[РЕШЕНО] вирус который маскируется под системный процесс Телефон Microsoft Windows

[safety]

В нормальном режиме лечить бесполезно. Задача запуска пересоздается по новой.

Task: {5F48C27E-553C-4B8A-9C6A-D9E481C6969F} - System32\Tasks\dialersvc64 => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-14]

 

Возможно что при каждом новом запуске системы зловред создает новую задачу задачу, и удаляет старую. Так что по факту скриптом мы удаляем ту задачу (из лога), которой уже нет. Тут и выгрузка powershelll скорее всего не поможет, так как на момент создания логов, новая задача уже создана.

Изменено 4 мая пользователем safety

[thyrex]

Microsoft SQL Server 2012  с какой целью используете?

[sencity72]

не знаю даже что это

 

Тут только систему сносить остается ?

 

[safety]

Переустановить всегда успеете. Надо все варианты очистки отработать.

[thyrex]

19 минут назад, sencity72 сказал:

не знаю даже что это

удивительно, но он у Вас установлен(?) с 2020 года. Возможно, что его использует в работе КриптоПро или Контур. Идеальным вариантом было бы деинсталляция всего, что с ними связано, и повторная установка (и настройка Вами) заново после избавления от майнера. Не знаю, насколько возможен для Вас этот вариант.

 

А запускаются компоненты Microsoft SQL Server 2012 через запуск служб MSSQL$ARGOGEO_P и SQLAgent$ARGOGEO_P. Можно попробовать отключить их запуск перед лечением.

Были несколько случаев с майнером, который воскресал через запуск задач самого MS SQL.

 

Отсюда вопросы:

1. Это возможно сделать?

2. Сможете ли отключить эти службы самостоятельно?

[sencity72]

1. возможно

2. я не знаю как их отключить

 

[thyrex]

18 минут назад, sencity72 сказал:

2. я не знаю как их отключить

Нажимаете комбинацию клавиш Win + R

В появившемся окне набираете services.msc и нажимаете ОК.

Находите указанные выше службы, запоминаете (записываете) на будущее текущее состояние их запуска и переводите службы в состояние Отключить. Подтверждаете нажатием ОК.

 

Перезагрузитесь и проверьте, что состояние запуска служб не изменилось после перезагрузки.

Если службы не запустятся, соберите только новый лог FRST.txt в обычном режиме, чтобы написать новый скрипт лечения.

 

[sencity72]

Addition.txt FRST.txt

[thyrex]

Выполнять написанный ниже скрипт строго в безопасном режиме

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
CloseProcesses:
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1488824550-1789792169-3620093603-1001\...\Run: [utweb] => "C:\Users\easen\AppData\Roaming\uTorrent Web\utweb.exe" /MINIMIZED (Нет файла)
Task: {6D7BE7D4-D8AF-455E-8F25-9D1572C784B6} - System32\Tasks\dialersvc64 => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-14] (Microsoft Windows -> Microsoft Corporation) -> "function Local:ogJHzbpDtWfI{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$bDbZxGFavHeNPU,[Parameter(Position=1)][Type]$OwTLvihyuH)$TWxWVrRuXIf=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+'f'+''+[Char](108)+''+'e'+'ct'+[Char](10 (запись имеет ещё 5094 символов). <==== ВНИМАНИЕ
S3 BITS_bkp; C:\WINDOWS\System32\svchost.exe [57528 2024-05-15] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S3 BITS_bkp; C:\WINDOWS\SysWOW64\svchost.exe [47040 2024-05-15] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S2 Firefoxx; C:\ProgramData\Moziila Corporation\Firefoxx.exe [22121472 2025-05-04] (Firefox) [Файл не подписан]
S3 WaaSMedicSvc_bkp; C:\WINDOWS\system32\WaasMedicSvc.dll [427520 2025-04-09] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\WINDOWS\system32\svchost.exe [57528 2024-05-15] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
S3 wuauserv_bkp; C:\WINDOWS\SysWOW64\svchost.exe [47040 2024-05-15] (Microsoft Windows Publisher -> Microsoft Corporation) <==== ВНИМАНИЕ (отсутствует ServiceDLL)
2025-05-04 14:06 - 2025-05-04 14:06 - 000000000 ____D C:\ProgramData\Moziila Corporation
2025-04-06 15:16 - 2025-04-06 15:16 - 000000165 ___HC C:\Users\easen\Desktop\~$Нижний Новгород.xlsx
Folder: C:\Users\easen\AppData\Local\Microsoft\CLR_v4.0\UsageLogs
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

После перезагрузки жду новый FRST.txt из нормального режима. 
 

[sencity72]

Addition.txt FRST.txt

[safety]

+ новый Fixlog.txt,

 

Цитата

3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

[thyrex]

В дополнение к сообщению выше.

 

Источник бед возможно найден. Можете поискать в папках с MS SQL файл c именем master.mdf или подобным?

 

[sencity72]

вроде этот

 

Fixlog.txt

Источник бед возможно найден. Можете поискать в папках с MS SQL файл c именем master.mdf или подобным? 

 

не понял где искать ? -

 

Наблюдение - ноутбук перестал гудеть как самолет

ЦП в норме

Кажется помогло.

 

[thyrex]

4 минуты назад, sencity72 сказал:

не понял где искать ? -

В Проводнике откройте диск C и в строке поиска (в правом верхнем углу) напишите master.mdf

Если таковой будет найден, Проводник покажет его местоположение. Тогда пришлете его в архиве.

 

Если не найдет, тогда нужно будет в строке поиска написать *.mdf и может там отобразится нужное. Качественный скриншот нужно будет сделать в таком случае, чтобы можно было видеть имена файлов и среди них найти нужный.

 

Если я правильно понимаю, ранее о том, что Microsoft SQL Server 2012, SQL Server 2012 Database Engine установлены на компьютере Вы понятия не имели? Отключение служб никак не повлияло на работу Крипто Про и Контура? 

Для каких целей вообще используется Вами компьютер?

 

 

[sencity72]

нашел 4 файла - удалил их

Microsoft SQL Server 2012, SQL Server 2012 Database Engine - я не знаю что это и для чего... возможно устанавливая какую-нибудь игру - установил в комплекте... 

Крипто про и Контур - работает

Цели- основная работа (интернет, браузеры, офис....), фильмы, музыка, игры ...