[РЕШЕНО] вирус который маскируется под системный процесс Телефон Microsoft Windows

[sencity72]

 

 

 

 

Делаю всё по инструкции - в BIOS выбрал приоритет - и при загрузке ничего не происходит - uVS автоматически не запускается, если запускать в ручную - всё по прежнему / пробывал из uVS перезагружать систему в меню дополнительных параметров загрузки и там выбирал загрузка с флешки (на которую записал образ)... также ничего не происходит

 

[safety]

В момент загрузки с Winpe&uVS диска надо нажать любую клавишу пока данное сообщение на экране.

(Если не нажмете вовремя, пойдет загрузка вашей системы - примерно 10-15с.)

 

Далее, будет экран загрузки системы с Winpe диска

 

 

Далее, появится заставка загрузочного диска:

 

 

Далее, будет стартовое меню uVS.

 

 

В нем и продолжаем работать согласно инструкции, по созданию образа из под WinPE.

----------

Если это не работает, или нет загрузки стартового меню после нажатия любой клавиши,

значит загрузочный диск собран неверно.

 

Изменено 3 мая, 2025 пользователем safety

[sencity72]

Насколько важно записывать образ с чистой системы? - я записываю на своем ноутбуке. 1. скачал iso - которое отправили 2. в программе UltraISO - открываю этот iso файл 3. далее - Самозагрузка - записать образ Жесткого диска - метод записи USB -HDD+ и записать (флешка в формате FAT32) ... после того как записалась - делаю перезагрузку (у меня ASUS) через F2 попадаю в BIOS -там в настройках BOOT устанавливаю приоритет ... и загружается моя система, флешка не запускается... Даже пробывал оставлять одну только флешку без своей системы (исключив в настройках)  - тогда открывается только BIOS после перезагрузки. Может что-то не то с iso ? или может ещё что-то необходимо установить на загрузочный диск? может я что-то не так делаю? может есть другие решения моей проблемы?

 

[safety]

Цитата

Насколько важно записывать образ с чистой системы?

Желательно записать образ на чистой системе.

 

ISO проверенный, все скрины из предыдущего сообщения я получил с помощью данного образа ISO.

 

1. Если не выходит первый скрин из сообщения, значит загрузки с вашей флэшки нет.

Если в BIOS загрузочная флэшка не определяется, то и загрузки с нее не будет, раз BIOS ее не видит. Возможно, это зависит от того какого размера используется загрузочная флэшка. Можно попробовать использовать другую флэшку.

еще какие варианты:

2. пробуйте скачать стабильную версию uVS 4,15 с сайта разработчика и сделать с ее помощью образ автозапуска из нормального режима (т.е. без интеграции в меню доп. загрузки, без безопасного режима, без Live-USB).

3. Если в системе есть действующие антивирусы (Касперский, WinDef, Malwarebytes или другой), следует на момент запуска uVS отключить антивирусную защиту.

Изменено 4 мая, 2025 пользователем safety

[sencity72]

uVS какой сайт разработчика (ссылка не активна)

[safety]

так понимаю,

что первый вариант (с загрузочным диском) вы исключили из решения проблемы. и зря,

так как при каждой перезагрузке задача с вредоносом меняет свое имя.

 

хотелось бы слышать от вас четкие ответы.

был ли данный экран при загрузки с флэшки или нет.

 

Установлены ли указанные антивирусы (Касперский, WinDef, Malwarebytes или другой) или нет.

 

Судя по логу FRST установлен WinDef

Цитата

 

==================== Центр безопасности ========================

(Если запись включена в fixlist, она будет удалена)

AV: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
AS: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

 

Вот его и надо отключить, на момент работы uVS. Или папку с uVS добавить в исключения.

 

здесь прямая ссылка с сайта разработчика, раз она вам не видна в предыдущем сообщении.

http://dsrt.dyndns.org:8888/files/uvs_v415.zip

Архив содержит файл autorun.zip, на который реагируют браузеры как на опасный, по факту просто реакция на имя aurorun.inf

 

здесь ссылка на этот же архив uvs_415 без файла autorun.zip

https://www.dropbox.com/scl/fi/fzn6nqn4o2nyz4htvzedb/uvs_v415.zip?rlkey=pjao26c2isigo4jdxzmdifyk0&st=110azy28&dl=0

 

 

 

 

Изменено 4 мая, 2025 пользователем safety

[sencity72]

1. 

