[РЕШЕНО] Словил майнер

[wastezxc]

Видимо словил майнер, некоторые приложения при запуске сразу закрываются
 

CollectionLog-2025.04.04-17.45.zip

[wastezxc]

Почитал некоторые посты в данном форуме, смог справиться с майнером

 

[Sandor]

Здравствуйте!

 

Скриптами, написанными для других систем вы можете повредить свою систему и усугубить ситуацию.

Сделайте дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[wastezxc]

Извините, что не ответил
я не писал скрипты , я проверил папки, несколько проверок через др веб и вроде как удалил 2 файла с майнером
Сейчас хочу убедиться, что полностью избавился

Addition.txt FRST.txt

[Sandor]

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

 

Client Helper 6.1.6

uTorrent 8.2.9

uTorrent 4.2.7

Что не получится удалить стандартно, удалите принудительно с помощью Geek Uninstaller

 

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {4E5678E3-4C60-4E44-A1E4-49D02E02C443} - System32\Tasks\Microsoft\Windows\WindowsUpdate\RUXIM\PLUGScheduler => "%ProgramFiles%\RUXIM\PLUGscheduler.exe"  (Нет файла)
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\aaccajbkdabeidbhcnghmicalncdekal
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\alignflffchgbjgajnbmhgnfccdpkghc
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Profile 1\Extensions\bepikpcnidilfkfmeclnfdhhknmlgpge
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Profile 1\Extensions\dgfkdbceipekcglnfbnciifnojaoboch
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Profile 1\Extensions\dpakppnignbhmpchklbdbjifcoekpaep
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Profile 2\Extensions\mpkmlbojbgpeajahiflijmdccklngelf
  C:\Users\Антон\AppData\Local\Google\Chrome\User Data\Default\Extensions\gelnpcpdgckkddfihjejclhbnfhjjppi
  C:\Users\Антон\AppData\Local\Google\Chrome\User Data\Default\Extensions\pejlkmopinbgjaofajcibjnpldncdmfo
  CHR HKU\S-1-5-21-2216017052-354186304-3316818888-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad]
  S3 bits; C:\Windows\System32\svchost.exe [57528 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S3 bits; C:\Windows\SysWOW64\svchost.exe [47040 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S3 BITS_bkp; C:\Windows\System32\qmgr.dll [1481728 2024-10-12] (Microsoft Windows -> Microsoft Corporation)
  S3 dosvc; C:\Windows\System32\svchost.exe [57528 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S3 dosvc; C:\Windows\SysWOW64\svchost.exe [47040 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S3 dosvc_bkp; C:\Windows\system32\dosvc.dll [1526272 2024-11-24] (Microsoft Windows -> Microsoft Corporation)
  S2 HitmanPro38CrusaderBoot; C:\Users\Антон\Downloads\HitmanPro_x64.exe [14292512 2025-04-07] (Sophos Ltd -> Sophos B.V.)
  S2 UsoSvc; C:\Windows\system32\svchost.exe [57528 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S2 UsoSvc; C:\Windows\SysWOW64\svchost.exe [47040 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [576512 2025-03-01] (Microsoft Windows -> Microsoft Corporation)
  S3 wuauserv; C:\Windows\system32\svchost.exe [57528 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S3 wuauserv; C:\Windows\SysWOW64\svchost.exe [47040 2024-10-12] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
  S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3433472 2025-03-01] (Microsoft Windows -> Microsoft Corporation)
  R3 hitmanpro37; C:\Windows\system32\drivers\hitmanpro37.sys [42040 2025-04-07] (Microsoft Windows Hardware Compatibility Publisher -> )
  S3 cpuz154; \??\C:\Windows\temp\cpuz154\cpuz154_x64.sys [X] <==== ВНИМАНИЕ
  2024-10-12 16:41 - 2024-12-21 14:30 - 000000323 _____ () C:\Users\Антон\uTorrentPro.dat
  AV: Malwarebytes (Disabled - Out of date) {0D452135-A081-B000-D6B6-132E52638543}
  ContextMenuHandlers1: [Advanced SystemCare] -> {2803063F-4B8D-4dc6-8874-D1802487FE2D} =>  -> Нет файла
  ContextMenuHandlers1: [iTop Desktop Manager] -> {609ED1DF-1540-4F2E-BAAC-C2C9CDB64C00} =>  -> Нет файла
  ContextMenuHandlers2: [Advanced SystemCare] -> {2803063F-4B8D-4dc6-8874-D1802487FE2D} =>  -> Нет файла
  ContextMenuHandlers2: [iTop Desktop Manager] -> {609ED1DF-1540-4F2E-BAAC-C2C9CDB64C00} =>  -> Нет файла
  ContextMenuHandlers4: [Advanced SystemCare] -> {2803063F-4B8D-4dc6-8874-D1802487FE2D} =>  -> Нет файла
  ContextMenuHandlers4: [iTop Desktop Manager] -> {609ED1DF-1540-4F2E-BAAC-C2C9CDB64C00} =>  -> Нет файла
  ContextMenuHandlers5: [iTop Desktop Manager] -> {609ED1DF-1540-4F2E-BAAC-C2C9CDB64C00} =>  -> Нет файла
  ContextMenuHandlers6: [iTop Desktop Manager] -> {609ED1DF-1540-4F2E-BAAC-C2C9CDB64C00} =>  -> Нет файла
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\WindowsExcel.lnk:D5318B81A6 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\WindowsWord.lnk:126EFFA2F4 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Access.lnk:A1B76439FE [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OneNote.lnk:60EC9648C0 [3442]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Outlook (classic).lnk:BE800952D3 [3442]
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Скачайте этот архив, извлеките из него файлы и последовательно запустите каждый, соглашаясь с внесением изменений в реестр.

