Перейти к содержанию

[РЕШЕНО] Недолеченный майнер John


Рекомендуемые сообщения

Добрый день, уважаемые специалисты.

Поймал майнер - ноут стал тупить, мышка дергаться и периодически выскакивала некая ошибка, связанная с autoit.

Хотел поставить антивирус, удалось скачать дистрибутив, но установщик не запускался.

Погуглил симптомы - скачал AVBR, запустил - он удалил скрытого юзера john, лагов стало меньше, но дистрибутив kaspersky standart так и не ставится.

При этом kvrt запустился.

Прошу помочь при возможности.

Логи autologger прикладываю.

CollectionLog-2024.08.18-18.51.zip

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте,
 

Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):
 

O22 - Tasks: \MaintenanceSystemApps\MaintenanceUninstalledSystemApps - C:\WINDOWS\System32\cmd.exe /d /q /e:on /v:on /c "chcp 65001>nul&set err=0&set key=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore&(for /f "tokens=1* delims=" %I in ('^(reg.exe query !key!\InboxApplications^&reg.exe query !key!\UpdatedApplications^)^|findstr /ir "\\Microsoft\.MicrosoftEdgeDevToolsClient_ \\Microsoft\.MicrosoftEdge_"')do reg.exe delete "%I" /f >nul 2>&1||set err=1)&(exit !err!)" (sign: 'Microsoft')
O22 - Tasks_Migrated: \MaintenanceSystemApps\MaintenanceUninstalledSystemApps - C:\WINDOWS\System32\cmd.exe /d /q /e:on /v:on /c "chcp 65001>nul&set err=0&set key=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore&(for /f "tokens=1* delims=" %I in ('^(reg.exe query !key!\InboxApplications^&reg.exe query !key!\UpdatedApplications^)^|findstr /ir "\\Microsoft\.MicrosoftEdgeDevToolsClient_ \\Microsoft\.MicrosoftEdge_"')do reg.exe delete "%I" /f >nul 2>&1||set err=1)&(exit !err!)" (sign: 'Microsoft')
O22 - Tasks_Migrated: AAct - C:\Windows\AAct_Tools\AAct.exe /ofs=act /auto (file missing)

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте за-пустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

Ссылка на сообщение
Поделиться на другие сайты

Отмеченные строки в HijackThis "пофиксил".

Логи работы FRST прикладываю в архиве.

Также прикладываю логи запуска AVBR при первом запуске.

FRST_Addition.zip AV_block_remove_2024.08.04-20.53.log

Ссылка на сообщение
Поделиться на другие сайты

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши  Копировать)

Start::
CreateRestorePoint:
CloseProcesses:
S3 MpKsl6a2000d0; \??\C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{3D49CAA0-BEB4-44CE-9651-78BC2A933AF4}\MpKslDrv.sys [X]
Folder: C:\WINDOWS\ABR
Folder: C:\ProgramData\Kaspersky Lab Setup Files
Folder: C:\Program Files (x86)\Kaspersky Lab
File: C:\Windows\AAct_Tools\AAct_files\SECOPatcher.dll
FirewallRules: [UDP Query User{2D032583-2226-450A-9B69-60B9B43CD3F4}C:\chrone\chrome.exe] => (Block) C:\chrone\chrome.exe => Нет файла
FirewallRules: [TCP Query User{B1096C0D-73BB-41B0-8464-E5E070FA5829}C:\chrone\chrome.exe] => (Block) C:\chrone\chrome.exe => Нет файла
FirewallRules: [UDP Query User{D37D219B-58EB-43D3-825A-A294CBC7BB25}C:\chrone\chrome.exe] => (Block) C:\chrone\chrome.exe => Нет файла
FirewallRules: [TCP Query User{F6AF180C-BF15-4FB8-A5D4-AD961F3E4F84}C:\chrone\chrome.exe] => (Block) C:\chrone\chrome.exe => Нет файла
FirewallRules: [{A11A273D-18FD-48A7-83EE-980FEF5E80B3}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{24F580D2-C92A-43B0-8353-B06E0DC79E4A}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{E7C2D0CF-4B64-492C-96FD-68501D86870C}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{B07EEEE1-6BC0-47F0-A58F-6F4C39D7533D}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [UDP Query User{CA8A946C-DE5E-445F-B0E1-F50F99702E23}C:\users\user\appdata\local\yandex\yandexbrowser\application\browser.exe] => (Allow) C:\users\user\appdata\local\yandex\yandexbrowser\application\browser.exe => Нет файла
FirewallRules: [TCP Query User{8A93A85C-57EC-4A65-AF25-BF93D989AED8}C:\users\user\appdata\local\yandex\yandexbrowser\application\browser.exe] => (Allow) C:\users\user\appdata\local\yandex\yandexbrowser\application\browser.exe => Нет файла
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
Ссылка на сообщение
Поделиться на другие сайты

