[РЕШЕНО] Майнер после скачивания утилиты "Zapret"

[Alexey ML]

         1. Проведите проверку ПК, воспользовавшись одним из следующих продуктов:

• Kaspersky Virus Removal Tool - Проводил (Ничего не нашел)
• Dr.Web CureIt! - Проводил (Нашел файлы, но все эти файлы были от программы IObit Uninstaller, удалил все найденные файлы и удалил саму программу, но программа стояла у меня давно, проблем не было)
  
  2. Скачайте актуальную версию автоматического сборщика логов - все сделал по инструкции.
  
  Сама суть проблемы: заметил сегодня (думаю, что проблема возникла вчера). При простое грузится процессор на 39-40% , вчера вечером скачивал утилиту "zapret" , но удалил её т.к. требуемого результата она не дала. Как только открываешь диспетчер задач, то нагрузка на процессор падает до нормы, в этот момент система ведет себя так же как и раньше, закрываешь - через секунд 10-15 опять нагрузка на процессор до 39-40% . Никаких других проблем замечено не было - интернет работает, все открывается. Восстановить систему на неделю назад не смог - просто бесконечный пункт "Восстановление системы восстанавливает реестр", точек восстановления раньше нет. 
  Проверял систему Dr.Web Curelt, KVRT, стандартным защитником Windows. 
   

CollectionLog-2024.12.09-21.57.zip

[thyrex]

Здравствуйте.

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Alexey\AppData\Local\driverpatch9t1ohxw8\di.exe','');
 DeleteService('DrvSvc');
 DeleteFile('C:\Users\Alexey\AppData\Local\driverpatch9t1ohxw8\di.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Alexey ML]

Все сделал, отправил quarantine.7z с помощью формы отправки карантина. 
Имя карантина - 2024.12.10_quarantine_772d83140d6cb1c63f2d5b6096bbba7c.7z

Файл прикрепляю.

CollectionLog-2024.12.10-06.17.zip

Изменено 10 декабря пользователем Alexey ML
Имя карантина

[Sandor]

10 часов назад, Alexey ML сказал:

вчера вечером скачивал утилиту "zapret"

Откуда скачивали, запомнили?

[Alexey ML]

1. Точно скачивал отсюда - https://github.com/censorliber/zapret.git
2. Потом скачивал с видео в ютубе по вот этой инструкции из под видео в описании:

1. Скачиваем файл здесь: http://gitrok.com

2. Открываем архив. Пароль "12345". Переносим на рабочий стол.

3. Открываем папку и запускаем файл "general.bat".

4. Открываем браузер и проверяем ютуб и дискорд.

5. Если не сработало запускаем другие файлы из папки (один точно сработает)

6. Если нужен только Discord то запускаем файл "discord".

 

В обоих вариантах ругался антивирусник и защита браузера блокировала даже скачивание файла.

В первом варианте не помню какие батники запускал. 
Во втором варианте запускал: 1) general.bat | 2)discord

Вчера вечером удалил из автозапуска какие-то неизвестные файлы: перешел по пути и удалил всю папку, в которой они находились, система работает теперь в норме, никаких признаков майнинга не вижу после удаления (процессор в простое отдыхает, видеокарта в простое отдыхает), но хотелось бы до конца убедиться в их отсутствии с Вашей помощью. Издатель был подписан как github (оба файла).

 

Сама ссылка на видео - https://www.youtube.com/watch?v=RqbYHGigJ4c&t=74s

 

Изменено 10 декабря пользователем Alexey ML
Дополнение

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Alexey ML]

Не могу загрузить на форум файл Addition.zip 
При перетаскивании выдает ошибку. Addition.zip не может быть сохранён.

(Error code: Addition.zip не может быть сохранён.)

 

Скачал WinRAR - заархивировал, не прикрепляется.
Через стандартную службу "Отправить" - тоже не прикрепляется.

Не отправляется на форум ни один файл. Даже те , которые уже отправлял.

 

Загрузил на облако, как понимаю, у вас проводятся тех.работы. 

https://drive.google.com/file/d/1dtSoFuGCBuTlPu3RNwnWk0zBMQHQv_eN/view?usp=drive_link

Изменено 10 декабря пользователем Alexey ML

[thyrex]

Вы доступ не открыли на скачивание файла

[Alexey ML]

Прошу прощения. 
Открыл.

https://drive.google.com/file/d/1dtSoFuGCBuTlPu3RNwnWk0zBMQHQv_eN/view?usp=drive_link

