Перейти к содержанию

HEUR:Trojan.Win64.Miner.gen. Как удалить этот вирус?


АнтонРоманович

Рекомендуемые сообщения

АнтонРоманович

Добрый день!

Как удалить этот вирус? HEUR:Trojan.Win64.Miner.gen

KIS его находит сразу при включении и просит Лечение с перезагрузкой. После перезагрузки компьютера, всё по новой.

Пробовал удалить вручную папку, которую указал KIS, но она восстанавливается.

Подскажите, что делать? Спасибо


В общем, тоже самое, что и  https://forum.kasperskyclub.ru/topic/421091-resheno-heurtrojanwin64minergen-kak-udalit-jetot-virus/

FRST.txt Addition.txt

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Начнём со стандартных логов: Порядок оформления запроса о помощи

Продолжайте в этой же теме.

Ссылка на сообщение
Поделиться на другие сайты
АнтонРоманович
11 минут назад, Sandor сказал:

Здравствуйте!

 

Начнём со стандартных логов: Порядок оформления запроса о помощи

Продолжайте в этой же теме.

 

CollectionLog-2024.02.14-16.29.zip

Ссылка на сообщение
Поделиться на другие сайты

Два типа заражения, будем лечить последовательно.

 

Не нужно полностью цитировать предыдущее сообщение, пишите в нижнем поле быстрого ответа.

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

Ссылка на сообщение
Поделиться на другие сайты

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

 

toc

VideoAdsBlocker

 

 

Что не сможете удалить стандартно, удалите принудительно через Geek Uninstaller

 

Далее:

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files\wproxy\winproxy\winproxy.exe');
 QuarantineFile('c:\program files\wproxy\winproxy\winproxy.exe', '');
 QuarantineFile('C:\ProgramData\bigger-courage\bin.exe', '');
 QuarantineFile('c:\windows\System32\evntagnt.dll', '');
 QuarantineFile('C:\Windows\SysWOW64\evntagnt.dll', '');
 DeleteSchedulerTask('WProxy\WinProxy');
 DeleteFile('c:\program files\wproxy\winproxy\winproxy.exe', '');
 DeleteFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe', '64');
 DeleteFile('C:\ProgramData\bigger-courage\bin.exe', '64');
 DeleteFile('c:\windows\System32\evntagnt.dll', '');
 DeleteFile('C:\Windows\SysWOW64\evntagnt.dll', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\EvntAgntSvc_bcf6ff\Parameters', 'ServiceDll', '64');
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма. Или загрузите на облако, а ссылку на скачивание передайте мне личным сообщением.

 

 

 

