Вирус не даёт переустановить виндовс, закрывает все сайты с решениями проблемы, не даёт запуститься антивирусам, закрывает диспетчер задач

[Cococanuth]

Обнаружилось вчера вечером. Вирус закрывает диспетчер задач (иногда все таки пропускает и он открывается). При поиске в браузерах сайтов с решением проблемы автоматически закрывает их. Закрывает exe-установщики, анитивирусники, автологгеры и подобные программы. Подозреваю о наличии скрытыго пользователя - администратора (некоторые папки с закрытым доступом, некоторые функции недоступны к выполнению). Решение похожей проблемы здесь от 8 мая 2022 не помогло, так как не удаётся установить ни одно приложение (при изменении имени файлов, они не запускаются) 

[thyrex]

Здравствуйте.

Выполните Порядок оформления запроса о помощи.
Новую тему создавать не нужно, логи прикрепите к следующему сообщению в текущей теме.
 

 

[Cococanuth]

Не получается скачать ни один антивирус ни Kaspersky Virus Removal Tool, ни Dr.Web CureIt!. Просто закрываются вкладки/браузер, если всё-таки установить приложение - оно не запускается, просто закрывается до момента полноценного запуска. С автологгером такая же ситуация. Предположительно нашлась папка (Program Data), где расположен вирус?, но и она закрывается, если попытаться что-либо сделать с файлами, либо недостаточно прав для работы с ними, либо вовсе сразу закрывается (не может даже открыться). Все происходит под руководством microsofthost, но и к нему доступа никакого, всё закрывается, либо недостаточно прав.

[thyrex]

Нужное по правилам можно скачать с телефона и перенести на компьютер.

[Cococanuth]

вот что обнаружил Kaspersky Virus Removal Tool и автологгер. После удаления через антивирус, при автоматическом перезапуске эти файлы заново появляются. 

 

CollectionLog-2024.12.21-20.41.zip

[thyrex]

Пофиксите в HiJackThis из папки Autologger (запускать HiJackThis от имени Администратора по правой кнопке мыши)

O4 - MountPoints2: HKCU\..\{5cd823d7-bf94-11ef-ab20-e28599e33f61}\shell\AutoRun\command: (default) = E:\setup.exe (file missing)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0
O27 - RDP: (Port) 3389 TCP opened as inbound - (no service) - (Remote Desktop) - (all applications)

 

Скачайте AV block remover.
Распакуйте (только не на Рабочий стол (Desktop) и не в папку Загрузки (Downloads)), запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe, например, в AVbr123.exe (или любое другое имя).
Если и так не запускается, запустите его в безопасном режиме с поддержкой сети.

 

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

 

После перезагрузки системы соберите новый CollectionLog Автологером в обычном режиме загрузки.

[Cococanuth]

CollectionLog-2024.12.21-21.51.zipAV_block_remove_2024.12.21-21.42.log

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Cococanuth]

archiv.zip

[thyrex]

