[РЕШЕНО] Подозрение на майнер и вирус

[Kopitian]

Обнаружил, что при открытии диспетчера задач, резко падает нагрузка на CPU и GPU, затем через какое то время диспетчер задач самостоятельно выключался. Проверил антивирусом, антивирус нашел вирусы и майнеры. Компьютер стал работать значительно лучше. Подскажите, что-либо еще требуется сделать? Логи прикрепляю.

CollectionLog-2025.02.01-21.19.zip

[thyrex]

Пофиксите в HiJackThis из папки Autologger (запускать HiJackThis от имени Администратора по правой кнопке мыши)

O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - Account: (RDP Group) User 'John' is a member of Remote desktop group
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0
O27 - RDP: (Port) 3389 TCP opened as inbound - (no service) - (Remote Desktop) - (all applications)
O27 - RDP: (Port) 3389 TCP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик TCP)) - C:\WINDOWS\system32\svchost.exe
O27 - RDP: (Port) 3389 UDP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик UDP)) - C:\WINDOWS\system32\svchost.exe

 

Скачайте AV block remover.
Распакуйте (только не на Рабочий стол (Desktop) и не в папку Загрузки (Downloads)), запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe, например, в AVbr123.exe (или любое другое имя).
Если и так не запускается, запустите его в безопасном режиме с поддержкой сети.

 

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.
 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Kopitian]

AV_block_remove_2025.02.02-00.36.logFirst Addition.rar

 

А такой вопрос: майнеры могут распространяться по сети? у меня к больному компьютеру по сети соединен с другим ПК который используется как хранилище. Симптомов аналогичных этому ПК не было обнаружено. Прикладываю лог второго компьютера. Посмотрите, пожалуйста?CollectionLog-2025.02.02-01.21.zip

[thyrex]

По сети майнеры не распространяются.

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
Task: {FBE0613B-E975-4E8A-A0DF-03FAEF46EC41} - System32\Tasks\Microsoft\Office\Office 15 Subscription Heartbeat => %ProgramFiles%\Common Files\Microsoft Shared\Office16\OLicenseHeartbeat.exe  (Нет файла)
2025-01-09 22:40 - 2025-01-09 22:40 - 000037376 _____ (Microsoft Corporation) C:\WINDOWS\system32\rfxvmt.dll
HKU\S-1-5-21-2279165377-3850288677-1261535307-1001\Software\Classes\regfile:  <==== ВНИМАНИЕ
HKU\S-1-5-21-2279165377-3850288677-1261535307-1001\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-2279165377-3850288677-1261535307-1001\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-2279165377-3850288677-1261535307-1001\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
FirewallRules: [{B665E9AC-F9DA-4AF7-B228-149C3657633D}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EABackgroundService.exe => Нет файла
FirewallRules: [{685551E6-1CAB-4042-A29B-A2D5FE1B9486}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EABackgroundService.exe => Нет файла
FirewallRules: [{2D64B78D-2399-4053-86F5-9512E31E8BF7}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EAConnect_microsoft.exe => Нет файла
FirewallRules: [{FD4738F5-837A-4DB5-8974-0DA70FD70F36}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EAConnect_microsoft.exe => Нет файла
FirewallRules: [{C9FD1817-3A90-4052-BF35-7AC0E0117DF9}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EADesktop.exe => Нет файла
FirewallRules: [{7AD5415B-138D-44E6-839B-28EFE92BD293}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EADesktop.exe => Нет файла
FirewallRules: [{261C44D9-8157-4031-9984-A943EF31EBF9}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EAGEP.exe => Нет файла
FirewallRules: [{4B69ED9B-8141-41E5-B6E4-CD087AB9681E}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EAGEP.exe => Нет файла
FirewallRules: [{218044EB-92E0-402F-AA8B-164A5322D4C7}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EALocalHostSvc.exe => Нет файла
FirewallRules: [{5F65D08E-3FB2-4664-8CD5-7F171C391450}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EALocalHostSvc.exe => Нет файла
FirewallRules: [{4F262869-2B9D-4546-99AC-ED0B1948930E}] => (Allow) C:\Program Files\Electronic Arts\EA Desktop\EA Desktop\EALaunchHelper.exe => Нет файла
FirewallRules: [TCP Query User{5ACE3BC2-08D7-4536-BC67-070A56042FC1}E:\forza motorsport - premium edition (2023) portable by canek77\forza_steamworks_release_final.exe] => (Allow) E:\forza motorsport - premium edition (2023) portable by canek77\forza_steamworks_release_final.exe => Нет файла
FirewallRules: [UDP Query User{182057F3-4AE8-4625-AB72-0EF1C4734625}E:\forza motorsport - premium edition (2023) portable by canek77\forza_steamworks_release_final.exe] => (Allow) E:\forza motorsport - premium edition (2023) portable by canek77\forza_steamworks_release_final.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[Kopitian]

Fixlog.txt

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Kopitian]

SecurityCheck.txtДобрый вечер, а кроме майнеров, активность каких-нибудь еще вирусов была замечена?

[thyrex]

Ничего другого вирусоподобнго не было.

 

По возможности исправьте:

AMD Software v.23.20.40 Внимание! Скачать обновления
Приложение NVIDIA 11.0.1.189 v.11.0.1.189 Внимание! Скачать обновления
Среда выполнения Microsoft Edge WebView2 Runtime v.132.0.2957.127 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
Yandex v.24.12.4.1049 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
Microsoft Edge v.132.0.2957.127 Внимание! Скачать обновления
^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^
 

На этом закончим.

[Kopitian]

Спасибо БОЛЬШОЕ за помощь, на форуме присутствует фозможность donate?

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".