Перезагрузите компьютер.

Удалите старые и соберите новые логи FRST.txt и Addition.txt

[wastezxc]

Здраствуйте, а зачем этот текст нужен был?
Все сделал, вот логи

Fixlog.txt FRST.txt Addition.txt

[Sandor]

В браузере Яндекс удалите все расширения "Adblock Plus - бесплатный блокировщик рекламы", это фальшивый блокировщик и сделайте сброс настроек.

 

Ещё один скрипт выполните:

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [427520 2024-10-12] (Microsoft Windows -> Microsoft Corporation)
  ContextMenuHandlers3: [Advanced SystemCare] -> {2803063F-4B8D-4dc6-8874-D1802487FE2D} =>  -> Нет файла
  FirewallRules: [{8AB78EB4-F937-40EB-A84E-B7304811CBC4}] => (Allow) C:\Users\Антон\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
  FirewallRules: [{82ADBFE1-EAED-4491-A1C7-BFBD42BBBEBB}] => (Allow) C:\Users\Антон\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
  StartPowershell:
  Remove-MpPreference -ExclusionPath "C:\Users\Антон"
  Remove-MpPreference -ExclusionPath "C:\ProgramData"
  Remove-MpPreference -ExclusionPath "C:\Windows\system32\config\systemprofile"
  Remove-MpPreference -ExclusionExtension ".exe"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Ещё один твик реестра сделайте (аналогично предыдущим).

[wastezxc]

Все сделал

Fixlog.txt

[Sandor]

Отлично. Как себя сейчас ведёт система?

[wastezxc]

Вроде все стабильно

 

[Sandor]

Тогда в завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[wastezxc]

Спасибо большое 
 

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
 

Так ли страшен Контроль учётных записей
 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
Microsoft OneDrive v.24.226.1110.0004 Внимание! Скачать обновления
WinRAR 5.80 beta 1 (64-bit) v.5.80.1 Внимание! Скачать обновления
Discord v.1.0.9187 Внимание! Скачать обновления
µTorrent v.3.6.0.47196 Внимание! Клиент сети P2P с рекламным модулем!.
Java 8 Update 431 (64-bit) v.8.0.4310.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u441-windows-x64.exe - Windows Offline (64-bit))^
Google Chrome v.134.0.6998.118 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.6.34 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

Если будете удалять последнюю, дополнительные сканирования не нужны.

 

Читайте Рекомендации после удаления вредоносного ПО

[wastezxc]

все сделал

 

 

 

[Sandor]

Удачи!