был ли данный экран при загрузки с флэшки или нет.

 ↓

 

ответ - нет такого сообщения нет

2. установлен WinDef - я его отключал - толку нет

[safety]

Не вижу с вашей стороны ни малейшего желания решить данную проблему.

4..15  скачали по указанным ссылкам? запустили по инструкции? можете показать результат запуска?

 

Проблема здесь, в потоках, которые создаются вредоносной программой, которые возможно влияют на запуск программы и завершают его.

 

По идее в безопасном режима вредоносная программа не должна запускаться.

 

В таком случае, сделайте новые логи FRST в безопасном режиме (с поддержкой сети), и не выходите из него, пока мы не добавим вам скрипт очистки.

Изменено 4 мая, 2025 пользователем safety

[sencity72]

скачал - ниже скрин перед самозакрытием программы, попробывал загрузочный снова запустить - система флешку видит - но при выборе также самозакрывает и уходит на запуск основной винды

сейчас сделаю из безопасного режима

Не вижу с вашей стороны ни малейшего желания решить данную проблему.

 

очень хочу решить проблему... найду другой компьютер записать образ ещё раз, но смогу лишь позднее это сделать.... 

 

Дублирую на носитель важные файлы (жду загрузку) и после иду в безопасный режим

 

 

[safety]

Цитата

попробывал загрузочный снова запустить - система флешку видит - но при выборе также самозакрывает и уходит на запуск основной винды

Важно, чтобы с BIOS эта флэшка была видима, т.е. на ранней стадии загрузки.

 

Пока это сделайте:

Цитата

В таком случае, сделайте новые логи FRST в безопасном режиме (с поддержкой сети), и не выходите из него, пока мы не добавим вам скрипт очистки.

Может, через FRST в безопасном режиме получится пролечить систему.

 

Изменено 4 мая, 2025 пользователем safety

[sencity72]

В безопасном режиме с загрузкой сетевых  - не работает интернет (нет Wi-fi), через кабель не работает подкулючение, при создании нового  - ошибка 1084... я не смог подключится 