Client Helper 6.1.4

удалите через Установку программ или принудительно с помощью Geek Uninstaller

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
SystemRestore: On
CreateRestorePoint:
HKU\S-1-5-21-3131986061-3865854017-2362418285-1001\...\Run: [com.squirrel.ZenVPN.ZenVPN] => C:\Users\nikit\AppData\Local\ZenVPN\app-1.2.4\ZenVPN.exe --autorun (Нет файла)
Task: {B758262E-D41E-4D1D-8465-E6F7DBCB569B} - System32\Tasks\EdgeUpdate => C:\WINDOWS\system32\cmd.exe [323584 2024-10-23] (Microsoft Windows -> Microsoft Corporation) -> /c auditpol /set /category:"Система" /success:enable && auditpol /set /category:"Подробное отслеживание" /subcategory:"Создание процесса" /success:enable <==== ВНИМАНИЕ
Task: {64B54AC0-A8D9-45FB-B563-465421AABA91} - System32\Tasks\EdgeUpdateTaskUser => C:\Windows\System32\wscript.exe [200704 2024-10-12] (Microsoft Windows -> Microsoft Corporation) -> /b "C:\ProgramData\Microsoft\wext.vbs" <==== ВНИМАНИЕ
Task: {23F0C872-880B-436C-B0DB-EC5A38983F77} - System32\Tasks\Microsoft\Office\Office 15 Subscription Heartbeat => %ProgramFiles%\Common Files\Microsoft Shared\Office15\OLicenseHeartbeat.exe  (Нет файла)
Task: {E0F10DCF-44AD-40E8-9370-FB5DA59F93FB} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Нет файла)
Task: {37E5775B-A283-421F-BE1D-2D9258084316} - System32\Tasks\RunGame => C:\Program Files\Client Helper\Client Helper.exe [146320896 2024-09-26] (GitHub, Inc.) [Файл не подписан] <==== ВНИМАНИЕ
S3 Rockstar Service; "C:\Launcher\RockstarService.exe" [X]
2024-10-16 12:59 - 2024-12-21 20:37 - 000000000 ____D C:\Users\nikit\AppData\Local\clienthelper-updater
2024-10-16 12:59 - 2024-10-19 20:49 - 000005719 _____ C:\Users\nikit\ex-list2.json
2024-10-16 12:59 - 2024-10-19 20:43 - 000003384 _____ C:\WINDOWS\system32\Tasks\RunGame
2024-10-16 12:59 - 2024-10-16 13:04 - 000000000 ____D C:\Users\nikit\AppData\Roaming\ClientHelper
2024-10-16 12:59 - 2024-10-16 12:59 - 000000000 ____D C:\Program Files\Client Helper
2024-10-16 12:58 - 2024-10-16 12:58 - 000000000 ____D C:\Users\nikit\AppData\Roaming\com.gtoppocket.launcher
2024-10-12 21:32 - 2024-10-12 21:32 - 000037376 _____ (Microsoft Corporation) C:\WINDOWS\system32\rfxvmt.dll
AlternateDataStreams: C:\desktop.ini:CachedTiles [6062]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [4432]
FirewallRules: [{71B60074-F134-4D19-A1E2-54CF992F9829}] => (Allow) C:\Users\nikit\MediaGet2\mediaget.exe => Нет файла
FirewallRules: [{10DEE648-A796-414E-9D7A-73AAECDCF4B9}] => (Allow) C:\Users\nikit\MediaGet2\mediaget.exe => Нет файла
FirewallRules: [{9D151254-057C-4079-ABC2-59DD3C78F443}] => (Allow) C:\Users\nikit\MediaGet2\QtWebEngineProcess.exe => Нет файла
FirewallRules: [{4619E1DC-B2F0-4B09-8505-FE5452525AB6}] => (Allow) C:\Users\nikit\MediaGet2\QtWebEngineProcess.exe => Нет файла
FirewallRules: [{236F350D-957E-4039-BD2E-FF7C93CEDA3D}] => (Allow) C:\GTA V\PlayGTAV.exe => Нет файла
FirewallRules: [{2CBFF69D-9587-4A08-B4DB-3F16F6209CB4}] => (Allow) C:\GTA V\PlayGTAV.exe => Нет файла
FirewallRules: [TCP Query User{867E6A8C-56B1-4DD4-AE2B-7E22E9717F0B}C:\grand theft auto v\gta5.exe] => (Allow) C:\grand theft auto v\gta5.exe => Нет файла
FirewallRules: [UDP Query User{ABA7F334-C62D-4779-B8D2-DBB89BFF13B3}C:\grand theft auto v\gta5.exe] => (Allow) C:\grand theft auto v\gta5.exe => Нет файла
FirewallRules: [{929E7182-DA97-4824-81C1-79ECA77D2B61}] => (Allow) C:\LagoFast\LagoFast.exe => Нет файла
FirewallRules: [{DFB0A32B-B41C-47B7-BB62-D222DC7F757F}] => (Allow) C:\LagoFast\LagoFast.exe => Нет файла
FirewallRules: [{15080F6E-BB8F-40FB-80FE-55F3063BB7A7}] => (Allow) C:\LagoFast\lagoFastProxy.exe => Нет файла
FirewallRules: [{671294B0-F3D1-4C99-A889-82CFD8A9FB16}] => (Allow) C:\LagoFast\lagoFastProxy.exe => Нет файла
FirewallRules: [{B6FB6CD9-5CD9-45B3-A484-1188B8126D32}] => (Allow) C:\VPN Unlimited\vpn-unlimited.exe => Нет файла
FirewallRules: [{6AD996D3-06C2-431C-8A00-C1726BA550C1}] => (Allow) C:\VPN Unlimited\vpn-unlimited.exe => Нет файла
FirewallRules: [{D43C733C-C0BB-45BD-A66F-95B1A089D98B}] => (Allow) C:\VPN Unlimited\openvpn.exe => Нет файла
FirewallRules: [{2C18216F-2B90-4812-B42B-DDB6A1AE66A4}] => (Allow) C:\VPN Unlimited\openvpn.exe => Нет файла
FirewallRules: [TCP Query User{A50EC878-3F7B-4B34-9525-1E6EAD1F2B5B}C:\users\nikit\appdata\local\discord\app-1.0.9170\discord.exe] => (Allow) C:\users\nikit\appdata\local\discord\app-1.0.9170\discord.exe => Нет файла
FirewallRules: [UDP Query User{0C7596EA-B59C-44C1-99D4-0483B6A7A896}C:\users\nikit\appdata\local\discord\app-1.0.9170\discord.exe] => (Allow) C:\users\nikit\appdata\local\discord\app-1.0.9170\discord.exe => Нет файла
FirewallRules: [TCP Query User{F05B32CB-24F8-4178-B819-4C30A5DEC049}C:\planetvpn\bin\xray\xray.exe] => (Block) C:\planetvpn\bin\xray\xray.exe => Нет файла
FirewallRules: [UDP Query User{CF8406EB-B977-4C98-AB6C-A561C95E44A1}C:\planetvpn\bin\xray\xray.exe] => (Block) C:\planetvpn\bin\xray\xray.exe => Нет файла
FirewallRules: [{26C34D75-6D8B-4901-A876-6DACDCBAA4B6}] => (Allow) C:\BlueStacks X\BlueStacksWeb.exe => Нет файла
FirewallRules: [{F76C44C8-5BDA-4484-9209-9F687081A9B6}] => (Allow) C:\BlueStacks X\Cloud Game.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[Cococanuth]

Fixlog.txt

[thyrex]

Проблема решена?

[Cococanuth]

Да, спасибо огромное! 

 

[thyrex]

 

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
  
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  
• Прикрепите этот файл в своем следующем сообщении.