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {6EF46348-621E-4353-A5FC-BCABEB433550} - \cFos\Registration Tasks\Open Browser -> Нет файла <==== ВНИМАНИЕ
Task: {919DA7B1-1701-449B-9545-BF6352009455} - System32\Tasks\ASUS\AcPowerNotification => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\AcPowerNotification\AcPowerNotification.exe  (Нет файла)
Task: {12D70C33-16E7-40D9-9A4C-7B28FAB1605D} - System32\Tasks\ASUS\ArmouryAIOFanServer => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\AIOFanSDK\ArmouryAIOFanServer.exe  (Нет файла)
Task: {12F8CC3F-B756-48CE-8DF9-A17EF61B72D8} - System32\Tasks\ASUS\ArmourySocketServer => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\ArmourySocketServer\ArmourySocketServer.exe  (Нет файла)
Task: {6A5F44C0-39BA-41F5-8245-8120098E452E} - System32\Tasks\ASUS\NoiseCancelingEngine => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\MBLedSDK\NoiseCancelingEngine.exe  (Нет файла)
Task: {1C768046-1E63-4AFF-B570-66C7E3E75625} - System32\Tasks\ASUS\P508PowerAgent_sdk => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\ShareFromArmouryIII\Mouse\ROG STRIX CARRY\P508PowerAgent.exe  (Нет файла)
Task: {CC2CA8B1-7D0C-4A2E-8791-56CD31AFF2D9} - System32\Tasks\OneDrive Reporting Task-S-1-5-21-1324998244-3340437973-71227547-500 => %localappdata%\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe  /reporting (Нет файла)
Task: {314767F6-0199-4DA2-AAA0-2249AE527FB8} - System32\Tasks\OneDrive Standalone Update Task-S-1-5-21-1324998244-3340437973-71227547-500 => %localappdata%\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe  (Нет файла)
Task: {6AFD9C65-B815-4500-BBEB-B7893EC49035} - System32\Tasks\Восстановление сервиса обновлений Яндекс.Браузера => C:\Program Files (x86)\Yandex\YandexBrowser\22.9.1.1095\service_update.exe  --repair (Нет файла)
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
Shortcut: C:\Users\Alexey\Favorites\Ссылки\01- Син (Новый + Старый + Точка).lnk -> D:\Games\Comeback146.pw\element\01- Син (Новый + Старый + Точка).bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\01- Син (Новый).lnk -> D:\Games\Comeback146.pw\element\01- Син (Новый).bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\02- Син (Старый).lnk -> D:\Games\Comeback146.pw\element\02- Син (Старый).bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\03- Вар.lnk -> D:\Games\Comeback146.pw\element\03- Вар.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\04- Прист.lnk -> D:\Games\Comeback146.pw\element\04- Прист.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\05- Кот с точкой.lnk -> D:\Games\Comeback146.pw\element\05- Кот с точкой.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\06- Кот с кузнечкой.lnk -> D:\Games\Comeback146.pw\element\06- Кот с кузнечкой.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\07- Кот с портным.lnk -> D:\Games\Comeback146.pw\element\07- Кот с портным.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\08- Кот с аптекой.lnk -> D:\Games\Comeback146.pw\element\08- Кот с аптекой.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\09 - Кот с ДК.lnk -> D:\Games\Comeback146.pw\element\09 - Кот с ДК.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\10 - Кот с камнями для заточки.lnk -> D:\Games\Comeback146.pw\element\10- Кот с камнями для заточки.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Favorites\Ссылки\11 -Торговый коты - кузнечка,портной,аптека,ДК.lnk -> D:\Games\Comeback146.pw\element\11 -Торговый коты - кузнечка,портной,аптека,ДК.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\01- Син (Новый + Старый + Точка).lnk -> D:\Games\Comeback146.pw\element\01- Син (Новый + Старый + Точка).bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\01- Син (Новый).lnk -> D:\Games\Comeback146.pw\element\01- Син (Новый).bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\02- Син (Старый).lnk -> D:\Games\Comeback146.pw\element\02- Син (Старый).bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\03- Вар.lnk -> D:\Games\Comeback146.pw\element\03- Вар.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\04- Прист.lnk -> D:\Games\Comeback146.pw\element\04- Прист.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\05- Кот с точкой.lnk -> D:\Games\Comeback146.pw\element\05- Кот с точкой.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\06- Кот с кузнечкой.lnk -> D:\Games\Comeback146.pw\element\06- Кот с кузнечкой.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\07- Кот с портным.lnk -> D:\Games\Comeback146.pw\element\07- Кот с портным.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\08- Кот с аптекой.lnk -> D:\Games\Comeback146.pw\element\08- Кот с аптекой.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\09 - Кот с ДК.lnk -> D:\Games\Comeback146.pw\element\09 - Кот с ДК.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\10 - Кот с камнями для заточки.lnk -> D:\Games\Comeback146.pw\element\10- Кот с камнями для заточки.bat (Нет файла) <==== Cyrillic
Shortcut: C:\Users\Alexey\Desktop\Игры\Perfect World\Вход\11 -Торговый коты - кузнечка,портной,аптека,ДК.lnk -> D:\Games\Comeback146.pw\element\11 -Торговый коты - кузнечка,портной,аптека,ДК.bat (Нет файла) <==== Cyrillic
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[Alexey ML]

Выполнил, но после выполнения защитник Windows выдал уведомление, что "Доступ к защищенным папкам заблокирован" - защищенная папка %favorites%\Ссылки\

https://drive.google.com/file/d/1MNZN0TMAl4mJw1Gi76WLsDBMUAPUn0my/view?usp=drive_link (Ссылка на Fixlog.txt)

Батники в ссылках я создавал сам, это лаунчеры для быстрого входа в игру. На данный момент в целом не требуются. 

Изменено 10 декабря пользователем Alexey ML

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Alexey ML]

Файл прикрепляю.

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
AMD Software v.24.7.1 Внимание! Скачать обновления
Microsoft Office Стандартный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
Microsoft Office Standard 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Office 2007 Service Pack 3 (SP3) Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Discord v.1.0.9171 Внимание! Скачать обновления
K-Lite Mega Codec Pack 16.5.3 v.16.5.3 Внимание! Скачать обновления

---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.6.22 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

 

На этом закончим

[Alexey ML]

Спасибо большое Вам. Вирусы все-таки присутствовали в системе?

 

Нужно ли все-таки проверять CCleaner с помощью Malwarebytes Anti-Malware?

 

Если удалить CCleaner, то какой программой лучше удалять всякие остаточные файлы из системы и исправлять разного рода ошибки?