[РЕШЕНО] Словил Майнер

[A017]

Здравствуйте, недавно я узнал способ проверки на майнер от одного стримера, просто потому что у его друга начались проблемы с ПК. Я решил тоже проверить, просто загуглив "как удалить Майнер". Оказывается у меня есть майнер. Майнер не позволяет активировать безопасный режим. Не позволяет скачать антивирус или утилиты. Даже AutoLogger не даёт. Хотел сбросить до заводских настроек, но и тут он просто закрывает вкладку. Я даже не могу зайти на ответы.майл.ру. Смотрел диспетчер задач и на секунду появляется приложение с огромной нагрузкой. Realtek HD Audio. Как давно у меня этот Майнер, я не знаю. И даже не могу примерно сказать когда и от куда появился

[safety]

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.

 

[A017]

AV_block_remove_2024.01.28-17.29.log
И спасибо за помощь. Уже как минимум я могу зайти на этот сайт с ПК

[thyrex]

Вас просили подготовить логи Autologger.

[A017]

CollectionLog-2024.01.28-17.50.zip

[safety]

пофикстить в HJ

O4 - HKCU\..\Run: [msi] = C:\Windows\system32\cmd.exe /c start www.dinoklafbzor.org (sign: 'Microsoft')

O22 - Tasks: GoogleUpdateTaskMachineQC - C:\Program Files\Google\Chrome\updater.exe (invalid sign - no company - 48C06F51481098B02275D45A228821F444DFA6AC)

O22 - Tasks: msi - C:\Windows\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v msi /t REG_SZ /d "cmd.exe /c start www.dinoklafbzor.org" (sign: 'Microsoft')

O23 - Driver S3: EQU8_HELPER_19 - C:\Windows\system32\DRIVERS\EQU8_HELPER_19.sys (file missing)

 

+

 

подготовьте, пожалуйста, дополнительные логи:

Quote

Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool.

+ образ автозапуска в uVS

 

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

[A017]

DESKTOP-B11SU4O_2024-01-28_19-09-31_v4.15.1.7zFRST.txt
И я не совсем понял, что конкретно нужно сделать в HJ?

Addition.txt

[safety]

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и перезагрузит ее.

Скрипт ниже:

 

;uVS v4.15.1 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
hide %SystemDrive%\PROGRAMDATA\EQU8\TOTALLY ACCURATE BATTLEGROUNDS\BIN\ANTICHEAT.X64.EQU8.EXE
;------------------------autoscript---------------------------

deltsk %Sys32%\CMD.EXE
delref HTTP://WWW.DINOKLAFBZOR.ORG/
delall %SystemDrive%\USERS\MSI\MEDIAGET2\MEDIAGET.EXE
delall %SystemDrive%\USERS\MSI\APPDATA\ROAMING\UTORRENT WEB\UTWEB.EXE
delref WWW.DINOKLAFBZOR.ORG
zoo %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE
addsgn BA6F9BB21DE1499A3B4CAE7664C912052562E20876058FE8CD400194939EF2A00B5F4852F56505491A520D8FAE15B705824F783AD61E98EF65F448072F041C73 8 Win64/Agent.CYX 7

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFHEOGGKFDFCHFPHCEEIFDBEPAOOICAHO%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIBKNAFOBNMNDICOJAHLPPOLCAAIBNGJF%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DNNLJJFDCHFGODFGCGBCDAEDIMAKJEJJE%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPJFKGJLNOCFAKOHEOAPICNKNOGLIPAPD%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\MSI\APPDATA\ROAMING\SPOTIFY\SPOTIFY.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\WINDSCRIBE\WINDSCRIBE.EXE
apply