Addition.txt FRST.txt

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
Task: {3AB4CA8C-465D-4991-9A05-AA595C38735B} - System32\Tasks\dialersvc64 => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [455680 2024-02-14] (Microsoft Windows -> Microsoft Corporation) -> "function Local:XIdbCSCpqKCn{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$AlmfKExJwnhsKQ,[Parameter(Position=1)][Type]$ulfXxMcCrU)$OZBcrtLsIEG=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('Re'+[Char](102)+''+[Char](108)+'e'+[Char](99)+'t'+[Char](1 (запись имеет ещё 5072 символов). <==== ВНИМАНИЕ
Task: {8FDA5831-D123-451A-B4A9-C1155B33200D} - System32\Tasks\Kontur.Updater-v1.1.2.154-S-1-5-21-1488824550-1789792169-3620093603-1001 => C:\Users\easen\AppData\Local\SkbKontur\Updater\1.1.2.154\kontur.updater.exe  (Нет файла)
S2 BITS_bkp; C:\WINDOWS\System32\qmgr.dll [1481728 2024-05-15] (Microsoft Windows -> Microsoft Corporation)
S2 dosvc_bkp; C:\WINDOWS\system32\dosvc.dll [1526272 2024-12-12] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\WINDOWS\system32\usosvc.dll [583168 2025-04-09] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\WINDOWS\System32\WaaSMedicSvc.dll [427520 2025-04-09] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\WINDOWS\system32\wuaueng.dll [3433472 2025-03-12] (Microsoft Windows -> Microsoft Corporation)
Folder: C:\ProgramData\Moziila Corporation
C:\P2025-04-27 13:54 - 2025-05-04 13:25 - 000013648 _____ C:\WINDOWS\system32\Tasks\dialersvc64
2025-04-27 13:53 - 2025-04-27 13:53 - 000000000 ____D C:\ProgramData\Moziila Corporation
2025-04-06 11:07 - 2025-04-06 11:07 - 000000165 ____H C:\Users\easen\Downloads\~$Общий_отчёт_все_поля_720404638785_31032025_081106518.xlsx
HKU\S-1-5-21-1488824550-1789792169-3620093603-1001\...\StartupApproved\Run: => "MediaGet2"
HKU\S-1-5-21-1488824550-1789792169-3620093603-1001\...\StartupApproved\Run: => "yaoffer50160"
HKU\S-1-5-21-1488824550-1789792169-3620093603-1001\...\StartupApproved\Run: => "AltServer"
FirewallRules: [{9AE7D8CA-D852-4797-B22C-9D4727B965DB}] => (Allow) C:\Program Files\Pinnacle\Studio 23\programs\RM.exe => Нет файла
FirewallRules: [{8F4D3E56-22A1-4370-AFD9-248EA2D154E2}] => (Allow) C:\Program Files\Pinnacle\Studio 23\programs\RM.exe => Нет файла
FirewallRules: [{02BA05F8-DB17-4682-9267-4F1FF20F6DE5}] => (Allow) C:\Program Files\Pinnacle\Studio 23\programs\NGStudio.exe => Нет файла
FirewallRules: [{A35403E4-4A66-4E2B-963B-3177924AD13C}] => (Allow) C:\Program Files\Pinnacle\Studio 23\programs\NGStudio.exe => Нет файла
FirewallRules: [{8D513B77-7104-407A-B894-52F08B224455}] => (Allow) C:\Program Files\Pinnacle\Studio 23\programs\UMI.exe => Нет файла
FirewallRules: [{97F46C57-F796-4DA7-9F4F-9B88E2053833}] => (Allow) C:\Program Files\Pinnacle\Studio 23\programs\UMI.exe => Нет файла
FirewallRules: [TCP Query User{8A07E79D-E183-4964-B683-F9F0C09DDC87}E:\play\master of orion\masteroforion.exe] => (Allow) E:\play\master of orion\masteroforion.exe => Нет файла
FirewallRules: [UDP Query User{83A66F70-E0DC-4C76-A796-9FAD1874503F}E:\play\master of orion\masteroforion.exe] => (Allow) E:\play\master of orion\masteroforion.exe => Нет файла
FirewallRules: [TCP Query User{EDBAD740-80E6-4BDF-8232-50E15E3DC690}D:\play\railway empire\railwayempire.exe] => (Allow) D:\play\railway empire\railwayempire.exe => Нет файла
FirewallRules: [UDP Query User{E67D15A4-A06B-4A39-BFF0-AC50D1037196}D:\play\railway empire\railwayempire.exe] => (Allow) D:\play\railway empire\railwayempire.exe => Нет файла
FirewallRules: [TCP Query User{FE8B1B51-135B-4158-AB58-38579FF5C8FE}D:\play\railway empire\railwayempire.exe] => (Allow) D:\play\railway empire\railwayempire.exe => Нет файла
FirewallRules: [UDP Query User{88DA72B5-9507-4404-B08F-5A31B5F60137}D:\play\railway empire\railwayempire.exe] => (Allow) D:\play\railway empire\railwayempire.exe => Нет файла
