[РЕШЕНО] Множество вирусов переустанавливается после перезагрузки

[sswmel]

Здраствуйте

Словил вирус, удалил при помощи Dr.Web CureIt!, проблема исчезла (не открывался сайт Dr.Web и всё), даже после перезагрузки все было нормально, сканер ничего не нашел. На следующий день взвыл кулер, Curelt нашел кучу вирусов, в том числе майнер. После удаления и перезагрузки все появлялось по новой, ситуация стала ухудшаться, т.к. нельзя было зайти в ProgramData, запустить AutoLogger и т.д. Далее уже при попытке удалять вирус - тут же самостоятельно запускался Packs.exe из ProgramData и тут же ставил все по новой. В автозагрузке появился Realtek HD, при попытке отключения которого - сразу же отрубался диспетчер задач, после чего он (Realtek) самостоятельно включался. Через HiJackThis поудалял все сомнительное, что нашел (в основном из ProgramData), так же автозапуски и т.д, после чего смог наконец собрать логи и удалить Packs.exe DrWeb'ом. 

Но полагаю, что что-нибудь еще осталось, AutoLogger находит "подозрительные файлы"

CollectionLog-2025.05.04-12.54.zip

[sswmel]

UPD:

Дополнительно удалил через AVZ скрипт:

C:\ProgramData\microsoft\win.exe
C:\ProgramData\reaitekhd\taskhost.exe

C:\ProgramData\setup\update.exe
C:\ProgramData\windowstask\amd.exe

C:\ProgramData\windowstask\appmodule.exe

[thyrex]

Скачайте AV block remover.
Распакуйте (только не на Рабочий стол (Desktop) и не в папку Загрузки (Downloads)), запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe, например, в AVbr123.exe (или любое другое имя).
Если и так не запускается, запустите его в безопасном режиме с поддержкой сети.

 

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[sswmel]

Готово

AV_block_remove_2025.05.04-14.22.log FRST64 логи.zip

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
SystemRestore: On
CreateRestorePoint:
HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {412A32EE-F733-4549-B83F-2A618FBE7AD3} - System32\Tasks\ASUS\P508PowerAgent_sdk => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\ShareFromArmouryIII\Mouse\ROG STRIX CARRY\P508PowerAgent.exe  (Нет файла)
Task: {5BD3BB4C-63EE-42E4-9A7C-82B9A6DD53E9} - System32\Tasks\Microsoft\Windows\CheckGlobalG\RecoveryHosts => C:\ProgramData\Microsoft\DRM\y6ncTTANcDVgLyGp\CheckGlobalG.bat  (Нет файла) <==== ВНИМАНИЕ
CHR HKLM-x32\...\Chrome\Extension: [kadaohckdkghfaclhjmkmplebcdcnfnp] - <отсутствует Path/update_url>
S3 NEProtect; \??\C:\Program Files (x86)\Steam\steamapps\common\Once Human\NEProtect.sys [X]
2025-05-04 11:54 - 2025-05-04 11:54 - 000000000 ___SH C:\ProgramData\temp.txt
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PowerPoint.lnk:1DC1525F34 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TechPowerUp GPU-Z.lnk:718E15FDE8 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Word.lnk:7AD7FA8AB1 [3442]
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[sswmel]

Сделано

Fixlog.txt

[thyrex]

Проблема решена?

[sswmel]

3 минуты назад, thyrex сказал:

Проблема решена?

 

Вроде как да, большое спасибо 

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[sswmel]

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

CrystalDiskInfo 9.6.0 v.9.6.0 Внимание! Скачать обновления
Microsoft Office профессиональный плюс 2019 - ru-ru v.16.0.12527.22270 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Среда выполнения Microsoft Edge WebView2 Runtime v.135.0.3179.98 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
TechPowerUp GPU-Z v.2.59.0 Внимание! Скачать обновления
Microsoft OneDrive v.25.060.0330.0003 Внимание! Скачать обновления
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
FastStone Image Viewer 7.8 v.7.8 Внимание! Скачать обновления
Discord v.1.0.9157 Внимание! Скачать обновления
Zoom Workplace v.6.2.5 (48876) Внимание! Скачать обновления
Java 8 Update 421 (64-bit) v.8.0.4210.9 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u451-windows-x64.exe - Windows Offline (64-bit))^
Google Chrome v.135.0.7049.115 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^

 

---------------------------- [ UnwantedApps ] -----------------------------
CCleaner v.6.35 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

На этом закончим.

[sswmel]

1 минуту назад, thyrex сказал:

На этом закончим.

Еще раз спасибо

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".