Майнер

[David Faker 0]

Здравствуйте. Недавно скачал Microsoft Office и, видимо, там попался майнер. Долго боролся с ним. Еле запустил avbr. Потому что даже смена имени и директории не помогала. Вирус запрещал использовать msconfig, диспетчер задач, разнообразные службы Windows, в некоторых ситуациях запрещал использование CMD

 

После первой попытки запустить AVbr - видимо сработала какая-то защита майнера и он обрубал все попытки разобраться в проблеме, не давая ничего сделать в этом направлении.

 

Если кто встречался - поможет запуск AVbr в безопасном режиме.

 

Помогите пожалуйста понять, удалился ли майнер с компьютера, а также остались ли хвосты. Прилагаю файлы с FRST. Заранее, спасибо вам большое

FRST.txt Addition.txt

[Mark D. Pearlstone 1 528]

Порядок оформления запроса о помощи

[Sandor 1 290]

15 часов назад, David Faker сказал:

поможет запуск AVbr в безопасном режиме

Его отчёт AV_block_remove_дата-время.log тоже прикрепите к следующему сообщению.

[David Faker 0]

Спасибо за обратную связь. Прилагаю файл 

AV_block_remove_2024.10.10-19.19.log

[Sandor 1 290]

Логи по правилам раздела (ссылка выше) не отменяются.

[David Faker 0]

Извиняюсь. Прикрепляю Логи

CollectionLog-2024.10.11-18.15.zip

[Sandor 1 290]

Пожалуйста, аккуратно упакуйте в архив с паролем этот файл

C:\ProgramData\Microsoft\wext.vbs

Перешлите его мне личным сообщением.

[David Faker 0]

Напугали.. Прикрепляю файл. Сообщите, что мне с ним дальше нужно будет сделать, пожалуйста, если он представляет угрозу

wext.rar

Изменено Суббота в 14:25 пользователем David Faker

[Sandor 1 290]

Похоже безвредный.

 

Удалите старые и соберите новые логи FRST.txt и Addition.txt

[David Faker 0]

Прикрепляю файлы

FRST.txt Addition.txt

[Sandor 1 290]

Всё же удалим и файл и его следы.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  Task: {AE60C3AC-6C3F-4446-85F2-FA0B45F6FB4C} - System32\Tasks\EdgeUpdate => C:\WINDOWS\system32\cmd.exe [323584 2024-06-23] (Microsoft Windows -> Microsoft Corporation) -> /c auditpol /set /category:"Система" /success:enable && auditpol /set /category:"Подробное отслеживание" /subcategory:"Создание процесса" /success:enable
  Task: {4D60CF40-59EF-4E23-AFC6-FC4D303A2A70} - System32\Tasks\EdgeUpdateTaskUser => C:\Windows\System32\wscript.exe [204800 2024-07-10] (Microsoft Windows -> Microsoft Corporation) -> /b "C:\ProgramData\Microsoft\wext.vbs"
  S1 WinSetupMon; system32\DRIVERS\WinSetupMon.sys [X]
  C:\ProgramData\Microsoft\wext.vbs
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.