FirewallRules: [TCP Query User{F26E4F3B-74BA-4324-BC47-71B9DB00397A}D:\play\cafe owner simulator\cafe owner simulator.exe] => (Allow) D:\play\cafe owner simulator\cafe owner simulator.exe => Нет файла
FirewallRules: [UDP Query User{D99D239C-6E17-461E-909C-32407136B170}D:\play\cafe owner simulator\cafe owner simulator.exe] => (Allow) D:\play\cafe owner simulator\cafe owner simulator.exe => Нет файла
FirewallRules: [TCP Query User{312D4C43-3647-4DEC-AAFE-800274C6FDAC}D:\play\phantom brigade\phantombrigade.exe] => (Allow) D:\play\phantom brigade\phantombrigade.exe => Нет файла
FirewallRules: [UDP Query User{BBF317AB-624E-4859-B915-36F188A61589}D:\play\phantom brigade\phantombrigade.exe] => (Allow) D:\play\phantom brigade\phantombrigade.exe => Нет файла
FirewallRules: [TCP Query User{E868D370-9883-473D-A69F-329836CF57E7}D:\play\farming simulator 22\dedicatedserver.exe] => (Allow) D:\play\farming simulator 22\dedicatedserver.exe => Нет файла
FirewallRules: [UDP Query User{5FD7C6AA-780C-4180-9CE6-EF200852AB25}D:\play\farming simulator 22\dedicatedserver.exe] => (Allow) D:\play\farming simulator 22\dedicatedserver.exe => Нет файла
FirewallRules: [{D30D3BDF-BC04-4C34-94C1-876ACECF4090}] => (Allow) C:\Program Files\Easeware\DriverEasy\DriverEasy.exe => Нет файла
FirewallRules: [TCP Query User{A5B2808A-8981-47BB-87B4-EDBEA8353AA4}C:\windows\ie\p2w.exe] => (Block) C:\windows\ie\p2w.exe => Нет файла
FirewallRules: [UDP Query User{283E35F0-5ADD-4F1C-9257-1261BCE80880}C:\windows\ie\p2w.exe] => (Block) C:\windows\ie\p2w.exe => Нет файла
FirewallRules: [TCP Query User{14A454E1-A0C4-4659-B733-3C2AB9DB0AAE}D:\play\age of wonders iii\aow3.exe] => (Block) D:\play\age of wonders iii\aow3.exe => Нет файла
FirewallRules: [UDP Query User{BC4D398C-4864-48AD-A963-64391D4DF4F6}D:\play\age of wonders iii\aow3.exe] => (Block) D:\play\age of wonders iii\aow3.exe => Нет файла
FirewallRules: [TCP Query User{98F11D00-0830-4B66-B960-33DFBCD4419D}D:\play\age of wonders iii\aow3.exe] => (Allow) D:\play\age of wonders iii\aow3.exe => Нет файла
FirewallRules: [UDP Query User{84154F31-37DA-4815-AEB0-BF61399A5B00}D:\play\age of wonders iii\aow3.exe] => (Allow) D:\play\age of wonders iii\aow3.exe => Нет файла
FirewallRules: [TCP Query User{310F5CF3-1FE7-4F9B-AF84-4E524C20EBCB}D:\play\age of wonders 4\aow4.exe] => (Block) D:\play\age of wonders 4\aow4.exe => Нет файла
FirewallRules: [UDP Query User{12FA06B1-ABD4-4E9D-AEA0-32192911BDBF}D:\play\age of wonders 4\aow4.exe] => (Block) D:\play\age of wonders 4\aow4.exe => Нет файла
FirewallRules: [TCP Query User{3664622E-9DB8-4940-96E2-F561286CAA37}D:\play\ixion\ixion.exe] => (Allow) D:\play\ixion\ixion.exe => Нет файла
FirewallRules: [UDP Query User{61F77E0F-394F-4F03-BBEE-0F1900BB1825}D:\play\ixion\ixion.exe] => (Allow) D:\play\ixion\ixion.exe => Нет файла
FirewallRules: [TCP Query User{9CE82014-CCED-4B16-9F6B-9047818C6A05}D:\play\warhammer 40000 rogue trader\wh40krt.exe] => (Allow) D:\play\warhammer 40000 rogue trader\wh40krt.exe => Нет файла
FirewallRules: [UDP Query User{0E008843-375F-4CCC-AFB1-402E30F3306B}D:\play\warhammer 40000 rogue trader\wh40krt.exe] => (Allow) D:\play\warhammer 40000 rogue trader\wh40krt.exe => Нет файла
FirewallRules: [TCP Query User{DC03BDF7-8857-4718-977D-23244401CC06}D:\play\age of wonders 4\aow4.exe] => (Block) D:\play\age of wonders 4\aow4.exe => Нет файла
FirewallRules: [UDP Query User{103A0753-0935-48C1-A4E3-F036FE0AED73}D:\play\age of wonders 4\aow4.exe] => (Block) D:\play\age of wonders 4\aow4.exe => Нет файла
FirewallRules: [TCP Query User{A23D18D7-0BA0-4A8A-AA6C-764B94F73708}D:\play\far cry 3\bin\farcry3.exe] => (Allow) D:\play\far cry 3\bin\farcry3.exe => Нет файла
