Перейти к содержанию

Майнер на компьютере


Рекомендуемые сообщения

Я подозреваю что у меня майнер или троян так как у меня не открываются параметры( все способы перепробовал) а также при открытии например панели управления выскакивает табличка: операция отменена из за огранечений..... Обратитесь к администратору хотя я и есть администратор. Перед этим я использовал AVbr и только потом AutoLogger

AV_block_remove_2025.02.02-17.03.log report2.log report1.log CollectionLog-2025.02.02-17.19.zip

Ссылка на комментарий
Поделиться на другие сайты

1 час назад, iaroslav сказал:

Перед этим я использовал AVbr

Бездумно использовали, потому как майнера, последствия которого он устраняет, у Вас нет.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CreateRestorePoint:
HKLM\ DisallowedCertificates: 47D92D49E6F7F296260DA1AF355F941EB25360C4 (U)
HKLM\ DisallowedCertificates: EE45853E5C81DB8FDBB7F92C18B20972C744911C (U)
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-4049823658-3218535574-551886044-1004\...\RunOnce: [Delete Cached Standalone Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\XandXXL\AppData\Local\Microsoft\OneDrive\StandaloneUpdater\OneDriveSetup.exe" (Нет файла)
HKU\S-1-5-21-4049823658-3218535574-551886044-500\...\RunOnce: [Delete Cached Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\Администратор\AppData\Local\Microsoft\OneDrive\Update\OneDriveSetup.exe" (Нет файла)
HKU\S-1-5-21-4049823658-3218535574-551886044-500\...\RunOnce: [Delete Cached Standalone Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\Администратор\AppData\Local\Microsoft\OneDrive\StandaloneUpdater\OneDriveSetup.exe" (Нет файла)
IFEO\'CompatTelRunner.exe': [Debugger] C:\WINDOWS\System32\taskkill.exe
IFEO\'DeviceCensus.exe': [Debugger] C:\WINDOWS\System32\taskkill.exe
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {A4545B01-BC70-4480-BECB-233163DD5CAF} - System32\Tasks\ASUS\P508PowerAgent_sdk => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\ShareFromArmouryIII\Mouse\ROG STRIX CARRY\P508PowerAgent.exe  (Нет файла)
Task: {077BA067-7C15-40F0-B22E-C9DC2A54B4A2} - System32\Tasks\Microsoft\Windows\Location\Notifications => %windir%\System32\LocationNotificationWindows.exe  (Нет файла)
Task: {F3E6E7ED-A196-4E44-8803-55FAB3AD4E29} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
AlternateDataStreams: C:\ProgramData\MTA San Andreas All:b63359d7 [1134]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Access.lnk:A1B76439FE [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FACEIT AC.lnk:550995E265 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OneNote.lnk:60EC9648C0 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Outlook (classic).lnk:BE800952D3 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Publisher.lnk:104946E0EA [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Sticky Notes (new).lnk:954E53D7F9 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word.lnk:7AD7FA8AB1 [3442]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [6534]
AlternateDataStreams: C:\Users\user\Documents\GTA San Andreas User Files:b63359d7 [1134]
FirewallRules: [TCP Query User{7456CFB1-FD83-4C03-A078-8075403D7596}C:\users\user\appdata\local\faceit\app-2.0.31\faceit.exe] => (Block) C:\users\user\appdata\local\faceit\app-2.0.31\faceit.exe => Нет файла
FirewallRules: [UDP Query User{85E99049-15AE-4AD0-914E-0840B6E8F65A}C:\users\user\appdata\local\faceit\app-2.0.31\faceit.exe] => (Block) C:\users\user\appdata\local\faceit\app-2.0.31\faceit.exe => Нет файла
