Неизвестный вирус возможно в Program Files\Client Helper

[Stone_Pickle]

Добрый день, на двух компах спустя два месяца после установки одной игрушки пошли проблемы, а именно повышенная нагрузка на ЦП\ГП и слетел PATCH(наверное) к ping arp ipconfig и прочим консольным командам.
Касперский, Др.Веб, АВЗ под PE и на боевой системе ничего не нашли, подозреваю неизвестный софт по пути из заголовка C:\Program Files\Client Helper
Windows 10, Windows 11 

Прикладываю логи с двух компьютеров, буду признателен за любую помощь. Очень не хочется переустанавливать системы

CollectionLog-2025.03.24-20.59.zip CollectionLog-2025.03.24-21.04.zip

Изменено 24 марта, 2025 пользователем Stone_Pickle

[thyrex]

35 минут назад, Stone_Pickle сказал:

Прикладываю логи с двух компьютеров

Один компьютер - одна тема. И не стоит думать, что для второй системы сработает такой же скрипт.

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\Client Helper\Client Helper.exe','');
 QuarantineFile('C:\Users\Лиза\AppData\Roaming\utorrent\pro\nodeupdate.vbs','');
 DeleteFile('C:\Users\Лиза\AppData\Roaming\utorrent\pro\nodeupdate.vbs','64');
 DeleteSchedulerTask('NodeUpdate');
 DeleteFile('C:\Program Files\Client Helper\Client Helper.exe','64');
 DeleteSchedulerTask('RunGame');
 DeleteSchedulerTask('EdgeUpdate');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

После скрипта

Client Helper 6.1.6

удалите через Панель управления – Программы и компоненты или принудительно с помощью Geek Uninstaller

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Stone_Pickle]

18 минут назад, thyrex сказал:

прикрепите к следующему сообщению НОВЫЕ логи

Все пункты выполнил, прикладываю актуальные логи.
Прошу прощения за оффтоп, могу ли я сразу оформить вторую тему для второго компьютера?

CollectionLog-2025.03.24-22.03.zip

[thyrex]

1 час назад, Stone_Pickle сказал:

могу ли я сразу оформить вторую тему для второго компьютера?

конечно

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

[Stone_Pickle]

Прикладываю логи в архиве

Логи с FRCT.zip

[thyrex]

C:\Users\Лиза\Downloads\Sid Meiers Civilization VI by Igruha.torrent - источник Ваших проблем.