deltmp
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\OFFICE16\OLICENSEHEARTBEAT.EXE
delref {E984D939-0E00-4DD9-AC3A-7ACA04745521}\[CLSID]
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\MICROSOFT\EDGEUPDATE\MICROSOFTEDGEUPDATE.EXE
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\PROGRAMS\OPERA\LAUNCHER.EXE
delref %SystemDrive%\USERS\MSI\DOCUMENTS\TT-CLEANER.EXE
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %SystemRoot%\SYSWOW64\IE4USHOWIE.EXE
delref %SystemRoot%\SYSWOW64\IE4UINIT.EXE
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref {32CFFBE7-8BB7-4BC3-83D8-8197671920D6}\[CLSID]
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\AIMP\SYSTEM\AIMP_MENU64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\AIMP\SYSTEM\AIMP_MENU32.DLL
delref %Sys32%\DRIVERS\VMBUSR.SYS
delref %Sys32%\DRIVERS\IALPSS2_GPIO2_CNL.SYS
delref %Sys32%\DRIVERS\IALPSS2_I2C_CNL.SYS
delref %Sys32%\DRIVERS\UMDF\USBCCIDDRIVER.DLL
delref %SystemDrive%\USERS\MSI
delref %SystemDrive%\PROGRAM FILES
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\TEMP\RARSFX0\KMSAUTO++ X64.EXE
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\TEMP\RARSFX0\KMSAUTO_FILES
delref %Sys32%\SECOPATCHER.DLL
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\TEMP\DCONTROL.EXE
delref %Sys32%\CONFIG\SYSTEMPROFILE
delref D:\GAMES
delref D:\ZONA DOWNLOADS
delref %SystemDrive%\PROGRAMDATA\REAITEKHD\TASKHOSTW.EXE
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\APPMODULE.EXE
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\AUDIODG.EXE
delref %SystemDrive%\PROGRAMDATA
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\AMD.EXE
delref %SystemRoot%\SYSWOW64\UNSECAPP.EXE
delref %SystemDrive%\PROGRAM FILES\RDP WRAPPER
delref %SystemDrive%\PROGRAMDATA\REAITEKHD\TASKHOST.EXE
delref %Sys32%\BLANK.HTM
delref %Sys32%\DRIVERS\HDAUDADDSERVICE.SYS
delref %Sys32%\DRIVERS\EQU8_HELPER.SYS
delref %Sys32%\DRIVERS\EQU8_HELPER_19.SYS
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\MICROSOFT\EDGEUPDATE\1.3.171.37\MICROSOFTEDGEUPDATECORE.EXE
delref %SystemDrive%\USERS\MSI\APPDATA\ROAMING\UTORRENT\UTORRENT.EXE
delref %SystemDrive%\USERS\MSI\APPDATA\ROAMING\EXBO\JAVA\BIN\EXBOLAUNCHER.EXE
delref %SystemDrive%\PROGRAM FILES\COUNTER-STRIKE GLOBAL OFFENSIVE\RUN_CSGO.EXE
delref %SystemDrive%\PROGRAM FILES\COUNTER-STRIKE SOURCE\RUN_CSS.EXE
delref %SystemDrive%\GAMES\AMAZING LAUNCHER\AMAZINGUPDATER.EXE
delref %SystemDrive%\USERS\MSI\ECLIPSE\JAVA-2022-063\ECLIPSE\ECLIPSE.EXE
delref %SystemDrive%\GAMES\DARK SOULS - PREPARE TO DIE EDITION\DARKSOULS.EXE
delref %SystemDrive%\PROGRAM FILES\XSPLIT\BROADCASTER\XSPLIT.CORE.EXE
;-------------------------------------------------------------

restart
czoo

После перезагрузки системы добавьте файл Дата_времяlog.txt из папки uVS, напишите по результату, что с проблемой майнера.

Архив ZOO_дата_время.7z загрузите на облачный диск и дайте ссылку на скачивание в ЛС.

[A017]

2024-01-28_20-09-04_log.txt
Ну что с майнером? Ну вроде его нет, диспетчер задач не показывает каких либо приложений которые нагружают систему. А архив, сейчас сделаю.

 

[safety]

8 минут назад, A017 сказал:

А архив, сейчас сделаю.

Архив C:\USERS\MSI\DOWNLOADS\ОЧЕНЬ НАДО\ZOO_2024-01-28_20-09-01 уже создан скриптом, надо только загрузить его и дать ссылку на скачивание.

 

Удаляем исключения на вредоносные файлы

 

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и перезагрузит ее.

Скрипт ниже:

 

;uVS v4.15.1 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
sreg

;---------command-block---------
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\AMD.EXE
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\APPMODULE.EXE
delref %SystemDrive%\PROGRAMDATA\WINDOWSTASK\AUDIODG.EXE
delref %SystemDrive%\USERS\MSI\APPDATA\LOCAL\TEMP\DCONTROL.EXE
delref %SystemDrive%\PROGRAM FILES\RDP WRAPPER
delref %SystemDrive%\PROGRAMDATA\REAITEKHD\TASKHOST.EXE
delref %SystemDrive%\PROGRAMDATA\REAITEKHD\TASKHOSTW.EXE
delref %SystemRoot%\SYSWOW64\UNSECAPP.EXE

areg

restart

После перезагрузки системы добавьте файл Дата_времяlog.txt из папки uVS

Изменено 28 января пользователем safety

[safety]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".