Перейти к содержанию
Правила раздела

[РЕШЕНО] Майнер на компьютере

dlitsov

Автор dlitsov
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

dlitsov

dlitsov

Опубликовано
Опубликовано

Скачал набор офисных приложений word на следующий день начался полный кошмар, в игре просидал FPS , начал искать проблему 

диспетчер задач сам закрывался , хотел установить антивирус не получилось , на официальные сайты не дает зайти пишу с телефона , смог установить AVbr сейчас прикреплю логи  . Сейчас уеду на работу , завтра готов к уничтожению его

14d904d13b62d5466385f8e797bef654.txt

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

4 минуты назад, dlitsov сказал:

смог установить AVbr сейчас прикреплю логи

Лог должен быть типа AV_block_remove_дата-время.log. А вы прикрепили фрагмент текстовой части лога AVZ.

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему не начинайте, продолжайте здесь.

dlitsov

dlitsov

Опубликовано
  • Автор
Опубликовано (изменено)
2 часа назад, Sandor сказал:

Здравствуйте!

 

Лог должен быть типа AV_block_remove_дата-время.log. А вы прикрепили фрагмент текстовой части лога AVZ.

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему не начинайте, продолжайте здесь.

 

2 часа назад, Sandor сказал:

Здравствуйте!

 

Лог должен быть типа AV_block_remove_дата-время.log. А вы прикрепили фрагмент текстовой части лога AVZ.

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему не начинайте, продолжайте здесь.

Здравствуйте, он просканировал ,что то сделал и могу на ссылки по антивирусам заходить 

7066f431f0d76686e3f14ead70ba4a19.log 53069e731b2f9f30c4826005aca3b5d4.log

Изменено пользователем dlitsov
dlitsov

dlitsov

Опубликовано
  • Автор
Опубликовано
1 час назад, Sandor сказал:

Не нужно переименовывать отчёты.

Ждём архив с именем CollectionLog.zip, собранный с помощью Автологера.

Извиняюсь что так долго, зашел с компьютера и все понял 

CollectionLog-2025.04.05-10.56.zip

Только что, dlitsov сказал:

Извиняюсь что так долго, зашел с компьютера и все понял 

CollectionLog-2025.04.05-10.56.zip 50.17 kB · 0 загрузок

AV_block_remover создал zip с карантином

Sandor

Sandor

Опубликовано
Опубликовано

Деинсталлируйте нежелательное ПО - Bonjour.

 

Далее:

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать): 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = *.local
O4 - HKCU\..\Run: [GameCenter] = "C:\Users\Dlitsov\AppData\Local\GameCenter\GameCenter.exe" -autostart (file missing)
O4 - HKCU\..\Run: [Rave] = "C:\Users\Dlitsov\AppData\Local\Programs\rave-desktop\Rave.exe" --hidden (file missing)
O4 - HKCU\..\Run: [RiotClient] = D:\Riot Games\Riot Client\RiotClientServices.exe --launch-background-mode (file missing)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [EnableLUA] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = (missing)
O22 - Tasks: \Microsoft\Windows\MapInfoI\RecoveryHosts - C:\ProgramData\Microsoft\MapData\bA7P3SePH\MapInfoI.bat (file missing)
O22 - Tasks: Temp - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe get-childitem -path $env:temp -force -recurse | remove-item -force -recurse (sign: 'Microsoft')
O26 - Debugger: HKLM\..\calc.exe: [Debugger] = C:\Windows\system32\win32calc.exe (not signed - Microsoft Corporation - B832B7A1E333EB4FD88B11422E363F51805F480D)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

 

dlitsov

dlitsov

Опубликовано
  • Автор
Опубликовано
26 минут назад, Sandor сказал:

Деинсталлируйте нежелательное ПО - Bonjour.