FirewallRules: [TCP Query User{1BA5E78A-8E75-4EAA-90CB-E86B5FB621BB}C:\users\user\appdata\local\faceit\app-2.0.26\faceit.exe] => (Allow) C:\users\user\appdata\local\faceit\app-2.0.26\faceit.exe => Нет файла
FirewallRules: [UDP Query User{80544ED3-552C-4A05-A82D-65DC1DA6E6C2}C:\users\user\appdata\local\faceit\app-2.0.26\faceit.exe] => (Allow) C:\users\user\appdata\local\faceit\app-2.0.26\faceit.exe => Нет файла
FirewallRules: [TCP Query User{3352F061-6DD4-498B-9479-8D8EF8DB6A6A}C:\program files (x86)\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe] => (Allow) C:\program files (x86)\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe => Нет файла
FirewallRules: [UDP Query User{1193A167-F450-474F-8B98-A531DA62D7E2}C:\program files (x86)\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe] => (Allow) C:\program files (x86)\steam\steamapps\common\pubg\tslgame\binaries\win64\tslgame.exe => Нет файла
FirewallRules: [TCP Query User{0070F028-0578-405F-B1CD-C97FF5162FFF}C:\users\user\desktop\новая папка (2)\mmvcserversio\mmvcserversio.exe] => (Allow) C:\users\user\desktop\новая папка (2)\mmvcserversio\mmvcserversio.exe => Нет файла
FirewallRules: [UDP Query User{45126C9D-897B-44A0-AC04-D7C54910D716}C:\users\user\desktop\новая папка (2)\mmvcserversio\mmvcserversio.exe] => (Allow) C:\users\user\desktop\новая папка (2)\mmvcserversio\mmvcserversio.exe => Нет файла
FirewallRules: [TCP Query User{77D39397-51BE-4838-AF9C-BE2AE30CAFFB}C:\program files (x86)\wootechy soundbot\soundbot.exe] => (Allow) C:\program files (x86)\wootechy soundbot\soundbot.exe => Нет файла
FirewallRules: [UDP Query User{FD945EB4-4F74-4A4A-9352-EC365A97276E}C:\program files (x86)\wootechy soundbot\soundbot.exe] => (Allow) C:\program files (x86)\wootechy soundbot\soundbot.exe => Нет файла
FirewallRules: [TCP Query User{0666C1ED-E3DB-4C6A-910F-B59B9DBED38A}C:\program files (x86)\wootechy soundbot\x86\rtaivc\rtaivc.exe] => (Allow) C:\program files (x86)\wootechy soundbot\x86\rtaivc\rtaivc.exe => Нет файла
FirewallRules: [UDP Query User{FB141482-5A19-4818-AAE0-56742FC264D7}C:\program files (x86)\wootechy soundbot\x86\rtaivc\rtaivc.exe] => (Allow) C:\program files (x86)\wootechy soundbot\x86\rtaivc\rtaivc.exe => Нет файла
FirewallRules: [TCP Query User{0F59599C-83CF-4124-B933-A9183E1FF65E}C:\program files (x86)\unictool magicvox\magicvox.exe] => (Allow) C:\program files (x86)\unictool magicvox\magicvox.exe => Нет файла
FirewallRules: [UDP Query User{B9CBB3CA-534B-4469-ADBE-77C3306D66A6}C:\program files (x86)\unictool magicvox\magicvox.exe] => (Allow) C:\program files (x86)\unictool magicvox\magicvox.exe => Нет файла
FirewallRules: [TCP Query User{18DAF189-198B-447E-B81B-4077C6A56329}C:\program files (x86)\unictool magicvox\x86\rtaivc\rtaivc.exe] => (Block) C:\program files (x86)\unictool magicvox\x86\rtaivc\rtaivc.exe => Нет файла
FirewallRules: [UDP Query User{D25D67DE-E6E8-46FB-85EC-72AD242F3BE0}C:\program files (x86)\unictool magicvox\x86\rtaivc\rtaivc.exe] => (Block) C:\program files (x86)\unictool magicvox\x86\rtaivc\rtaivc.exe => Нет файла
FirewallRules: [{B4FD30D4-39B9-407E-AA6C-B58C2E19E15E}] => (Allow) C:\Windows\Temp\7zS07A5\Installer\hpbcsiInstaller.exe => Нет файла
FirewallRules: [{9D3E3BE9-CC04-4A4E-B0CA-9DC3F27BAE77}] => (Allow) C:\Windows\Temp\7zS07A5\Installer\hpbcsiInstaller.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
Ссылка на комментарий
Поделиться на другие сайты

