузки. Только поэтому я сейчас могу написать эту тему. До этого яндекс браузер сразу вылетал.

После AVbr прогнал Autoloader, логи прилагаю.

В безопасном режиме AVbr удаляет трояна без проблем. Но при перезагрузке в стандартный режим все вирии возвращаются.

Прошу помощи.

AV_block_remove_2023.08.17-23.45.log CollectionLog-2023.08.18-00.09.zip

 

Строгое предупреждение от модератора Mark D. Pearlstone

Ссылка удалена. Пункт 10 правил форума.

[Александp Фёдоров]

RKill убивает эти файлы:

* C:\ProgramData\ReaItekHD\taskhost.exe (PID: 7816) [SFI]
 * C:\ProgramData\ReaItekHD\taskhostw.exe (PID: 11028) [AU-HEUR]
 * C:\ProgramData\Windows Tasks Service\winserv.exe (PID: 7928) [AU-HEUR]
 * C:\ProgramData\WindowsTask\audiodg.exe (PID: 11412) [AU-HEUR]

но они сразу появляются вновь.

 

В процессах также висит COM Surrogate, который тоже из /ProgramData, а не из /Windows.

Сейчас, после AVbr, в процессах нет ни ReaItekHD, ни COM Surrogate. Выключать комп пока не буду, иначе все трояны вернутся, и писать не смогу.

[thyrex]

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Microsoft\NetFramework\DPcBNjUNP24fG0X8\FilesystemL.bat','');
 DeleteService('WinRing0_1_2_0');
 QuarantineFile('C:\Windows\system32\DRIVERS\WinSetupMon.sys','');
 DeleteFile('C:\Windows\system32\DRIVERS\WinSetupMon.sys','64');
 DeleteFile('C:\ProgramData\Microsoft\NetFramework\DPcBNjUNP24fG0X8\FilesystemL.bat','64');
 DeleteSchedulerTask('Microsoft\Windows\FilesystemL\RecoveryHosts');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Александp Фёдоров]

Карантин отправил. Логи прилагаю.

CollectionLog-2023.08.18-00.57.zip

[Александp Фёдоров]

Всё? Больше инструкций не будет?

KVRT ничего не нашел.

Спасибо!

Вы крутые)

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Александp Фёдоров]

Результаты сканирования FRST.

FRST_logs.rar

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
2023-08-17 19:39 - 2023-08-17 19:39 - 000000000 __SHD C:\ProgramData\princeton-produce
2023-08-17 19:38 - 2023-08-17 19:38 - 000037376 _____ (Microsoft Corporation) C:\Windows\system32\rfxvmt.dll
2023-08-14 17:59 - 2023-08-14 17:59 - 000000000 __SHD C:\Users\WALTON\AppData\Roaming\Sysfiles
2023-08-14 17:59 - 2023-08-14 17:59 - 000000000 __SHD C:\Program Files\QuickCPU
2023-08-14 17:59 - 2023-08-14 17:59 - 000000000 __SHD C:\Program Files (x86)\GPU Temp
FirewallRules: [TCP Query User{72DB55BA-42E3-4D03-BEA6-B3F1B542D4BC}C:\program files (x86)\utorrent\utorrent.exe] => (Allow) C:\program files (x86)\utorrent\utorrent.exe => Нет файла
FirewallRules: [UDP Query User{8E6FE6FD-DFA9-474E-9DC6-AFA25FFB5A16}C:\program files (x86)\utorrent\utorrent.exe] => (Allow) C:\program files (x86)\utorrent\utorrent.exe => Нет файла
FirewallRules: [{164AFA7D-3991-4FFD-AFA3-5077DA7D9093}] => (Allow) C:\Windows\KMS-R@1n.exe => Нет файла
FirewallRules: [{D32E38A9-FE97-47F9-ADC9-CB748E8F3703}] => (Allow) C:\Windows\KMS-R@1n.exe => Нет файла
FirewallRules: [{BDB4B8D1-3C98-4423-81F8-EB4DCFB8DEEA}] => (Allow) C:\Users\WALTON\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{EB9DEC3A-91A1-40DA-976C-4CD26103BC59}] => (Allow) C:\Users\WALTON\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [TCP Query User{6A1F7DE6-A4CA-4FF4-A372-0A61FACAA769}D:\games\world_of_warships\bin\7269545\bin64\cef_subprocess.exe] => (Allow) D:\games\world_of_warships\bin\7269545\bin64\cef_subprocess.exe => Нет файла
FirewallRules: [UDP Query User{1C9ED30F-ED58-4108-A6F4-5C5F1EF5B573}D:\games\world_of_warships\bin\7269545\bin64\cef_subprocess.exe] => (Allow) D:\games\world_of_warships\bin\7269545\bin64\cef_subprocess.exe => Нет файла
FirewallRules: [TCP Query User{1B798496-C2F0-4831-9A83-55782F46BCBC}D:\games\conan exiles\conansandbox\binaries\win64\conansandbox.exe] => (Allow) D:\games\conan exiles\conansandbox\binaries\win64\conansandbox.exe => Нет файла
FirewallRules: [UDP Query User{58F8C490-CC99-4A00-AF0A-1F397F12290D}D:\games\conan exiles\conansandbox\binaries\win64\conansandbox.exe] => (Allow) D:\games\conan exiles\conansandbox\binaries\win64\conansandbox.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[Александp Фёдоров]

Сделано.

Fixlog.txt

[thyrex]

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши)

begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\ProgramData\WindowsTask\audiodg.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\ProgramData\ReaItekHD\taskhostw.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\ProgramData\WindowsTask\AMD.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\ProgramData\ReaItekHD\taskhost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\Windows\SysWow64\unsecapp.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\ProgramData\WindowsTask\AppModule.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\Program Files\RDP Wrapper');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths','C:\ProgramData\Windows Tasks Service\winserv.exe');
ExecuteSysClean;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Александp Фёдоров]

SecurityCheck логи.

SecurityCheck.txt

[thyrex]

---------------------- [ AntiVirusFirewallInstall ] -----------------------

Malwarebytes version 4.1.2.73 v.4.1.2.73 Warning! Download Update
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 22.01 (x64) v.22.01 Warning! Download Update
Uninstall old version and install new one.
WinRAR 6.02 (64-разрядная) v.6.02.0 Warning! Download Update
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9006 Warning! Download Update
Zoom v.5.13.5 (12053) Warning! Download Update
Telegram Desktop v.4.8.9 Warning! Download Update
-------------------------------- [ Media ] --------------------------------
AIMP v.5.11.2429 Warning! Download Update
K-Lite Mega Codec Pack 17.6.8 v.17.6.8 Warning! Download Update
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Acrobat DC v.20.013.20064 Warning! Download Update
^Please run Acrobat DC and go Help - Check for updates...^

по возможности исправьте указанное, и на этом закончим

[Александp Фёдоров]

Спасибо.

Удачи)

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".