[РЕШЕНО] Майнер на компьютере

[dlitsov]

Скачал набор офисных приложений word на следующий день начался полный кошмар, в игре просидал FPS , начал искать проблему 

диспетчер задач сам закрывался , хотел установить антивирус не получилось , на официальные сайты не дает зайти пишу с телефона , смог установить AVbr сейчас прикреплю логи  . Сейчас уеду на работу , завтра готов к уничтожению его

14d904d13b62d5466385f8e797bef654.txt

[Sandor]

Здравствуйте!

 

4 минуты назад, dlitsov сказал:

смог установить AVbr сейчас прикреплю логи

Лог должен быть типа AV_block_remove_дата-время.log. А вы прикрепили фрагмент текстовой части лога AVZ.

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему не начинайте, продолжайте здесь.

[dlitsov]

2 часа назад, Sandor сказал:

Здравствуйте!

 

Лог должен быть типа AV_block_remove_дата-время.log. А вы прикрепили фрагмент текстовой части лога AVZ.

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему не начинайте, продолжайте здесь.

 

2 часа назад, Sandor сказал:

Здравствуйте!

 

Лог должен быть типа AV_block_remove_дата-время.log. А вы прикрепили фрагмент текстовой части лога AVZ.

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему не начинайте, продолжайте здесь.

Здравствуйте, он просканировал ,что то сделал и могу на ссылки по антивирусам заходить 

7066f431f0d76686e3f14ead70ba4a19.log 53069e731b2f9f30c4826005aca3b5d4.log

Изменено Пятница в 13:03 пользователем dlitsov

[Sandor]

Не нужно переименовывать отчёты.

17 часов назад, Sandor сказал:

выполните Порядок оформления запроса о помощи

Ждём архив с именем CollectionLog.zip, собранный с помощью Автологера.

[dlitsov]

1 час назад, Sandor сказал:

Не нужно переименовывать отчёты.

Ждём архив с именем CollectionLog.zip, собранный с помощью Автологера.

Извиняюсь что так долго, зашел с компьютера и все понял 

CollectionLog-2025.04.05-10.56.zip

Только что, dlitsov сказал:

Извиняюсь что так долго, зашел с компьютера и все понял 

CollectionLog-2025.04.05-10.56.zip 50.17 kB · 0 загрузок

AV_block_remover создал zip с карантином

[Sandor]

Деинсталлируйте нежелательное ПО - Bonjour.

 

Далее:

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = *.local
O4 - HKCU\..\Run: [GameCenter] = "C:\Users\Dlitsov\AppData\Local\GameCenter\GameCenter.exe" -autostart (file missing)
O4 - HKCU\..\Run: [Rave] = "C:\Users\Dlitsov\AppData\Local\Programs\rave-desktop\Rave.exe" --hidden (file missing)
O4 - HKCU\..\Run: [RiotClient] = D:\Riot Games\Riot Client\RiotClientServices.exe --launch-background-mode (file missing)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [EnableLUA] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = (missing)
O22 - Tasks: \Microsoft\Windows\MapInfoI\RecoveryHosts - C:\ProgramData\Microsoft\MapData\bA7P3SePH\MapInfoI.bat (file missing)
O22 - Tasks: Temp - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe get-childitem -path $env:temp -force -recurse | remove-item -force -recurse (sign: 'Microsoft')
O26 - Debugger: HKLM\..\calc.exe: [Debugger] = C:\Windows\system32\win32calc.exe (not signed - Microsoft Corporation - B832B7A1E333EB4FD88B11422E363F51805F480D)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

 

[dlitsov]

26 минут назад, Sandor сказал:

Деинсталлируйте нежелательное ПО - Bonjour.

