Перейти к содержанию
Правила раздела

Вирус-майнер (пользователь John)

conrad

Автор conrad
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

conrad

conrad

Опубликовано
Опубликовано (изменено)

Здравствуйте! Пару недель назад словил майнер. Пытался удалить сам, большинство проблем устранил, однако остались подозрения и паранойя, что еще "остатки" от этой проблемы где-то лежат в системе (не устанавливаются обычные антивирусы по типу dr web space и бесплатная версия касперского). Поэтому прошу о помощи. И еще вопрос, могут ли подобные вирусы заражать usb-носители?
Ниже прикреплены логи, как по методичке. 

CollectionLog-2024.01.20-14.04.zip

Изменено пользователем conrad
  • Ответов 42
  • Создана
  • Последний ответ

Топ авторов темы

  • Sandor

    21

  • conrad

    21

  • a78182515m

    1

Популярные дни

Топ авторов темы

Популярные дни

Изображения в теме

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

1 час назад, conrad сказал:

большинство проблем устранил

Каким образом? Расскажите.

 

1 час назад, conrad сказал:

не устанавливаются обычные антивирусы

Что именно происходит, появляется ошибка? Какая?


Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

 

Bonjour

Кнопка "Яндекс" на панели задач

 

 

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

conrad

conrad

Опубликовано
  • Автор
Опубликовано

1) Про устранение проблем: Сначала удалил из реестра пользователя John. Потом удалил его из самих пользователей. С помощью какого-то скрипта (уже не вспомню, где нашел) вернул себе частично права админа. Потом проблемы устранял посредством использования KVRT и dr web cureit. Первый удалил множество троянов, а второй нашел троян "game.exe" и тоже его удалил.  Все это происходило с выключенным интернетом. 

2) про проблемы с антивирусами: касперский выдает неизвестную ошибку, dr web space выдает "код ошибки: 16"

3) Отчеты ниже

Addition.txt FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано

Вижу, вы запускали:

Цитата

2024-01-08 13:59 - 2024-01-08 13:59 - 009623394 _____ C:\Users\roman\Downloads\AVbr.zip

 

Если сохранился отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1684540053-2397894434-191686861-1001\...\MountPoints2: {38211548-34a4-11eb-9734-244bfe8d4c06} - "D:\HiSuiteDownLoader.exe" 
Task: {E1E376A9-6AB0-4FF2-99CC-CFADDFC5D587} - \OneDrive Standalone Update Task-S-1-5-21-1684540053-2397894434-191686861-500 -> Нет файла <==== ВНИМАНИЕ
2024-01-08 22:29 - 2024-01-08 22:29 - 000000000 ____D C:\ProgramData\Doctor Web
2024-01-08 12:54 - 2024-01-08 13:39 - 000000000 ____D C:\Users\roman\Doctor Web
2024-01-07 19:53 - 2024-01-07 19:53 - 000037376 _____ (Microsoft Corporation) C:\Windows\system32\rfxvmt.dll
2024-01-08 21:45 - 2024-01-08 21:45 - 000000000 ____D C:\ProgramData\Kaspersky Lab Setup Files
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

conrad

conrad

Опубликовано
  • Автор
Опубликовано

возник вопрос: 

так и должно быть, что удаление временных файлов из temp идёт уже около 30 минут?

 

1) Отчет AV block remover, к сожалению, не сохранился

2) с FRST все прошло успешно. Вот отчет

Fixlog.txt

Sandor

Sandor

Опубликовано
Опубликовано

Пробуйте сейчас установить антивирус.

conrad

conrad

Опубликовано
  • Автор
Опубликовано (изменено)

Касперский и dr web так и не устанавливаются. Пробовал еще pro32 total security, полоса доходит до конца и так и остается. Зашел в диспетчер задач, а там защитник виндоус с процессом "удаление вредоносного ПО". Что делать?
и еще, почему в панели безопасности у меня стоит такое непонятное название группы, скрин приложил.