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
Task: {699E4516-D194-44C2-AA9C-95FA65E6B03C} - System32\Tasks\OneDrive Startup Task-S-1-5-21-754384049-3575799165-4286452963-1001 => C:\Users\Лиза\AppData\Local\Microsoft\OneDrive\25.015.0126.0002\OneDriveLauncher.exe  /startInstances (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
C:\Users\Лиза\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\fkpjicpkpglboclfabfeflgifhoifhdl
C:\Users\Лиза\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\gbninmjpdneeeicocheiibaegnkmpmkc
C:\Users\Лиза\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\gbninmjpdneeeicocheiibaegnkmpmkc
2025-02-25 12:38 - 2025-02-25 12:38 - 000000383 _____ C:\Users\Лиза\bs-list.json
2025-02-25 12:38 - 2025-02-25 12:38 - 000000344 _____ C:\Users\Лиза\node.dat
2025-02-25 12:38 - 2025-02-25 12:38 - 000000167 _____ C:\Users\Лиза\e-user.json
2025-02-25 12:38 - 2025-02-25 12:38 - 000000103 _____ C:\Users\Лиза\e-country.json
2025-03-24 20:19 - 2025-02-03 12:53 - 000012883 _____ C:\Users\Лиза\ex-list2.json
2025-02-25 12:38 - 2025-02-25 12:38 - 000000344 _____ () C:\Users\Лиза\node.dat
AlternateDataStreams: C:\ProgramData\goyslgxe.nnn:7297ACA992 [4298]
AlternateDataStreams: C:\ProgramData\system.conf:0F57F3FDE6 [4298]
AlternateDataStreams: C:\ProgramData\system.conf:422D4106AB [4298]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [4298]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [4298]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [4298]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word.lnk:7AD7FA8AB1 [4298]
FirewallRules: [{3F23350C-216D-42D1-84D4-1A2F296C68E9}] => (Allow) D:\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{410E41A3-5420-4575-8FB5-4F98176DD0A0}] => (Allow) D:\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [TCP Query User{3C1F466F-21DC-437B-A031-C11A29B32E65}D:\house flipper\house flipper 2 (2023)\house flipper 2\houseflipper2.exe] => (Allow) D:\house flipper\house flipper 2 (2023)\house flipper 2\houseflipper2.exe => Нет файла
FirewallRules: [UDP Query User{B13A14DC-8AB3-4545-B824-27D13F401C0F}D:\house flipper\house flipper 2 (2023)\house flipper 2\houseflipper2.exe] => (Allow) D:\house flipper\house flipper 2 (2023)\house flipper 2\houseflipper2.exe => Нет файла
FirewallRules: [{50C0EEBD-B542-4123-A5BA-4E07BEEF95A8}] => (Block) D:\house flipper\house flipper 2 (2023)\house flipper 2\houseflipper2.exe => Нет файла
FirewallRules: [{7FCE46A2-0294-4DB8-98BC-D88CC2F4537D}] => (Block) D:\house flipper\house flipper 2 (2023)\house flipper 2\houseflipper2.exe => Нет файла
FirewallRules: [TCP Query User{4AC516F0-4944-42D1-8627-F9F2C64AFECD}D:\пал\palworld\pal\binaries\win64\palworld-win64-shipping.exe] => (Allow) D:\пал\palworld\pal\binaries\win64\palworld-win64-shipping.exe => Нет файла
FirewallRules: [UDP Query User{75E5BE85-2F75-4541-A3A8-75EB2EB56938}D:\пал\palworld\pal\binaries\win64\palworld-win64-shipping.exe] => (Allow) D:\пал\palworld\pal\binaries\win64\palworld-win64-shipping.exe => Нет файла
FirewallRules: [{1C431611-D9B5-4C77-8FD6-553B0B3157B9}] => (Block) D:\пал\palworld\pal\binaries\win64\palworld-win64-shipping.exe => Нет файла
FirewallRules: [{F2AD3C03-2B47-4CB4-B6B0-DAD9E1992837}] => (Block) D:\пал\palworld\pal\binaries\win64\palworld-win64-shipping.exe => Нет файла