Дистрибутив kaspersky standart так и не хочет ставиться - при запуске установщика ничего не происходит, в диспетчере задач процесс быстро умирает.

И также наблюдаются подлагивания мышки, периодически случайные повторения нажатия левой кнопки. 

Ссылка на сообщение
Поделиться на другие сайты

Попробуйте удалить остатки от предыдущих установок - kavremover.

Проверьте целостность системных файлов, для этого в командной строке cmd.exe выполните следующую команду:
 

sfc /scannow

Подробнее: Использование средства проверки системных файлов в Windows - Служба поддержки Майкрософт (microsoft.com)

Ссылка на сообщение
Поделиться на другие сайты
  • 2 weeks later...

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в ТурциюАрмениюСочиКамбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • DRAGO90956
      От DRAGO90956
      У меня полный ПК вирусов, при чем они не проявляли себя до одного момента(появления Джона) а после начался армагедон.
    • Ilyambuss
      От Ilyambuss
      здравствуйте, неделю назад обращался сюда с такой проблемой: "после нажатия клавиш Win + L ноутбук уходит в спящий (или ждущий) режим, экран гаснет через пару минут. проблема в том, что когда я оставляю ноутбук в этом режиме, то через несколько минут я слышу, как система охлаждения ноута начинает работать интенсивнее и громче, как будто происходит какой-то процесс. как только выхожу из спящего режима, всё сразу стихает, и как будто ничего и не было". это оказался майнер, сейчас проблема абсолютно идентичного характера, нужна помощь. и прошу прощения что наступаю на те же грабли и занимаю время консультантов, работающих на этом сайте 
      CollectionLog-2024.10.29-21.38.zip
    • Neovolt
      От Neovolt
      Поймал майнер от KMS. MWB находит его, и перемещает нонстопом в карантин.
      путь C:\ProgramData\Google\Chrome\updater.exe
      Логи от FRST Прилагаю. Заранее спасибо!
      FRST.zip
    • Spanch
      От Spanch
      Здравствуйте!

      При закрытом диспетчере задач ГП греется до 88 градусов в режиме простоя, при включении диспетчера резко остывает до 45гр. Если запустить диспетчер задач, то он автоматически вырубается спустя пару минут, и начинает расти температура ГП.

      Window 10, дополнительные антивирусы не скачивал. Что бы заработал браузер, скачал и запустил AV block remover (AVbr). Пока что частоты в норме после него, хотелось бы узнать осталось ли что-нибудь ещё.

      Частоты и температуры мониторил через msi afterburner.
       
      Спасибо.
      AV_block_remove_2024.10.24-22.26.log CollectionLog-2024.10.24-23.02.zip
    • Ilyambuss
      От Ilyambuss
      после нажатия клавиш Win + L ноутбук уходит в спящий (или ждущий) режим, экран гаснет через пару минут. проблема в том, что когда я оставляю ноутбук в этом режиме, то через несколько минут я слышу, как система охлаждения ноута начинает работать интенсивнее и громче, как будто происходит какой-то процесс. как только выхожу из спящего режима, всё сразу стихает, и как будто ничего и не было. началось это с недавних пор, раньше такого не было. может ли это быть какой-нибудь майнер или любой другой вирус? и грозит ли эта проблема преждевременному износу комплектующих ноута? проверки касперским никаких проблем не выявляют
      CollectionLog-2024.10.21-01.06.zip
×
×
  • Создать...