Удалите старые и соберите новые логи FRST.txt и Addition.txt

Ссылка на сообщение
Поделиться на другие сайты

Спасибо.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    HKU\S-1-5-21-1217912568-3865451217-653607331-1001\...\MountPoints2: {85437b0b-b1ca-11eb-87a9-18cc186c3355} - "F:\AUTORUN.EXE" 
    HKU\S-1-5-21-1217912568-3865451217-653607331-1001\...\MountPoints2: {9fa1b7bb-8154-11ec-8833-18cc186c3352} - "F:\HiSuiteDownLoader.exe" 
    HKU\S-1-5-21-1217912568-3865451217-653607331-1001\...\MountPoints2: {e9fcfcdc-b44b-11ec-8858-18cc186c3352} - "F:\setup.EXE" /AUTORUN
    HKU\S-1-5-21-1217912568-3865451217-653607331-1003\...\MountPoints2: {9fa1b7bb-8154-11ec-8833-18cc186c3352} - "F:\HiSuiteDownLoader.exe" 
    HKU\S-1-5-21-1217912568-3865451217-653607331-1003\...\MountPoints2: {e9fcfcdc-b44b-11ec-8858-18cc186c3352} - "F:\Autorun.exe" 
    GroupPolicy: Ограничение - Windows Defender <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    Task: {06F9DC41-5C98-49F8-90E2-48464E04E57B} - \Microsoft\Windows\Wininet\RealtekHDControl -> Нет файла <==== ВНИМАНИЕ
    Task: {5A4B383B-842B-4BCA-A848-601A46A4441B} - \Microsoft\Windows\Wininet\RealtekHDStartUP -> Нет файла <==== ВНИМАНИЕ
    CHR HomePage: Default -> hxxps://find-it.pro/?utm_source=distr_m
    CHR DefaultSearchKeyword: Default -> cdn
    CHR HKU\S-1-5-21-1217912568-3865451217-653607331-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ldgpjdiadomhinpimgchmeembbgojnjk]
    CHR HKU\S-1-5-21-1217912568-3865451217-653607331-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
    C:\Users\anton\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\npiclhkkbgabhapklngkpahnaafkgpne
    HKU\S-1-5-21-1217912568-3865451217-653607331-1001\Software\Classes\.scr: scrfile =>  <==== ВНИМАНИЕ
    FirewallRules: [{DBC68E23-7599-46F4-B8D8-087ACDCFC1D4}] => (Allow) LPort=5130
    FirewallRules: [{A5BE43BA-9B30-4C31-B386-E84FDBF127B7}] => (Allow) C:\Program Files\WProxy\WinProxy\WinProxy.exe => Нет файла
    FirewallRules: [{2B3ED8BF-364D-4042-AE7D-266584380DA1}] => (Allow) C:\Program Files\WProxy\WinProxy\WinProxy.exe => Нет файла
    FirewallRules: [{2BA24998-FA45-441D-A161-96BF9426F93E}] => (Allow) 㩃啜敳獲慜瑮湯䅜灰慄慴剜慯業杮瑜捯䩜䥬ㅕ攮數 => Нет файла
    FirewallRules: [{37C5018C-272E-4B7B-955C-BA8213890ED4}] => (Allow) 㩃啜敳獲慜瑮湯䅜灰慄慴剜慯業杮瑜捯捜牨浯摥楲敶⹲硥e => Нет файла
    FirewallRules: [{0AD0F4C8-23ED-4436-9D5F-A55F70E74C9F}] => (Allow) 㩃啜敳獲慜瑮湯䅜灰慄慴剜慯業杮瑜捯䍜牨浯履灁汰捩瑡潩屮桃潲敭攮數 => Нет файла
    FirewallRules: [{2811F92C-C62B-4331-AAE3-23CD9D67C74A}] => (Allow) 㩃啜敳獲慜瑮湯䅜灰慄慴剜慯業杮瑜捯扜楫⸰硥e => Нет файла
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
АнтонРоманович

Уже на данный момент не вылезает вирус. Спасибо вам большое! Запустил полную проверку в KES, пишет, что остался примерно 1 час. По итоговому результату напишу.

 

Полная проверка KES показала, что на компьютере больше нет угроз! Спасибо огромное за помощь!!!

Ссылка на сообщение
Поделиться на другие сайты

В завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

+

Если получится найти файл

conf991.dat

упакуйте его в архив с паролем и перешлите его мне личным сообщением (можно через облако).

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Roman9876
      От Roman9876
      Скачал пиратский PowerPoint (не проверив сайт, торопился).
      После этого некоторые приложения перестали отрываться, говоря, что у меня нет прав Администратора. 

      Лечил с перезагрузкой уже несколько раз, не уходит.
       
       
      CollectionLog-2024.04.11-12.35.zip
    • kahoma
      От kahoma
      Здравствуйте у меня такая же проблема но файл с dropbox был удален можете продублировать?
       
      Сообщение от модератора kmscom Сообщение перенесено из темы вирус "updater.exe" восстанавливается при удалении  
    • EvgeniyF
      От EvgeniyF
      Добрый день.
      Антивирусное ПО Касперский  Анти-вирус не может удалить троян Trojan.Win32.Yephiler
      После лечения происходит перезагрузка и сообщение о трояне появляется снова.
      Вторым сообщением попытаюсь приложить файл логов AVZ
      CollectionLog-2024.04.09-15.14.zip
    • Артëм
      От Артëм
      В исключениях антивируса добааляются папки, и расширения, которые после удаления появляются снова. Сканирование не даëт результатов. Через реестр просто нет той папки где со слов "интернета" Они должны быть. Что делать ума не приложу(
    • mmaazzik
      От mmaazzik
      здравствуйте. не знаю как приложить логи DRWeb и KVRT. приложу скрин проверки. все проверки делаю с включенной программой AnVir. так же несколько скринов из нее, + логи Автологера 



      CollectionLog-2024.04.09-12.40.zip
×
×
  • Создать...