 

Далее:

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать): 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyOverride] = *.local
O4 - HKCU\..\Run: [GameCenter] = "C:\Users\Dlitsov\AppData\Local\GameCenter\GameCenter.exe" -autostart (file missing)
O4 - HKCU\..\Run: [Rave] = "C:\Users\Dlitsov\AppData\Local\Programs\rave-desktop\Rave.exe" --hidden (file missing)
O4 - HKCU\..\Run: [RiotClient] = D:\Riot Games\Riot Client\RiotClientServices.exe --launch-background-mode (file missing)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [EnableLUA] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = (missing)
O22 - Tasks: \Microsoft\Windows\MapInfoI\RecoveryHosts - C:\ProgramData\Microsoft\MapData\bA7P3SePH\MapInfoI.bat (file missing)
O22 - Tasks: Temp - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe get-childitem -path $env:temp -force -recurse | remove-item -force -recurse (sign: 'Microsoft')
O26 - Debugger: HKLM\..\calc.exe: [Debugger] = C:\Windows\system32\win32calc.exe (not signed - Microsoft Corporation - B832B7A1E333EB4FD88B11422E363F51805F480D)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

 

 

FRST.txt Addition.txt

2 часа назад, dlitsov сказал:

Извиняюсь что так долго, зашел с компьютера и все понял 

CollectionLog-2025.04.05-10.56.zip 50.17 kB · 3 загрузки

AV_block_remover создал zip с карантином

а что делать с карантином?

Sandor

Sandor

Опубликовано
Опубликовано

В конце лечения мы всё ненужное удалим. Пожалуйста, не цитируйте полностью предыдущее сообщение. Просто пишите в нижнем поле быстрого ответа.

Почему собирали логи в безопасном режиме? В обычном система не загружается?

Если загружается, следующие рекомендации делайте в нормальном режиме загрузки.

 

6 часов назад, Sandor сказал:

Деинсталлируйте нежелательное ПО - Bonjour.

Почему до сих пор не удалили? Удалите, эта программа от Apple и на Windows системах она не нужна. Не говоря о том, что часто из-за неё возникают проблемы с сетью.

 

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
Winsock: Catalog5 08 C:\Program Files (x86)\Bonjour\mdnsNSP.dll [121704 2011-08-30] (Apple Inc. -> Apple Inc.)
Winsock: Catalog5-x64 08 C:\Program Files\Bonjour\mdnsNSP.dll [132968 2011-08-30] (Apple Inc. -> Apple Inc.)
CHR HKU\S-1-5-21-4005472557-3596747714-636632463-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
U3 wscsvc; отсутствует ImagePath
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Immersive Control Panel.lnk:DC8F23BC3A [3442]
AlternateDataStreams: C:\Users\Dlitsov\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Dlitsov\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [8522]
FirewallRules: [{9170444A-A61D-4422-B417-C733DBF47C6E}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{4009A0E6-273D-43E0-8654-189366F078E2}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{394DE3BD-8036-4690-9C3F-87201B945018}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{E62AA2B6-46A6-4F61-9D61-03E8E2BFD9EB}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
FirewallRules: [{F5DB2D5D-16B3-4DB1-8CF2-6B03968B8E00}] => (Allow) LPort=26822
FirewallRules: [{3555874F-A75E-4813-85B7-6710C16DB136}] => (Allow) LPort=32683
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

dlitsov

dlitsov

Опубликовано
  • Автор
Опубликовано (изменено)

Добрый вечер! В обычном вирус не давал ничего делать , смог в безопасный уйти кое как и сделал все.

Сейчас перейду в обычную

Бонжур сейчас удалил

Fixlog.txt

Изменено пользователем dlitsov
Sandor

Sandor

Опубликовано
Опубликовано

Хорошо. Если проблема решена, завершающие шаги:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Sandor

Sandor

Опубликовано
Опубликовано

Исправьте по возможности:

 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14332.20493 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
Discord v.1.0.9147 Внимание! Скачать обновления
Java 8 Update 401 (64-bit) v.8.0.4010.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^
 

---------------------------- [ UnwantedApps ] -----------------------------
MediaGet v.3.01.4319 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Word Office, версия 2.4.2 v.2.4.2 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner. Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
 

Последние две просто удалите, дополнительное сканирование не требуется.

 

Читайте Рекомендации после удаления вредоносного ПО

dlitsov

dlitsov

Опубликовано
  • Автор
Опубликовано

Я очень вам благодарен!

Приятных выходных!

