[РЕШЕНО] Майнер Tool.BtcMine.2812

[Turpal]

Доброго времени суток.

Проблема с найденным майнером tool.btcmine.2812. При удалении/обезвреживании файла (winaijservice.exe в одноименной папке), в котором он находится, он создается снова после перезагрузки компьютера. