Троян heur trojan multi genbadur genw

[vlad12332114 0]

Троян обнаружен антивирусом, удаляется, но после перезагрузки возращается

CollectionLog-2024.10.22-13.12.zip

[Sandor 1 296]

Здравствуйте!

 

Видно несколько типов заражения, поэтому наберитесь терпения, для лечения понадобятся ряд последовательных шагов.

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

 

[vlad12332114 0]

Написало про то что майнер обнаружCollectionLog-2024.10.22-14.40.zipен, нажмите да чтобы очистить, вместе с этим перезагрузился компьютер, и предложили удалить пользователя John, которого я в душе не знаю кто это

AV_block_remove_2024.10.22-14.25.log

[Sandor 1 296]

Вы всё сделали верно. Продолжаем.

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\wext.vbs', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\utorrent\pro\uTorrentPro.exe', '');
 DeleteSchedulerTask('EdgeUpdate');
 DeleteSchedulerTask('EdgeUpdateTaskUser');
 DeleteSchedulerTask('uTorrentProUpdaterV5_t1728817414760');
 DeleteSchedulerTask('uTorrentProUpdaterV6_t1728817427285');
 DeleteFile('C:\ProgramData\Microsoft\wext.vbs', '64');
 DeleteFile('C:\Users\user\AppData\Roaming\utorrent\pro\uTorrentPro.exe', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

 

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = *.local
O2 - HKLM\..\BHO: (no name) - AutorunsDisabled - (no file)
O9 - Button: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: (no name) - (no file)
O9 - Button: HKLM\..\{31D09BA0-12F5-4CCE-BE8A-2923E76605DA}: (no name) - (no file)
O9 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}: (no name) - (no file)
O9 - Button: HKLM\..\AutorunsDisabled: (no name) - (no file)
O22 - Tasks: (disabled) EdgeUpdate - C:\Windows\system32\cmd.exe /c auditpol /set /category:"Система" /success:enable && auditpol /set /category:"Подробное отслеживание" /subcategory:"Создание процесса" /success:enable (sign: 'Microsoft')
O22 - Tasks: EdgeUpdateTaskUser - C:\Windows\System32\wscript.exe /b "C:\ProgramData\Microsoft\wext.vbs" (sign: 'Microsoft')
O22 - Tasks: uTorrentProUpdaterV6_t1728817427285 - C:\Users\user\AppData\Roaming\utorrent\pro\uTorrentPro.exe /LHS (not signed - GitHub, Inc. - 4D19A20F13BB20E1E87C579CDB9F5AB1275C0E31)
O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\John

Перезагрузите компьютер вручную.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

[vlad12332114 0]

2 часа назад, Sandor сказал:

 

 

Изменено 5 минут назад пользователем vlad12332114

[Sandor 1 296]

Читаем вместе инструкцию:

Запускать следует правильную версию AVZ, которая уже находится у вас в папке

C:\Users\user\Desktop\AutoLogger\AV\av_z.exe