Перейти к содержанию
Правила раздела
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

[РЕШЕНО] Редактор реестра запускается и мгновенно закрывается

yura_

Автор yura_
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

yura_ Новичок

yura_

Опубликовано
Опубликовано

Добрый день, система стала намного дольше подгружаться, перестали автозапускаться некоторые приложения типа Steam, disqord и т.д., но в разделе автозапуск они остались. При попытке открытия редактора реестра, он моментально закрывается.
Архив прикрепил

CollectionLog-2024.05.26-14.27.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ из папки Autologger (запускать AVZ от имени Администратора по правой кнопке мыши) 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('C:\Program Files\Google\Chrome\updater.exe');
QuarantineFile('C:\Program Files\Google\Chrome\updater.exe','');
 DeleteFile('C:\Program Files\Google\Chrome\updater.exe','64');
 DeleteSchedulerTask('GoogleUpdateTaskMachineQC');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ 

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пофиксите в HiJackThis из папки Autologger (запускать HiJackThis от имени Администратора по правой кнопке мыши) 

O1 - Hosts: 0.0.0.0 avast.com
O1 - Hosts: 0.0.0.0 vvv.avast.com
O1 - Hosts: 0.0.0.0 totalav.com
O1 - Hosts: 0.0.0.0 vvv.totalav.com
O1 - Hosts: 0.0.0.0 scanguard.com
O1 - Hosts: 0.0.0.0 vvv.scanguard.com
O1 - Hosts: 0.0.0.0 totaladblock.com
O1 - Hosts: 0.0.0.0 vvv.totaladblock.com
O1 - Hosts: 0.0.0.0 pcprotect.com
O1 - Hosts: 0.0.0.0 vvv.pcprotect.com
O1 - Hosts: 0.0.0.0 mcafee.com
O1 - Hosts: 0.0.0.0 vvv.mcafee.com
O1 - Hosts: 0.0.0.0 bitdefender.com
O1 - Hosts: 0.0.0.0 vvv.bitdefender.com
O1 - Hosts: 0.0.0.0 us.norton.com
O1 - Hosts: 0.0.0.0 vvv.us.norton.com
O1 - Hosts: 0.0.0.0 avg.com
O1 - Hosts: 0.0.0.0 vvv.avg.com
O1 - Hosts: 0.0.0.0 malwarebytes.com
O1 - Hosts: 0.0.0.0 vvv. malwarebytes.com
O1 - Hosts: 0.0.0.0 pandasecurity.com
O1 - Hosts: 0.0.0.0 vvv.pandasecurity.com
O1 - Hosts: 0.0.0.0 surfshark.com
O1 - Hosts: 0.0.0.0 vvv.surfshark.com
O1 - Hosts: 0.0.0.0 avira.com
O1 - Hosts: 0.0.0.0 vvv.avira.com
O1 - Hosts: 0.0.0.0 norton.com
O1 - Hosts: 0.0.0.0 vvv.norton.com
O1 - Hosts: 0.0.0.0 eset.com
O1 - Hosts: 0.0.0.0 vvv. eset.com
O1 - Hosts: 0.0.0.0 Zillya.com
O1 - Hosts: 0.0.0.0 vvv.Zillya.com
O1 - Hosts: 0.0.0.0 kaspersky.com
O1 - Hosts: 0.0.0.0 vvv.kaspersky.com
O1 - Hosts: 0.0.0.0 usa.kaspersky.com
O1 - Hosts: 0.0.0.0 vvv.usa.kaspersky.com
O1 - Hosts: 0.0.0.0 dpbolvw. net
O1 - Hosts: 0.0.0.0 vvv.dpbolvw.net
O1 - Hosts: 0.0.0.0 sophos.com
O1 - Hosts: 0.0.0.0 vvv.sophos.com
O1 - Hosts: 0.0.0.0 home.sophos.com
O1 - Hosts: 0.0.0.0 vvv.home.sophos.com
O1 - Hosts: 0.0.0.0 vvv.adaware.com
O1 - Hosts: 0.0.0.0 adaware.com
O1 - Hosts: 0.0.0.0 vvv.ahnlab.com
O1 - Hosts: 0.0.0.0 ahnlab. com
O1 - Hosts: 0.0.0.0 vvv.bullguard.com
O1 - Hosts: 0.0.0.0 bullguard.com
O1 - Hosts: 0.0.0.0 clamav.net
O1 - Hosts: 0.0.0.0 vvv.clamav.net
O1 - Hosts: 0.0.0.0 vvv.drweb.com
O1 - Hosts: 0.0.0.0 drweb.com
O1 - Hosts: 0.0.0.0 emsisoft.com
O1 - Hosts: 0.0.0.0 vvv.f-secure.com
O1 - Hosts: 0.0.0.0 f-secure.com
O1 - Hosts: 0.0.0.0 vvv.zonealarm.com
O1 - Hosts: 0.0.0.0 zonealarm.com
O1 - Hosts: 0.0.0.0 vvv.trendmicro.com
O1 - Hosts: 0.0.0.0 trendmicro.com
O1 - Hosts: 0.0.0.0 vvv.ccleaner.com
O1 - Hosts: 0.0.0.0 ccleaner.com
O1 - Hosts: 0.0.0.0 vvv.virustotal.com
O1 - Hosts: 0.0.0.0 virustotal.com
O1 - Hosts: 0.0.0.0 download.microsoft.com
O1 - Hosts: 0.0.0.0 windowsupdate.microsoft.com
O1 - Hosts: 0.0.0.0 update.microsoft.com
O1 - Hosts: 0.0.0.0 microsoft.com
O1 - Hosts: 0.0.0.0 vvv.microsoft.com