Sandor

Sandor

Опубликовано
Опубликовано

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • RobertoN1
      [РЕШЕНО] Майнер на компьютере
      Автор RobertoN1
      Заметил что, когда открываю папку ProgramData, то через пару секунд она закрывается, но в самой папке находится Avast, который я никогда в жизни не скачивал у меня нету вообще антивирусов на компьютере, использовал AVbr в безопасном режиме и AutoLogger как было сказано в гайдах, прошу помочь!
      CollectionLog-2025.04.02-06.21.zip AV_block_remove_2025.04.02-06.08.log
    • 26alexx
      [РЕШЕНО] Наличие вируса/майнера на компьютере.
      Автор 26alexx
      Мой компьютер заразился скрытым майнером, который при обычном удалении восстанавливается за 5 секунд. Вирус назвался службой "GoogleUpdateTaskMachineQC", разместил себя в папке "C:\ProgramData\Google\Chrome", где поместил два файла "SbieDll.dll" и "updater.exe", вирус сам вносит в исключения папки для проверки: C:\ProgramData, C:\Windows и C:\Windows\System32\config\systemprofile и др. Перестал работать Центр обновления Windows. Не даёт выключать компьютер обычным способом. Только через длительное нажатие кнопки "Включения". Долго грузит "Панель задач" - 2-3 минуты. Может и ещё есть какие-то скрытые изменения. Помогите, пожалуйста, удалить этот вирус-майнер!
      CollectionLog-2025.05.11-22.59.zip
    • November 11
      [РЕШЕНО] Майнер
      Автор November 11
      Я не знаю от куда появился майнер. Пк был не у меня какое-то время
      Но это точно что-то из этого так как начался сильный нагрев, а также сайты с антивирусом закрывает
      Доступа к сайту нет
      4.zip
    • zerx465
      [РЕШЕНО] Майнер
      Автор zerx465
      У меня аналогичная проблема. Кое-как за пол дня смог собрать файлы, но отправить могу только с телефона. Напишите пж мне на почту по этому вопросу, я скину отсчёты. Очень нужна помощь но с компьютера ничего не работает.
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.  
    • Фёдор93
      [РЕШЕНО] майнер
      Автор Фёдор93
      SecurityCheck by glax24 & Severnyj v.1.4.0.54 [06.12.21]
      WebSite: www.safezone.cc
      DateLog: 30.09.2023 21:10:49
      Path starting: C:\Users\fdor_\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
      Log directory: C:\SecurityCheck\
      IsAdmin: True
      User: fdor_
      VersionXML: 10.70is-30.09.2023
      ___________________________________________________________________________
      Windows 10(6.3.19045) (x64) Professional Версия: 2009 Lang: Russian(0419)
      Дата установки ОС: 30.09.2023 12:59:09
      Статус лицензии: Windows(R), Professional edition Windows находится в режиме уведомления
      Режим загрузки: Normal
      Браузер по умолчанию: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
      Системный диск: C: ФС: [NTFS] Емкость: [222.9 Гб] Занято: [30.5 Гб] Свободно: [192.4 Гб]
      ------------------------------- [ Windows ] -------------------------------
      Контроль учётных записей пользователя включен (Уровень 3)
      Центр обеспечения безопасности (wscsvc) - Служба работает
      Удаленный реестр (RemoteRegistry) - Служба остановлена
      Обнаружение SSDP (SSDPSRV) - Служба работает
      Службы удаленных рабочих столов (TermService) - Служба остановлена
      Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
      ---------------------------- [ Antivirus_WMI ] ----------------------------
      Windows Defender (включен и обновлен)
      --------------------------- [ FirewallWindows ] ---------------------------
      Брандмауэр Защитника Windows (mpssvc) - Служба работает
      ------------------------------- [ Backup ] --------------------------------
      Microsoft OneDrive v.21.220.1024.0005 Внимание! Скачать обновления
      ------------------------------- [ Browser ] -------------------------------
      Microsoft Edge v.92.0.902.67 Внимание! Скачать обновления
      ^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^
      ------------------ [ AntivirusFirewallProcessServices ] -------------------
      C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.23080.2006-0\MsMpEng.exe v.4.18.23080.2006
      C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.23080.2006-0\NisSrv.exe v.4.18.23080.2006
      Служба антивирусной программы Microsoft Defender (WinDefend) - Служба работает
      Служба проверки сети антивирусной программы Microsoft Defender (WdNisSvc) - Служба работает
      ----------------------------- [ End of Log ] ------------------------------
       
×
×
  • Создать...