[РЕШЕНО] Поймал майнер John

[Сергей Дальниченко 0]

Появился пользователь John. Появились сообщения в браузере "Out of memory", приходится все время перезагружать браузеры. В диспетчере задач большая нагрузка на видеопроцессор

[thyrex 1 411]

Здравствуйте.
Порядок оформления запроса о помощи.
Новую тему создавать не нужно, логи прикрепите к следующему сообщению.
 

[Сергей Дальниченко 0]

Вот логи от FRST64. Или нужно именно от AVZ?

FRST.txt Addition.txt

[thyrex 1 411]

1 час назад, Сергей Дальниченко сказал:

Или нужно именно от AVZ?

Прикреплять нужно те логи, которые у Вас попросили. Если нужны будут дополнительные, Вам обэтом обязательно напишут.

[Сергей Дальниченко 0]

Вот архив 

CollectionLog-2024.04.27-17.27.zip

[thyrex 1 411]

Скачайте AV block remover.
Распакуйте (только не на Рабочий стол (Desktop) и не в папку Загрузки (Downloads)), запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe, например, в AV-br.exe (или любое другое имя).
Если и так не запускается, запустите его в безопасном режиме с поддержкой сети.

 

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

 

После перезагрузки системы соберите новый CollectionLog Автологером в обычном режиме загрузки.
 

[Сергей Дальниченко 0]

Здравствуйте.

AV block remover не запускается. Выдает сообщение, что команду выполнить не удается из-за ограничений, действующих на этом компьютере

[Sandor 1 287]

Переименовать пробовали?

[Сергей Дальниченко 0]

Пробовал. И в безопасном режиме пробовал. Все инструкции выполнял.

[Sandor 1 287]

• Выделите следующий код:

• Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer: [DisallowRun] 1
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [1] eav_trial_rus.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [2] avast_free_antivirus_setup_online.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [3] eis_trial_rus.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [4] essf_trial_rus.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [5] hitmanpro_x64.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [6] ESETOnlineScanner_UKR.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [7] ESETOnlineScanner_RUS.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [8] HitmanPro.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [9] 360TS_Setup_Mini.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [10] Cezurity_Scanner_Pro_Free.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [11] Cube.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [12] AVbr.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [13] AV_br.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [15] cureit.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [16] FRST64.exe => успешно удалены
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [17] eset_internet_security_live_installer.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [18] esetonlinescanner.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [19] eset_nod32_antivirus_live_installer.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [20] MBSetup.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [21] PANDAFREEAV.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [22] bitdefender_avfree.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [23] drweb-12.0-ss-win.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\Policies\Explorer\DisallowRun: [24] Cureit.exe
  HKU\S-1-5-21-1175947765-559377351-1945805159-1001\...\MountPoints2: {fef8f5e2-81b6-11ee-b0a7-f4b52024dc92} - "F:\SecureDrive.exe" 
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {ADB9BAFE-DFF8-4562-B0AA-A13C29C1736E} - System32\Tasks\Microsoft\Windows\Wininet\winser => "C:\ProgramData\Windows Tasks Service\winserv.exe"  -> Task Service\winserv.exe <==== ВНИМАНИЕ
  Task: {687EEF7A-FB5B-4A15-88E0-5CAB7892C6E4} - System32\Tasks\Microsoft\Windows\Wininet\winsers => "C:\ProgramData\Windows Tasks Service\winserv.exe"  -> Task Service\winserv.exe <==== ВНИМАНИЕ
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

После перезагрузки пробуйте запустить AVbr в нормальном режиме.

[Сергей Дальниченко 0]

Вот логFRST64Fixlog_29-04-2024 11.23.56.txt

[Sandor 1 287]

1 час назад, Sandor сказал:

пробуйте запустить AVbr в нормальном режиме.

И при успешном запуске:

27.04.2024 в 18:26, thyrex сказал:

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

 

После перезагрузки системы соберите новый CollectionLog Автологером в обычном режиме загрузки.

 

[Сергей Дальниченко 0]

Новые логи

CollectionLog-2024.04.29-12.45.zip report1.log report2.log AV_block_remove_2024.04.29-11.35.log

[Sandor 1 287]

Хорошо, продолжаем.

 

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O1 - Hosts: ::1 localhost
O7 - Policy: HKCU\..\Windows\Explorer: [DisableNotificationCenter ] = 1
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\�������������
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\John
O27 - Account: (Hidden) User 'John' is invisible on logon screen

Перезагрузите компьютер.

 

Далее, удалите старые и соберите новые отчёты FRST.txt и Addition.txt

 

[Сергей Дальниченко 0]

Здравствуйте. Вот новые логи. Всё сделал по инструкции

report1.log report2.log CollectionLog-2024.04.30-09.50.zip FRST.txt Addition.txt