Перейти к содержанию
Правила раздела

Словил майнер на проц и видеокарту,помогите пожалуйста решить

Александр Соколов

Автор Александр Соколов,
в Помощь в удалении вирусов

 Share Подписчики 1

Рекомендуемые сообщения

Sandor

Sandor 1 254

Опубликовано
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт): 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files (x86)\aXgHzcmUsObDoPjlHtR\FYHtGPX.dll', '');
 QuarantineFile('C:\Program Files (x86)\DBGewaFYU\ObbJPg.dll', '');
 QuarantineFile('C:\Program Files (x86)\slwDHuVHLpZU2\MOjbTbsJFPOgh.dll', '');
 QuarantineFile('C:\Program Files (x86)\xOwLcpSsfEMdC\wksXdMA.dll', '');
 QuarantineFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe', '');
 QuarantineFile('C:\ProgramData\coffin-footstep\bin.exe', '');
 QuarantineFile('C:\ProgramData\ThpnPXoKNPWMtSVB\DYHgsbi.wsf^', '');
 QuarantineFile('C:\Users\Соколовы\AppData\Local\Programs\385959458263cd\ce33fb3181.msi', '');
 QuarantineFile('c:\windows\System32\wizchain.dll', '');
 QuarantineFile('C:\Windows\SysWOW64\wizchain.dll', '');
 DeleteSchedulerTask('constant-defend');
 DeleteSchedulerTask('GKipZddillfOlu');
 DeleteSchedulerTask('kHgKPzqhIxUhyjd2');
 DeleteSchedulerTask('Microsoft\Windows\License Manager\License Validation');
 DeleteSchedulerTask('rCavFANEBEiSCaoAFPe2');
 DeleteSchedulerTask('RDFQtikPOrMljWbsQ2');
 DeleteSchedulerTask('WProxy\WinProxy');
 DeleteSchedulerTask('yDtpYvHoSRJUI2');
 DeleteSchedulerTask('youtube-auto-S-1-5-21-2868890314-3261316677-1237338014-1002');
 DeleteFile('C:\Program Files (x86)\aXgHzcmUsObDoPjlHtR\FYHtGPX.dll', '64');
 DeleteFile('C:\Program Files (x86)\DBGewaFYU\ObbJPg.dll', '64');
 DeleteFile('C:\Program Files (x86)\slwDHuVHLpZU2\MOjbTbsJFPOgh.dll', '64');
 DeleteFile('C:\Program Files (x86)\xOwLcpSsfEMdC\wksXdMA.dll', '64');
 DeleteFile('C:\Program Files\WProxy\WinProxy\WinProxy.exe');
 DeleteFile('C:\ProgramData\coffin-footstep\bin.exe', '64');
 DeleteFile('C:\ProgramData\ThpnPXoKNPWMtSVB\DYHgsbi.wsf^', '64');
 DeleteFile('C:\Users\Соколовы\AppData\Local\Programs\385959458263cd\ce33fb3181.msi', '64');
 DeleteFile('C:\Windows\Installer\iscsicli.exe', '64');
 DeleteFile('c:\windows\System32\wizchain.dll', '');
 DeleteFile('C:\Windows\SysWOW64\wizchain.dll', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WizAgntSvc_76e031\Parameters', 'ServiceDll', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

 

Файл Check_Browser_Lnk.log
 из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

move.gif

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.
 

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 254

Опубликовано
Опубликовано

Хорошо.

Деинсталлируйте нежелательное ПО:

Цитата

 

toc

VideoAdsBlocker

 

Что не сможете стандартно, удалите принудительно через Geek Uninstaller

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Ссылка на сообщение
Поделиться на другие сайты
Александр Соколов

Александр Соколов 0

Опубликовано
  • Автор
Опубликовано
9 часов назад, Sandor сказал:

Хорошо.

Деинсталлируйте нежелательное ПО:

Что не сможете стандартно, удалите принудительно через Geek Uninstaller

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

ПО 

toc

VideoAdsBlocker

таки не нашел никакой программой,остальное выполнил

Addition_21-03-2024 19.14.34.txt FRST_21-03-2024 19.14.34.txt

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 254

Опубликовано
Опубликовано

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {8F9D9990-096C-4E22-AB5A-D22E38E32486} - \Microsoft\Windows\License Manager\License Validation -> Нет файла <==== ВНИМАНИЕ
CHR HomePage: Default -> hxxps://find-it.pro/?utm_source=distr_m
CHR StartupUrls: Default -> "hxxps://find-it.pro/?utm_source=distr_m"
CHR DefaultSearchURL: Default -> hxxp://search-cdn.net/fip/?q={searchTerms}
CHR DefaultSearchKeyword: Default -> cdn
CHR HKU\S-1-5-21-2868890314-3261316677-1237338014-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
Unlock: C:\ProgramData\FastSave-f89f1fb8-254f-4916-829c-3a4a1e56b49c
Folder: C:\ProgramData\FastSave-f89f1fb8-254f-4916-829c-3a4a1e56b49c
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\ProgramData\WindowsTask
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\ProgramData\Windows Tasks Service
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\ProgramData\Setup
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\ProgramData\ReaItekHD
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\ProgramData\RDP Wrapper
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\Program Files\RDP Wrapper
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 _RSHD C:\Program Files (x86)\360
2024-03-05 20:06 - 2024-03-05 20:06 - 000000000 ____D C:\Program Files (x86)\comparison assist
2024-03-03 10:56 - 2024-03-03 10:56 - 000000000 ____D C:\ProgramData\fFDDnDldJLJtFdb
2024-02-29 16:05 - 2024-02-29 16:05 - 000000000 ____D C:\ProgramData\RVVlxplHtNVpnTvJp
2024-02-29 16:05 - 2024-02-29 16:05 - 000000000 ____D C:\ProgramData\pnBtPdrhJjdfJBxpDH
2024-02-26 17:04 - 2024-03-20 19:39 - 000000000 ____D C:\Program Files (x86)\xOwLcpSsfEMdC
2024-02-26 17:04 - 2024-03-20 19:39 - 000000000 ____D C:\Program Files (x86)\slwDHuVHLpZU2
2024-02-26 17:04 - 2024-03-20 19:39 - 000000000 ____D C:\Program Files (x86)\aXgHzcmUsObDoPjlHtR
2024-02-26 17:04 - 2024-03-03 11:38 - 000000000 ____D C:\ProgramData\ThpnPXoKNPWMtSVB
2024-02-26 17:04 - 2024-03-03 11:37 - 000000000 ____D C:\Program Files (x86)\vFVhMBCPotUn
2024-02-26 17:04 - 2024-03-03 11:37 - 000000000 ____D C:\Program Files (x86)\DBGewaFYU
2024-02-26 17:03 - 2024-03-20 19:39 - 000000000 ____D C:\Windows\system32\Tasks\WProxy
2024-02-26 17:03 - 2024-03-03 11:52 - 000000000 ____D C:\Users\Соколовы\AppData\Roaming\toc
2024-02-26 17:03 - 2024-03-03 11:36 - 000000000 ____D C:\ProgramData\coffin-footstep
2024-02-26 17:03 - 2024-03-03 10:56 - 000000000 ____D C:\ProgramData\playerFolder
2024-02-26 17:03 - 2024-02-26 17:03 - 000000000 ____D C:\Users\Соколовы\AppData\Local\highstone-updater
2024-02-26 17:03 - 2024-02-26 17:03 - 000000000 ____D C:\Program Files\WProxy
AlternateDataStreams: C:\Users\Соколовы\AppData\Local\desktop.ini:722b2b1c349a06abf0e866180e5a7e63 [738]
FirewallRules: [{C4649FE5-54FC-41A5-85D9-3DC20BCFAE20}] => (Allow) 㩃啜敳獲템峻灁䑰瑡屡潒浡湩屧潴屣匱䌵⹺硥e => Нет файла
FirewallRules: [{E72D3075-12B0-467C-B2D4-6A5FDEFC41B6}] => (Allow) 㩃啜敳獲템峻灁䑰瑡屡潒浡湩屧潴屣档潲敭牤癩牥攮數 => Нет файла
FirewallRules: [{191FF0D3-2264-44E9-AF9E-C0FBFE0A0BF9}] => (Allow) 㩃啜敳獲템峻灁䑰瑡屡潒浡湩屧潴屣桃潲敭䅜灰楬慣楴湯䍜牨浯⹥硥e => Нет файла
FirewallRules: [{A610E4D9-6025-4BB5-B08F-2806442E61D0}] => (Allow) 㩃啜敳獲템峻灁䑰瑡屡潒浡湩屧潴屣洹䅲攮數 => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 254

Опубликовано
Опубликовано

В завершение, пожалуйста:

 

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • Baphomet666
      майнер updater.exe самовосстанавливается
      От Baphomet666
      С помощью Malwarebytes нашел майнер который располагается C:\ProgramData\Google\Chrome. После удаления в ту же секунду появляется снова( с папками тот же прикол). Редактор реестра не открывается (после открытия сразу же закрывается ). AVZ никаких проблем не находит . 

    • DanM
      Не удается удалить троян Trojan:MSIL/Wemaeye.A
      От DanM
      Здравствуйте, обнаружил на своем компьютере Trojan:MSIL/Wemaeye.A.
      Ниже прикрепляю логи из приложения Farbar Recovery Scan Tool, помогите, пожалуйста, избавиться от этого трояна.
      logs.zip
    • Andrew11111
      [РЕШЕНО] Пользователь Klogi - вирус?
      От Andrew11111
      Доброго времени, уважаемые форумчане!
       
      На рабочем ноутбуке - Huawei при его запуске (включение) в самом начале появляется некий пользователь Klogi, который больше нигде не фигурирует. При этом сменить меня (я пользователь) на этого Klogi через виндовс невозможно, зайти за этого пользователя также не возможно (фото прикладываю).
       
      Прошу Вашей помощи в разборе этого кейса
       
       
      CollectionLog-2024.04.30-00.17.zip
    • Rembo111
      Майнер updater.exe восстанавливается
      От Rembo111
      Поймал майнер,название updater.exe .
      Его обнаружил только MalwareBytes,MinerSearch не нашел ничего.
      После удаления сразу появляется заново.Обитает в папке c://ProgramData/Microsoft
      И еще одно,удивительное,в безопасном режиме с поддержкой сетевых драйверов происходит вакханалия!Слетают процессы винды,ужас полный на экране.
      CollectionLog-2024.04.29-18.55.zip

    • siemensok
      [РЕШЕНО] Поймал вирусы
      От siemensok
      Приветствую. Поймал какие то вирусы. При включении ПК запускалось какое то приложение через командную строку. Проверил с помощью касперского, он что то нашел и вылечил. Воспользовался AV block remover, он нашел "левого" пользователя John и удалил его вроде как. После этого ошибка при включении ПК вроде как пропала, но боюсь что в дальнейшем может появится снова. Подскажите пожалуйста что можно ещё сделать?
      AV_block_remove_2024.04.28-12.24.log CollectionLog-2024.04.28-12.29.zip
×
×
  • Создать...