Вирус, троян, замаскированный под проводник.

[Serhio0606]

Здравствуйте, столкнулся с такой проблемой. На компьютере подхватил вирус, предполагаю, что майнер. Он маскируется под проводник explorer.exe и его не видит ни один антивирус, когда нажимаю расположение файла, переходит на обыкновенный проводник, но это вирус: во первых при всех закрытых приложениях (и в трее) по какой-то причине он всегда стабильно загружает процессор на 30% и конечно же при входе в диспетчер задач резко перестаёт, также я читал, что в диспетчере задач не может быть более одного проводника, а у меня их два. При закрытии задачи или перезагрузки компьютер полностью перезагружается (мгновенно выключается). Но по видимому он не самый мощный (вирус) и он не умеет как более продвинутые закрывать диспетчер задач через время, и можно пользоваться компьютером с открытым диспетчером. Так же ещё после него почему-то не всегда запускается, видимо совсем не качественный. Но при открытии диспетчера задач, во вкладке сведения, он не появляется в состоянии приостановлен, как делают некоторые майнеры, а видимо просто по тихому прекращает работать, но остаётся активным съедая максимум 1% цп. Но при всех нюансах он никаким пока, что образом не исчез, удалился и т.п. Пробовал кучу разных антивирусов с разными функциями и не один его не видит. Прошу помочь, но думаю уже просто не морочиться и снести винду.

CollectionLog-2025.04.06-22.46.zip

[safety]

Создайте в uVS дополнительно образ автозапуска.

 

1. Скачайте архив с актуальной версией утилиты uVS c зеркала программы отсюда (1) (здесь дополнительно встроен архиватор 7zip), распакуйте данный архив с программой в отдельный каталог.

2. запустите из каталога с модулями uVS файл Start.exe
(для Vista, W7- W11 выберите запуск от имени Администратора)
3. В стартовом окне программы - нажать "запустить под текущим пользователем". (если текущий пользователь с правами локального администратора)

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. Дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время*.txt) автоматически добавится в архив 7z. (если используется uVS из зеркала со встроенным архиватором 7z)
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме.

[Serhio0606]

Файл архива с образом автозапуска.

SERGEY_2025-04-07_14-55-08_v4.99.12v x64.7z

[safety]

Такой скрипт в uVS, выполните (для включения отслеживания процессов и задач)

 

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу с перезагрузкой системы.

 

;uVS v4.99.12v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
icsuspend
zoo %SystemDrive%\PROGRAMDATA\AUX..\ICON.DLL
zoo %SystemDrive%\PROGRAMDATA\CON..\KAPE.DLL
zoo %SystemDrive%\USERS\СЕРЕНЯ\COOKIES\INI.CMD
zoo %SystemDrive%\USERS\СЕРЕНЯ\COOKIES\INIT.CMD
regt 35
;---------command-block---------
delref %SystemDrive%\PROGRAMDATA\AUX..\INPUT.EXE
delref %SystemDrive%\PROGRAMDATA\CON..\INPUT.EXE
delref %SystemDrive%\USERS\СЕРЕНЯ\COOKIES\INI.CMD
delref %SystemDrive%\USERS\СЕРЕНЯ\COOKIES\INIT.CMD
delall %SystemDrive%\PROGRAMDATA\AUX..\ICON.DLL
delall %SystemDrive%\PROGRAMDATA\CON..\KAPE.DLL
delall %SystemDrive%\PROGRAMDATA\AUX..\INPUT.EXE
delall %SystemDrive%\PROGRAMDATA\CON..\INPUT.EXE
delall %SystemDrive%\USERS\СЕРЕНЯ\COOKIES\INI.CMD
delall %SystemDrive%\USERS\СЕРЕНЯ\COOKIES\INIT.CMD
regt 39
apply
czoo
restart

После перезагрузки системы:

Добавьте архив ZOO_дата_время.7z из папки, откуда запускали uVS.

Соберите новый образ автозапуска для контроля.

В нем будет больше информации для анализа цепочки запуска.

(В целом - понятны актеры, которые участвуют в запуске майнера, но цепочка сложная)

+

добавьте пожалуйста, отчет по обнаружению и сканирования из антивируса Касперского.

+

добавьте логи FRST

 

 

 

Изменено 5 часов назад пользователем safety