FirewallRules: [TCP Query User{214E6CA8-F919-40F6-B3F3-F11D217840AB}C:\users\лиза\appdata\local\programs\yandexmusic\яндекс музыка.exe] => (Allow) C:\users\лиза\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [UDP Query User{9A26D8AC-371D-4860-A22D-69984117D1AC}C:\users\лиза\appdata\local\programs\yandexmusic\яндекс музыка.exe] => (Allow) C:\users\лиза\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [{0EA5639E-072E-4B02-B4AA-C95BE766BAC6}] => (Block) C:\users\лиза\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [{E41EA8F7-3AAA-495B-A272-629AFC5D65F3}] => (Block) C:\users\лиза\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [TCP Query User{7CFFBEAD-5B59-46BE-BE83-A56383FA2A80}D:\steam\steamapps\common\palia\palia\binaries\win64\paliaclientsteam-win64-shipping.exe] => (Allow) D:\steam\steamapps\common\palia\palia\binaries\win64\paliaclientsteam-win64-shipping.exe => Нет файла
FirewallRules: [UDP Query User{A40DD5C2-AB2A-431D-B265-AEFA4A9923F7}D:\steam\steamapps\common\palia\palia\binaries\win64\paliaclientsteam-win64-shipping.exe] => (Allow) D:\steam\steamapps\common\palia\palia\binaries\win64\paliaclientsteam-win64-shipping.exe => Нет файла
FirewallRules: [{770EDECB-B299-4207-A445-7F1334F726AB}] => (Block) D:\steam\steamapps\common\palia\palia\binaries\win64\paliaclientsteam-win64-shipping.exe => Нет файла
FirewallRules: [{763DDC04-2732-4151-90ED-E0A205F2EDC3}] => (Block) D:\steam\steamapps\common\palia\palia\binaries\win64\paliaclientsteam-win64-shipping.exe => Нет файла
FirewallRules: [TCP Query User{0FD8CF21-E136-42AA-8344-0ADAB3967E4A}D:\oxy\oxygen not included\oxygennotincluded.exe] => (Allow) D:\oxy\oxygen not included\oxygennotincluded.exe => Нет файла
FirewallRules: [UDP Query User{76C4FB40-9F8D-4F68-A5B3-49EAD4E11E73}D:\oxy\oxygen not included\oxygennotincluded.exe] => (Allow) D:\oxy\oxygen not included\oxygennotincluded.exe => Нет файла
FirewallRules: [{6D94AFE9-EA36-4DF1-A34B-CE19845F9DDD}] => (Block) D:\oxy\oxygen not included\oxygennotincluded.exe => Нет файла
FirewallRules: [{3275767B-62E3-47AA-ADAC-99C8378C4CA5}] => (Block) D:\oxy\oxygen not included\oxygennotincluded.exe => Нет файла
FirewallRules: [TCP Query User{35AB6C41-9193-4E1F-AE0A-B0B2A6E03349}D:\steam\steamapps\common\dragon age inquisition\dragonageinquisition.exe] => (Allow) D:\steam\steamapps\common\dragon age inquisition\dragonageinquisition.exe => Нет файла
FirewallRules: [UDP Query User{5EFC8AB1-52BC-42EE-BA61-A4D7B7B77313}D:\steam\steamapps\common\dragon age inquisition\dragonageinquisition.exe] => (Allow) D:\steam\steamapps\common\dragon age inquisition\dragonageinquisition.exe => Нет файла
FirewallRules: [{A9E28E62-77CF-4FC8-B7BC-A66741A631B4}] => (Block) D:\steam\steamapps\common\dragon age inquisition\dragonageinquisition.exe => Нет файла
FirewallRules: [{CCADE995-6548-4D88-98CD-F9EEDCF90292}] => (Block) D:\steam\steamapps\common\dragon age inquisition\dragonageinquisition.exe => Нет файла
FirewallRules: [TCP Query User{04A6EFF9-522C-491C-8D03-E6AF53E9372B}G:\games\baldurs gate 3\bin\bg3_dx11.exe] => (Allow) G:\games\baldurs gate 3\bin\bg3_dx11.exe => Нет файла
FirewallRules: [UDP Query User{787B594A-0CF9-48CF-8C73-DCE40870AC20}G:\games\baldurs gate 3\bin\bg3_dx11.exe] => (Allow) G:\games\baldurs gate 3\bin\bg3_dx11.exe => Нет файла
FirewallRules: [TCP Query User{46B011BD-FA2E-4337-BCEF-2AF9346C3A54}G:\games\baldurs gate 3\bin\bg3_dx11.exe] => (Block) G:\games\baldurs gate 3\bin\bg3_dx11.exe => Нет файла
FirewallRules: [UDP Query User{3A3A06EC-5984-4049-AA57-49CC1F9FED98}G:\games\baldurs gate 3\bin\bg3_dx11.exe] => (Block) G:\games\baldurs gate 3\bin\bg3_dx11.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

[Stone_Pickle]

22 hours ago, thyrex said:

Пожалуйста, прикрепите его в следующем сообщении.

Прикладываю лог после исправления

Fixlog.txt

[thyrex]

Проблема решена?