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
yura_ Новичок

yura_

Опубликовано
  • Автор
Опубликовано

выполнил оба скрипта.
при попытке пофиксить программа ругалась на  vvv.drweb.com, clamav.net и парочку других, не дала их пофиксить
новые логи 

CollectionLog-2024.05.26-18.49.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Task: {020A1B06-A97F-45F9-AC44-3EEB915D019F} - System32\Tasks\GoogleUpdateTaskMachineQC => C:\Program Files\Google\Chrome\updater.exe [10185816 2024-05-26] (Samsung Electronics CO., LTD. -> VideoLAN) [Файл не подписан] <==== ВНИМАНИЕ
C:\Program Files\Google\Chrome\updater.exe
S3 bits; C:\Windows\System32\svchost.exe [55456 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S3 bits; C:\Windows\SysWOW64\svchost.exe [46544 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S2 BITS_bkp; C:\Windows\System32\qmgr.dll [1481216 2023-11-17] (Microsoft Windows -> Microsoft Corporation)
S3 dosvc; C:\Windows\System32\svchost.exe [55456 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S3 dosvc; C:\Windows\SysWOW64\svchost.exe [46544 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S2 dosvc_bkp; C:\Windows\system32\dosvc.dll [1534464 2024-04-13] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc; C:\Windows\system32\svchost.exe [55456 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S2 UsoSvc; C:\Windows\SysWOW64\svchost.exe [46544 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [570368 2024-04-13] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv; C:\Windows\system32\svchost.exe [55456 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S3 wuauserv; C:\Windows\SysWOW64\svchost.exe [46544 2023-11-17] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3436544 2024-04-13] (Microsoft Windows -> Microsoft Corporation)
S3 GPU-Z-v2; C:\Users\yurab\AppData\Local\Temp\GPU-Z-v2.sys [52008 2023-01-29] (TechPowerUp LLC -> ) <==== ВНИМАНИЕ
S3 cpuz154; \??\C:\Windows\temp\cpuz154\cpuz154_x64.sys [X] <==== ВНИМАНИЕ
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Далее скачайте этот архив и запустите по очереди каждый reg-файл. Согласитесь с внесением изменений в реестр.

Перезагрузите компьютер и соберите такой лог:

 

Скачайте Farbar Service Scanner

Запустите.
Убедитесь, что отмечены пункты:

  • Internet Services
  • Windows Firewall
  • System Restore
  • Security Center/Action Center
  • Windows Update
  • Windows Defender


Нажмите кнопку "Scan"

Будет создан отчёт (FSS.txt) в той же папке, откуда запущена утилита.
Прикрепите этот файл к своему ответу.

Изменено пользователем Sandor
  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
yura_ Новичок

yura_

Опубликовано
  • Автор
Опубликовано (изменено)

image.thumb.png.03c7441fc259fffc91d3d9e9f57a1d29.pngне дает  запустить ни один reg-файл, это сообщение появляется на полсекунды и исчезает, если попытаться нажать, исчезает еще быстрее

FSS.txt Fixlog.txt

Изменено пользователем yura_
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Следующий скрипт выполняйте в безопасном режиме.

