Повреждены некоторые системные службы и вирусы.

[Friend]

Добрый вечер,
Повреждены некоторые системные службы (по логам должно быть видно) - обновления, bits и еще одна служба, было бы отлично, если их получится восстановить, также проверить на вирусы.

Спойлер

CollectionLog-2025.01.16-17.04.zipsfcdoc.logCBS.LOG

[safety]

скачайте с данной страницы

https://download.bleepingcomputer.com/win-services/windows-10-22H2/

следующие твики для исправления поврежденных служб:

BITS

dosvc

 

Запускаем каждый из загруженных файлов *.reg от имени Администратора, разрешаем внести изменения в реестр

Перезагружаем систему,

 

Потом для проверки лучше добавить логи FRST

[Friend]

А данную службу тоже скачивать: wuauserv ?

И данная служба: UsoSvc

Логи: Addition.txtFRST.txt

Изменено 4 часа назад пользователем Friend

[safety]

судя по логам, только две службы замещены,

BITS

dosvc

остальные посмотрим что будет по логам FRST

[Friend]

Сейчас пока так:  2 BITS отображается.

Спойлер

 

[safety]

7 минут назад, Friend сказал:

А данную службу тоже скачивать: wuauserv ?

Можно скачать заодно и обновить - хуже не будет +UsoSvc, возможно они вообще повреждены или удалены из списка служб

Я здесь смотрел:

S2 BITS_bkp;@%SystemRoot%\system32\qmgr.dll,-1000; %SystemRoot%\System32\svchost.exe -k netsvcs -p;"ServiceDll" = %SystemRoot%\System32\qmgr.dll
S2 dosvc_bkp;@%systemroot%\system32\dosvc.dll,-100; %SystemRoot%\System32\svchost.exe -k NetworkService -p;"ServiceDll" =

 

Изменено 4 часа назад пользователем safety

[safety]

20 минут назад, Friend сказал:

Сейчас пока так:  2 BITS отображается.

Лишние потом зачистим, через FRST, после того как установите все скаченные твики, и перегрузите систему.

Но нужны логи FRST сейчас.

[Friend]

35 минут назад, safety сказал:

Но нужны логи FRST сейчас.

Новые логи.Addition.txtFRST.txt

[safety]

Похоже есть источник заражения:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

 

Start::
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {7433E1BD-1D7F-486F-AD91-2B1867A6A7C5} - System32\Tasks\Wuk\yutfkvly => "C:\Users\111\AppData\Roaming\yvflfmmj\sartst.exe"  -> "C:\Users\111\AppData\Roaming\yvflfmmj\sartst.chm" <==== ВНИМАНИЕ
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

Далее,

 

скачайте с данной страницы

https://download.bleepingcomputer.com/win-services/windows-10-22H2/

следу.ющие твики для исправления поврежденных служб:

BITS

dosvc

UsoSvc

WaaSMedicSvc

wuauserv

 

(докачать те, которые еще не скачали)

 

Запускаем каждый из загруженных файлов *.reg от имени Администратора, разрешаем внести изменения в реестр

Перезагружаем систему,

 

далее,

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
S2 BITS_bkp; C:\Windows\System32\qmgr.dll [1481728 2024-05-15] (Microsoft Windows -> Microsoft Corporation)
S2 dosvc_bkp; C:\Windows\system32\dosvc.dll [1526272 2025-01-16] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [573952 2025-01-16] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [427520 2025-01-16] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3433472 2025-01-16] (Microsoft Windows -> Microsoft Corporation)
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Сделайте новые логи FRST для контроля.

Проверьте состояние служб.

-------

Новые логи смогу посмотреть только завтра.

[Friend]

5 минут назад, safety сказал:

Похоже есть источник заражения:

Это где?

[thyrex]

В Планировщике задач

 

Цитата

C:\Users\111\AppData\Roaming\yvflfmmj\sartst.exe

C:\Users\111\AppData\Roaming\yvflfmmj\sartst.chm

проверьте на virustotal.com и пришлите ссылки на результат анализа

[Friend]

14 минут назад, thyrex сказал:

проверьте на virustotal.com и пришлите ссылки на результат анализа

Увы, уже все удалено из этой папки.

Новые логи:

Addition.txtFRST.txtFixlog.txt

 

23 минуты назад, safety сказал:

Проверьте состояние служб

Еще бы название служб  нормальном виде увидеть )

[thyrex]

16 минут назад, Friend сказал:

Еще бы название служб  нормальном виде увидеть

Фоновая интеллектуальная служба передачи (BITS)

Оптимизация доставки

Служба оркестратора обновлений

Служба Medic центра обновления Windows

Центр обновления Windows

[Friend]

Спойлер

 

 

1 час назад, thyrex сказал:

C:\Users\111\AppData\Roaming\yvflfmmj\sartst.exe

C:\Users\111\AppData\Roaming\yvflfmmj\sartst.chm

Нашел описание: https://vms.drweb.ru/virus/?i=25829542