[РЕШЕНО] Появился майнер

[Polina52]

Начал греться ноутбук, грузится цп. На многие сайты не смогла зайти и некоторые программы поставить. Благодарю за ответ.
Логи прилагаю

Addition.txt FRST.txt

[Sandor]

Здравствуйте!

 

Начните со стандартных логов по правилам - Порядок оформления запроса о помощи

Новую тему не создавайте, продолжайте здесь.

[Polina52]

CollectionLog-2025.04.10-15.46.zip

[Sandor]

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Features: [TamperProtection] = 4
O22 - Tasks: \Microsoft\Windows\CheckGlobalP\RecoveryHosts - C:\ProgramData\Microsoft\DRM\afkTT1M\CheckGlobalP.bat (file missing)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

 

Удалите старые и соберите новые логи FRST.txt и Addition.txt

 

[Polina52]

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  FirewallRules: [{639A4120-615C-4EC3-AB30-2D2B835E07F2}] => (Allow) D:\EmbroideryStudio_e4.2\BIN\ES.EXE => Нет файла
  FirewallRules: [{E0F1F802-D2A8-4D60-B20F-1960DE06094C}] => (Allow) LPort=8501
  FirewallRules: [{65B68A9C-7A89-4893-9229-BD546532D7BF}] => (Allow) LPort=8501
  FirewallRules: [{C29E860D-BA27-4A25-B3E2-BF0F19CEAC91}] => (Allow) D:\EmbroideryStudio_e4.2\BIN\ES.EXE => Нет файла
  FirewallRules: [{F1B690F1-68A2-4C7C-B1CD-E2DA0DE51564}] => (Allow) D:\EmbroideryStudio_e4.2\BIN\ES.EXE => Нет файла
  FirewallRules: [{0F7A2AB4-C880-44E1-AD70-0784D33424DB}] => (Allow) D:\EmbroideryStudio_e4.2\BIN\ES.EXE => Нет файла
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Polina52]

Fixlog.txt

[Sandor]

Ещё один небольшой скрипт выполните.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\Users\user"
  Remove-MpPreference -ExclusionPath "C:\Program Files\RDP Wrapper"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AMD.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\audiodg.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhost.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppModule.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppHost.exe"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Polina52]

Fixlog.txt

[Sandor]

На системном диске слишком мало свободного места:

Цитата

(Total:183.86 GB) (Free:7.06 GB)

Постарайтесь освободить хотя бы до 35.

 

Что из проблем ещё осталось?

[Polina52]

Добрый день! благодарю за помощь! 
Если сканирую систему программой MinerSearch_v1.4.7.81 он все равно сканирует пользователя john, что это может быть?
Отчет прикладываю

MinerSearch_11.04.2025_11-13-09.log

[Sandor]

В отчёте написано:

Цитата

        Проверка пользователя John...
[11.04.2025 11:13:37]:     [#] Угроз не найдено

Один из характерных признаков этого майнера - наличие скрытого пользователя с таким именем.

Теперь в вашей системе такого пользователя нет.

 

В завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Polina52]

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Microsoft Office Professional Plus 2021 - en-us v.16.0.17231.20236 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Microsoft Office профессиональный плюс 2021 - ru-ru v.16.0.17231.20236 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Ghostscript GPL 10.03.1 (Msi Setup) v.10.03.1 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
NVIDIA GeForce Experience 3.27.0.112 v.3.27.0.112 Внимание! Скачать обновления
AnyDesk v.ad 8.0.9 Внимание! Скачать обновления
Microsoft OneDrive v.25.046.0310.0005 Внимание! Скачать обновления
WinRAR 6.11 (64-разрядная) v.6.11.0 Внимание! Скачать обновления
Zoom Workplace v.6.3.11 (60501) Внимание! Скачать обновления
µTorrent v.3.6.0.47142 Внимание! Клиент сети P2P с рекламным модулем!.
uTorrent Web v.1.4.0 Внимание! Клиент сети P2P с рекламным модулем!.
Adobe Acrobat DC (64-bit) v.22.001.20085 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
Yandex v.24.1.2.843 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
 

---------------------------- [ UnwantedApps ] -----------------------------
Кнопки сервисов Яндекса на панели задач v.3.7.9.0 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

Читайте Рекомендации после удаления вредоносного ПО

[Polina52]

Большое Вам спасибо!🙏