 

  • Выделите следующий код: 
    Start::
CloseProcesses:
RemoveProxy:
Task: {0B6E38E3-AFFE-4B4D-82FD-6EDB09F6098C} - System32\Tasks\GoogleUpdateTaskMachineQC => C:\Program Files\Google\Chrome\updater.exe [10185816 2024-05-29] (Samsung Electronics CO., LTD. -> VideoLAN) [Файл не подписан] <==== ВНИМАНИЕ
C:\Program Files\Google\Chrome\updater.exe
Hosts:
ProxyServer: [S-1-5-21-2855120443-3399715951-826037093-1001] => hxxp://127.0.0.1:2334
U2 BITS_bkp; C:\Windows\System32\qmgr.dll [1481216 2023-11-17] (Microsoft Windows -> Microsoft Corporation)
U2 dosvc_bkp; C:\Windows\system32\dosvc.dll [1534464 2024-04-13] (Microsoft Windows -> Microsoft Corporation)
U2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [570368 2024-04-13] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [427520 2023-12-28] (Microsoft Windows -> Microsoft Corporation)
U3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3436544 2024-04-13] (Microsoft Windows -> Microsoft Corporation)
File: C:\Windows\System32\DriverStore\FileRepository\googledrivefs31357.inf_amd64_a8bf31a168cf7d00\googledrivefs31357.sys
File: C:\Program Files\Google\Drive File Stream\92.0.0.0\GoogleDriveFS.exe
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Ещё раз скачайте тот же архив (там добавлен один reg-файл) и ещё раз запустите по очереди каждый.

 

После перезагрузки соберите, пожалуйста, новый FSS.txt и новые FRST.txt и Addition.txt

  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Alexandr_XML
      [РЕШЕНО] Активное заражение Win64.SEPEH
      Автор Alexandr_XML
      Добрый день. Сегодня с утра запустил полную проверку системы и обнаружил Trojan.Win32.SEPEH.gen и никак не могу удалить. После попытки удаления выбрасывает в BSOD и система перезагружается. Судя по отчёту Касперского, этот вирус заразил более 84 программ.
      CollectionLog-2024.11.12-07.12.zip
    • Poiluyf
      [РЕШЕНО] MEM:Trojan.Win32.SEPEH.gen помогите удалить
      Автор Poiluyf
      Доброе утро вчера скачал обход для дискорда и цепанул эту заразу. Причём один комп вроде не заразился а вот ноутбуку досталось. Файл dwm.exe. 
      отчет.txt
      Нашёл файл удалить не возможно грузит процессор.
    • kudyukovn
      [РЕШЕНО] Вирус / Майнер
      Автор kudyukovn
      Добрый день, помогите пожалуйста. Словил майнер. Сначала проверил касперским, он его нашел но удалить не смог, после перезагрузки пк вообще перестал видеть его. После переустановки windows 11 майнер остался, на сайты с антивирусами не заходит, а касперский не находит, defender перестал работать.
      Так же до этого комп не включался сутки, горел CPU на материнке. Но сегодня каким то чудом включился.
      Прикрепляю файлы архив от автологера
      CollectionLog-2024.10.14-14.33.zip
      https://imgur.com/a/0O2BObP
      Это отчёт от KVRT
    • sova.prod123
      [РЕШЕНО] Вирус
      Автор sova.prod123
      Здравствуйте, не знаю точно откуда подцепил эту гадость на пк, ибо придя с работы оно уже было на пк, те кто пользовался компьютером, говорят что ничего не скачивали. Kaspersky Virus Removal Tool дал лишь временный эффект, после чего всё вернулось обратно. Сильно нагружается пк, сидит в хосте - не дает нормально открыть браузер с утилитами, сворачивает диспетчер задач, препятствует установке лечащих утилит, с safe режиме дела обстоят чуть получше, но полностью вычистить вирус с пк не удается.
      CollectionLog-2024.10.10-16.48.zip
    • Александр Лаптев
      [РЕШЕНО] Заражение трояном MEM:Trojan.Win32.SEPEH.gen
      Автор Александр Лаптев
      Добрый день ноутбук заразился трояном
      После попытки полечить с помощью kaspersky и последующей перезагрузкой троян появился снова

      Читал темы на форуме, сразу приложу отчетыAddition.txtFRST.txt
      сделанные с помощью программы Farbar Recovery Scan Tool
×
×
  • Создать...