Поймал вирусы, переименовались службы

[Evgen001]

Здравствуйте! С месяц назад качал ворд и поймал вирусы, через касперского вроде как удалил все, сегодня решил обновить виндовс, зашел, а службы все переименованы. UsoSvc_bkp, wuauserv_bkp стали вот в таком формате. Прикрепляю логи

CollectionLog-2025.01.08-01.01.zip

[Evgen001]

Результаты проверки программы malwarebytes 

Malwarebytes Отчет о проверке 2025-01-08 113358.txt

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Evgen001]

Так же при работе пк без нагрузки начало проявляться подвисание системы, в играх очень сильно нагревается и проседает FPS

FRST.rar

[thyrex]

Скачайте файл по ссылке, разархивируйте. Запустите каждый из файлов и подтвердите внесение информации в реестр.

 

Цитата

AV: Malwarebytes (Disabled - Up to date) {0D452135-A081-B000-D6B6-132E52638543}
AV: McAfee (Disabled - Up to date) {0BE13B34-492A-21C0-AE43-C1742279CCB6}

два антивируса - это перебор. Оставьте только один, а второй удалите.

 

Окончания сбора логов не дождались. Поэтому после выполнения скрипта придется их собрать заново.

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1672349645-3380741902-3864167396-1001\...\Run: [YandexBrowserAutoLaunch_2F0223C85F2DFA1464116D7E00602AD8] => "C:\Users\zenya\AppData\Local\Yandex\YandexBrowser\Application\browser.exe" --shutdown-if-not-closed-by-system-restart (Нет файла)
HKU\S-1-5-21-1672349645-3380741902-3864167396-1001\...\MountPoints2: {7b936a27-a4a4-11ef-b13b-74d4dd6e0d2f} - "D:\setup.EXE" /AUTORUN
Task: {1B8037DC-D297-4D6B-B253-152D9CB4702A} - System32\Tasks\App Explorer => C:\Users\zenya\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe [8868120 2024-10-21] (SweetLabs Inc -> SweetLabs, Inc) <==== ВНИМАНИЕ
C:\Users\zenya\AppData\Local\Host App Service
Task: {E0F10DCF-44AD-40E8-9370-FB5DA59F93FB} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Нет файла)
S2 BITS_bkp; C:\Windows\System32\qmgr.dll [1388544 2024-11-06] (Microsoft Windows -> Microsoft Corporation)
U2 dosvc_bkp; C:\Windows\system32\dosvc.dll [90112 2024-11-06] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [77824 2024-11-06] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [90112 2024-11-06] (Microsoft Windows -> Microsoft Corporation)
S2 GoogleUpdateTaskMachineQC; C:\ProgramData\Google\Chrome\updater.exe [X] <==== ВНИМАНИЕ
Folder: C:\ProgramData
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[Evgen001]

Сделал как вы сказали, только в реестр не получилось добавить BITS . Так же произвел повторное сканирование

Fixlog.txt

FRST.rar

Изменено 8 января пользователем Evgen001

[thyrex]

9 минут назад, Evgen001 сказал:

только в реестр не получилось добавить BITS

попробуйте в безопасном режиме.

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKU\S-1-5-21-1672349645-3380741902-3864167396-1001\...\Run: [YandexBrowserAutoLaunch_2F0223C85F2DFA1464116D7E00602AD8] => "C:\Users\zenya\AppData\Local\Yandex\YandexBrowser\Application\browser.exe" --shutdown-if-not-closed-by-system-restart (Нет файла)
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Нет файла
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Нет файла
FirewallRules: [{A943B984-B847-4594-865D-A95610114514}] => (Allow) C:\Program Files\Google\Play Games\current\emulator\crosvm.exe => Нет файла
FirewallRules: [{28C6F726-F0A1-4E0E-B7E2-3783C7C38D84}] => (Allow) C:\Program Files\Google\Play Games\current\emulator\crosvm.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

После скрипта

App Explorer

WindowsWord 2020.10

WebAdvisor by McAfee

удалите через Панель управления – Программы и компоненты или принудительно с помощью Geek Uninstaller

[Evgen001]

Fixlog.txtА в программе Geek Uninstaller обязательно нужно ключ покупать для удаления?

Изменено 8 января пользователем Evgen001

[thyrex]

23 минуты назад, Evgen001 сказал:

нужно ключ покупать для удаления

вроде никто об этом не упоминал.

 

Что с проблемой?

[Evgen001]

 

BITS так и не смог установить, даже в безопасном режиме

По поводу программ удалил, компьютер стал работать стабильнее, буду наблюдать. Спасибо большое!

 

 

Изменено 8 января пользователем Evgen001

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Evgen001]

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.38.33130 v.14.38.33130.0 Warning! Download Update
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.38.33130 v.14.38.33130.0 Warning! Download Update
Yandex v.24.12.2.856 Warning! Download Update

---------------------------- [ UnwantedApps ] -----------------------------
Кнопки сервисов Яндекса на панели задач v.3.7.9.0 Warning! Application is distributed through the partnership programs and bundle assemblies. Uninstallation recommended. Possible you became a victim of fraud or social engineering.
 

 

На этом закончим.

[Evgen001]

День добрый! В играх подвисание так же осталось, при чем фпс 200-250 и жесткие задержки происходят. Может не весь вирус вытащили?)

[thyrex]

Активного майнера в системе не было