[РЕШЕНО] Поймал вирусы, переименовались службы _bkp

[ruina]

Добрый день. Прошу помощи, перCollectionLog-2025.05.22-12.57.zipеименовались файлы в службах, wuauserv_bkp, UsoSvc_bkp, BITS_bkp, WaaSMedicSvc_bkp, dosvc_bkp

[safety]

Добавьте логи FRST (FRST.txt и Addition.txt)

[ruina]

FRST.txtAddition.txt

[safety]

По логу FRST:

 

в системе остались поврежденные системные службы, которые надо исправить, и удалить службы созданные зловредом.

 

Скачайте с данной страницы

https://download.bleepingcomputer.com/win-services/win-10/

следующие твики для исправления поврежденных служб:

BITS;
dosvc;
UsoSvc
WaaSMedicSvc
wuauserv

 

Запускаем каждый из загруженных файлов *.reg от имени Администратора, разрешаем внести изменения в реестр

Перезагружаем систему,

 

далее,

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
IFEO\osppsvc.exe: [VerifierDlls] SppExtComObjHook.dll
IFEO\SppExtComObj.Exe: [VerifierDlls] SppExtComObjHook.dll
S2 BITS_bkp; C:\WINDOWS\System32\qmgr.dll [1481216 2025-03-28] (Microsoft Windows -> Microsoft Corporation)
S2 dosvc_bkp; C:\WINDOWS\system32\dosvc.dll [1535488 2025-03-28] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\WINDOWS\system32\usosvc.dll [570368 2025-03-28] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\WINDOWS\System32\WaaSMedicSvc.dll [433152 2025-03-28] (Microsoft Windows -> Microsoft Corporation)
S2 wuauserv_bkp; C:\WINDOWS\system32\wuaueng.dll [3456512 2025-03-28] (Microsoft Windows -> Microsoft Corporation)
S3 cpuz158; C:\WINDOWS\temp\cpuz158\cpuz158_x64.sys [44592 2025-04-03] (Microsoft Windows Hardware Compatibility Publisher -> CPUID) <==== ВНИМАНИЕ
R3 cpuz159; C:\WINDOWS\temp\cpuz159\cpuz159_x64.sys [44680 2025-05-19] (Microsoft Windows Hardware Compatibility Publisher -> CPUID) <==== ВНИМАНИЕ
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Проверяем работоспособность системы.

Напишите по результату.

Если обновление системы заработает, обновите систему до 22H2.

Напишите по результату.

[ruina]

4 минуты назад, safety сказал:

WaaSMedicSvc

не смогли найти по ссылке службу WaaSMedicSvc

[safety]

Пробуйте взять твик по этой ссылке.

https://download.bleepingcomputer.com/win-services/windows-10-22H2/

[ruina]

[safety]

Пробуйте выполнить все наоборот.

Вначале выполнить скрипт FRST с перезагрузкой системы,

после перезагрузки применить твики+ перезагрузка системы.

Изменено 22 мая пользователем safety

[ruina]

Fixlog.txt

[safety]

Твики все применили?

Хорошо, сделайте новые логи FRST для контроля.

[ruina]

Addition.txtFRST.txtДа, твики все применили

[safety]

службы _bkp ушли,

но надо восстановить этот файл.

S3 UsoSvc; %systemroot%\system32\usocore.dll [X]

 

Пробуйте выполнить в запущенной от имени Администратора командной строке cmd.exe

команду:

Цитата

sfc /scannow

после завершения выполнения еще раз соберите логи FRST для контроля.

[ruina]

FRST.txtAddition.txt

[safety]

Сделайте это:

    Загрузите SecurityCheck by glax24 & Severnyj, https://safezone.cc/resources/security-check-by-glax24.25/ сохраните утилиту на Рабочем столе и извлеките из архива.
    Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
    Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
    Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
    Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
    Прикрепите этот файл к своему следующему сообщению.

 

[ruina]

SecurityCheck.txt