FirewallRules: [UDP Query User{2BF8D800-3A01-4185-8FC3-7FCFC7D3B1DA}D:\play\far cry 3\bin\farcry3.exe] => (Allow) D:\play\far cry 3\bin\farcry3.exe => Нет файла
FirewallRules: [TCP Query User{00A6BC12-6ABD-4671-A308-83230489CECF}D:\play\dune spice wars\d4x.exe] => (Block) D:\play\dune spice wars\d4x.exe => Нет файла
FirewallRules: [UDP Query User{53D67A54-A478-48D7-A226-A792E9BA9263}D:\play\dune spice wars\d4x.exe] => (Block) D:\play\dune spice wars\d4x.exe => Нет файла
FirewallRules: [{EC208108-7565-4012-B8F7-267D4F780F58}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe => Нет файла
FirewallRules: [{42985F8B-DC04-4C15-92CC-E57266CA5048}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe => Нет файла
FirewallRules: [{EE73CACC-3F41-456A-9067-EAAA7A5D390B}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe => Нет файла
FirewallRules: [{C546B5E8-CC2A-4AF2-B962-A1EBB607ACD4}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe => Нет файла
FirewallRules: [TCP Query User{8C9EDB30-84B1-4DE1-93EA-611029BA531A}D:\program\erer\altserver.exe] => (Block) D:\program\erer\altserver.exe => Нет файла
FirewallRules: [UDP Query User{8224C7EC-16EF-4FD8-B871-40A0F33F4D08}D:\program\erer\altserver.exe] => (Block) D:\program\erer\altserver.exe => Нет файла
FirewallRules: [TCP Query User{983E596D-DCA2-4EB3-96A5-34F35BB0188B}D:\program\erer\altserver.exe] => (Block) D:\program\erer\altserver.exe => Нет файла
FirewallRules: [UDP Query User{BFED0789-70AD-4C5F-8656-2553E4B64A94}D:\program\erer\altserver.exe] => (Block) D:\program\erer\altserver.exe => Нет файла
FirewallRules: [{36C6A223-39AE-4154-B9B9-A191872B1A06}] => (Allow) C:\Users\easen\AppData\Local\Temp\rh_package\SabyAdmin_1035490543.exe => Нет файла
FirewallRules: [{08FD56D8-840D-466B-8872-E0582DE3CF18}] => (Allow) C:\Users\easen\AppData\Local\Temp\rh_package\SabyAdmin_1035490543.exe => Нет файла
FirewallRules: [{89C3BAE2-9298-4F93-85AB-331A8ED8A61D}] => (Allow) C:\Users\easen\AppData\Local\Temp\rh_package\SabyAdmin_1035490543.exe => Нет файла
FirewallRules: [TCP Query User{468A1CA5-FD08-49E8-9BD9-FD5285FA3BE7}D:\play\builders of greece\builders of greece.exe] => (Block) D:\play\builders of greece\builders of greece.exe => Нет файла
FirewallRules: [UDP Query User{CE71A916-4A5B-4C17-B9BD-6DE824299310}D:\play\builders of greece\builders of greece.exe] => (Block) D:\play\builders of greece\builders of greece.exe => Нет файла
FirewallRules: [TCP Query User{435DF8E1-9131-45E8-ABD0-A803886F9AC5}D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\cluster\bo.cluster.host\bin\1\bo.cluster.host.exe] => (Block) D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\cluster\bo.cluster.host\bin\1\bo.cluster.host.exe => Нет файла
FirewallRules: [UDP Query User{4C753823-A0E8-44E1-9AEA-1B16E032AAA9}D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\cluster\bo.cluster.host\bin\1\bo.cluster.host.exe] => (Block) D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\cluster\bo.cluster.host\bin\1\bo.cluster.host.exe => Нет файла
FirewallRules: [TCP Query User{AD149F89-44EF-437B-B8DA-7F60300D90B5}D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\client\b3.exe] => (Block) D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\client\b3.exe => Нет файла
FirewallRules: [UDP Query User{E50B4432-E6B6-457B-B227-CA0B754732CD}D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\client\b3.exe] => (Block) D:\games\блицкриг 3 - blitzkrieg 3 (2017-2024-rus-eng) [portable]\blitzkrieg.3.deluxe.edition-goldberg\client\b3.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

После перезагрузки сделайте новый лог FRST.txt из обычного режима загрузки.
 

[sencity72]

Fixlog.txt Addition.txt FRST.txt

[thyrex]

Лог FRST.txt не получился или отредактирован. Переделайте.

[sencity72]

Addition.txt FRST.txt