 

Далее:

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = *.local
O4 - HKCU\..\Run: [GameCenter] = "C:\Users\Dlitsov\AppData\Local\GameCenter\GameCenter.exe" -autostart (file missing)
O4 - HKCU\..\Run: [Rave] = "C:\Users\Dlitsov\AppData\Local\Programs\rave-desktop\Rave.exe" --hidden (file missing)
O4 - HKCU\..\Run: [RiotClient] = D:\Riot Games\Riot Client\RiotClientServices.exe --launch-background-mode (file missing)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [EnableLUA] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = (missing)
O22 - Tasks: \Microsoft\Windows\MapInfoI\RecoveryHosts - C:\ProgramData\Microsoft\MapData\bA7P3SePH\MapInfoI.bat (file missing)
O22 - Tasks: Temp - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe get-childitem -path $env:temp -force -recurse | remove-item -force -recurse (sign: 'Microsoft')
O26 - Debugger: HKLM\..\calc.exe: [Debugger] = C:\Windows\system32\win32calc.exe (not signed - Microsoft Corporation - B832B7A1E333EB4FD88B11422E363F51805F480D)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

 

 

FRST.txt Addition.txt

2 часа назад, dlitsov сказал:

Извиняюсь что так долго, зашел с компьютера и все понял 

CollectionLog-2025.04.05-10.56.zip 50.17 kB · 3 загрузки

AV_block_remover создал zip с карантином

а что делать с карантином?

[Sandor]

В конце лечения мы всё ненужное удалим. Пожалуйста, не цитируйте полностью предыдущее сообщение. Просто пишите в нижнем поле быстрого ответа.

Почему собирали логи в безопасном режиме? В обычном система не загружается?

Если загружается, следующие рекомендации делайте в нормальном режиме загрузки.

 

6 часов назад, Sandor сказал:

Деинсталлируйте нежелательное ПО - Bonjour.

Почему до сих пор не удалили? Удалите, эта программа от Apple и на Windows системах она не нужна. Не говоря о том, что часто из-за неё возникают проблемы с сетью.

 

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  Winsock: Catalog5 08 C:\Program Files (x86)\Bonjour\mdnsNSP.dll [121704 2011-08-30] (Apple Inc. -> Apple Inc.)
  Winsock: Catalog5-x64 08 C:\Program Files\Bonjour\mdnsNSP.dll [132968 2011-08-30] (Apple Inc. -> Apple Inc.)
  CHR HKU\S-1-5-21-4005472557-3596747714-636632463-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
  U3 wscsvc; отсутствует ImagePath
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Immersive Control Panel.lnk:DC8F23BC3A [3442]
  AlternateDataStreams: C:\Users\Dlitsov\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
  AlternateDataStreams: C:\Users\Dlitsov\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [8522]
  FirewallRules: [{9170444A-A61D-4422-B417-C733DBF47C6E}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{4009A0E6-273D-43E0-8654-189366F078E2}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{394DE3BD-8036-4690-9C3F-87201B945018}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{E62AA2B6-46A6-4F61-9D61-03E8E2BFD9EB}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{F5DB2D5D-16B3-4DB1-8CF2-6B03968B8E00}] => (Allow) LPort=26822
  FirewallRules: [{3555874F-A75E-4813-85B7-6710C16DB136}] => (Allow) LPort=32683
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[dlitsov]

Добрый вечер! В обычном вирус не давал ничего делать , смог в безопасный уйти кое как и сделал все.

Сейчас перейду в обычную

Бонжур сейчас удалил

Fixlog.txt

Изменено Суббота в 17:42 пользователем dlitsov

[Sandor]

Хорошо. Если проблема решена, завершающие шаги:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[dlitsov]

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14332.20493 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
Discord v.1.0.9147 Внимание! Скачать обновления
Java 8 Update 401 (64-bit) v.8.0.4010.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^
 

---------------------------- [ UnwantedApps ] -----------------------------
MediaGet v.3.01.4319 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Word Office, версия 2.4.2 v.2.4.2 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
 

Последние две просто удалите, дополнительное сканирование не требуется.

 

Читайте Рекомендации после удаления вредоносного ПО

[dlitsov]

Я очень вам благодарен!

Приятных выходных!

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".