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

  • Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Прикрепите этот файл в своем следующем сообщении.


 
Ссылка на комментарий
Поделиться на другие сайты

2 часа назад, thyrex сказал:

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

  • Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);

 


 

после открытия от имени администратора пишет не удалось открыть файл: Произошла ошибка при выполнении ""SecurityCheck.exe" /autodelscript"

Изменено пользователем iaroslav
Ссылка на комментарий
Поделиться на другие сайты

Разархивировали? Либо блокирует Защитник или SmartScreen. Кто их знает эти 11 окна )

 

В принципе этот шаг нужен только для проверки на необходимость обновления установленных программ, и его можно пропустить.

Ссылка на комментарий
Поделиться на другие сайты

да все разархировал, блокирует smart screen, нажимаю все равно запустить и выдает ошибку

Изменено пользователем iaroslav
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Viacheslau T
      Автор Viacheslau T
      Здравствуйте.

      На днях знакомый прислал книгу которую я искал, но как оказалось, он ее скачал с сайта-клона flibusta.su который наполнен вирусами и майнерами.
      Файл был открыт, но касперский вовремя его снес. Однако, видимо проблема прошла глубже.
      При старте пк получаю уведомления от касперского(см 1 изобр.), что "Остановлен переход на сайт", но самого перехода от моего лица не происходит.
      Перед созданием темы прогнал Dr.Web CureIt! и KVRM(2 и 3 изображ.). Первая утилита ничего не нашла, вторая выдала список ошибок обработки файлов, но возможно это связанно с тем, что эти приложения были активны.
      Пока-что не собирал логи, т.к. не до конца понимаю, если я остановлю касперкий, скрипт подтянет майнер с вирусного сайта или нет?
      Описание события:
      ```
      Событие: Остановлен переход на сайт
      Пользователь: DESKTOP-579T290\tsvirkovv
      Тип пользователя: Инициатор
      Имя приложения: MSPCManager.exe
      Путь к приложению: C:\Program Files\WindowsApps\Microsoft.MicrosoftPCManager_3.17.10.0_x64__8wekyb3d8bbwe\PCManager
      Компонент: Интернет-защита
      Описание результата: Запрещено
      Тип: Вредоносная ссылка
      Название: flibusta.su
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Веб-страница
      Имя объекта: flibusta.su
      Причина: Базы
      Дата выпуска баз: Вчера, 09.08.2025 15:47:00

      Событие: Остановлен переход на сайт
      Пользователь: DESKTOP-579T290\tsvirkovv
      Тип пользователя: Инициатор
      Имя приложения: MSPCManager.exe
      Путь к приложению: C:\Program Files\WindowsApps\Microsoft.MicrosoftPCManager_3.17.10.0_x64__8wekyb3d8bbwe\PCManager
      Компонент: Интернет-защита
      Описание результата: Запрещено
      Тип: Вредоносная ссылка
      Название: http://flibusta.su/favicon.ico
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Веб-страница
      Имя объекта: favicon.ico
      Путь к объекту: http://flibusta.su
      Причина: Базы
      Дата выпуска баз: Вчера, 09.08.2025 15:47:00
      ```
      Пожалуйста, сориентируйте порядок действий и проверок, которые нужно провести с минимальными рисками, т.к. не хотелось бы потерять систему.



    • Amurkin
      Автор Amurkin
      Добрый день! Новый ноутбук стал сильно греться даже в простое. Подозреваю майнер. Прошу помочь!CollectionLog-2025.08.09-12.09.zip
    • 26alexx
      Автор 26alexx
      Мой компьютер заразился скрытым майнером, который при обычном удалении восстанавливается за 5 секунд. Вирус назвался службой "GoogleUpdateTaskMachineQC", разместил себя в папке "C:\ProgramData\Google\Chrome", где поместил два файла "SbieDll.dll" и "updater.exe", вирус сам вносит в исключения папки для проверки: C:\ProgramData, C:\Windows и C:\Windows\System32\config\systemprofile и др. Перестал работать Центр обновления Windows. Не даёт выключать компьютер обычным способом. Только через длительное нажатие кнопки "Включения". Долго грузит "Панель задач" - 2-3 минуты. Может и ещё есть какие-то скрытые изменения. Помогите, пожалуйста, удалить этот вирус-майнер!
      CollectionLog-2025.05.11-22.59.zip
    • Isik
      Автор Isik
      Малварбайт обнаружил процесс исходящего траффика в пути- C:\Users\user\AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC, потом это появлялось снова и снова. В диспетчере задач обнаружил три процесса Setup, которые ведут к папке 2xzjMMUGjeobOYtjoc0gOuMKKHC в Temp. Что это такое не пойму, никогда ничего подобного не видел. Заранее благодарю.
    • Vovkaproshka
      Автор Vovkaproshka
      После установки лоадера впнов появился процесс setup нагружает только оперативку.
      Doctor  web antivirus удаляет три трояна, после сетап пропадает из процессов, после перезагрузки процесс снова появляется, думаю прикрепился к какому-то приложению, через безопасный режим также после удаления и перезагрузки загружается,  находится по пути AppData\Local\Temp\2xzjMMUGjeobOYtjoc0gOuMKKHC
×
×
  • Создать...