 

1.PNG

Изменено пользователем conrad
Sandor

Sandor

Опубликовано
Опубликовано

Соберите и прикрепите новые отчёты FRST.txt и Addition.txt

a78182515m

a78182515m

Опубликовано
Опубликовано

Вот у меня такая же проблема, Майнер удалил остались неизвестные пользователи и куча груп с определеними правами ,решил переустановить Виндоус не е помогло 

Sandor

Sandor

Опубликовано
Опубликовано
21 час назад, conrad сказал:

Пробовал еще pro32 total security

Пока самостоятельно ничего не устанавливайте, пожалуйста.

 

Я когда просил переделать логи, забыл упомянуть, чтоб вы отметили перед сбором галочкой пункт "Файлы за 90 дней".

Переделайте ещё раз, пожалуйста.

 

@a78182515m, не пишите в чужой теме, пожалуйста. Создайте свою и выполните Порядок оформления запроса о помощи

Sandor

Sandor

Опубликовано
Опубликовано
21.01.2024 в 11:50, conrad сказал:

Касперский и dr web так и не устанавливаются

Пока оставьте только антивирус Касперского. Что именно происходит при установке? Покажите скриншот ошибки.

 

21.01.2024 в 11:50, conrad сказал:

почему в панели безопасности у меня стоит такое непонятное название группы

Это не страшно. Следы бывшей учётной записи.

 

Сделайте проверку с помощью KVRT. Сообщите результат.

conrad

conrad

Опубликовано
  • Автор
Опубликовано

Прикрепляю результат проверки и скриншот ошибки установки(3 скрин результат нажатия кнопки закрыть при неизвестной ошибке). Устанавливал бесплатную версию

каспер.PNG

ошибка.PNG

ошибка 2.PNG

отчет.PNG

Sandor

Sandor

Опубликовано
Опубликовано

Такой скрипт выполните.

  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
c:\Program Files (x86)\Kaspersky Lab\
c:\ProgramData\Kaspersky Lab\
c:\ProgramData\KasperskyLab\
C:\ProgramData\Kaspersky Lab Setup Files
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

 

 

Пробуйте установить.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • slimy371
      Вирус (майнер) John
      Автор slimy371
      cureit.rar Вместе со сторонним ПО скачал вирус, произвел проверку cureit, логи прилагаю. Осталась учетная запись John и несколько папок и файлов которые невозможно удалить т.к. недостаточно прав. Помогите добить этого Джона, не хочется переустанавливать винду. Спасибо!
    • baobao
      [РЕШЕНО] Пользователь John, майнер?
      Автор baobao
      Столкнулся с пользователем John, удалил его в меню netplwiz(win+r) но при проверке компьютера через Miner Searcher написано #Проверка пользователя John.(вирусы не обнаружены) он у меня уже был и пропал и снова появился только не могу понять как его удалить чтобы даже не упоминалось о нём
      вот лог AVBR И MINER SEARCHER
      AV_block_remove_2024.12.23-22.43.logMinerSearch_23.12.2024_22-49-46.log
    • lastdance
      майнер John
      Автор lastdance
      обнаружил на компьютере нового пользователя John. прочитал что это майнер
    • Yepe
      Майнер John
      Автор Yepe
      Подхватил вирус. Случайно обнаружил пользователя John, погуглил, и вроде как выяснил, что это майнер. Сканировал через Dr.Web CureIt! были проблемные файлы(например rdpwrap.dll) но вроде все удалил. Пользователя John тоже удали. Скачал Farbar Recovery Scan Tool и просканировал. Логи прикрепляю.  Хочу узнать Осталась ли у меня еще проблема и что нужно делать?
      FRST.txtAddition.txt
    • Cybermancubus
      Майнер John
      Автор Cybermancubus
      Обнаружил случайно пользователя в учетных записях. В папке "Пользователи" он не отображается. Скачивал doctor web cureit, но он ничего не обнаружил. Скачал Farbar Recovery Scan Tool. Файлы прикрепляю, спасибо! Какие действия нужно предпринимать?
      FRST.txt Addition.txt
×
×
  • Создать...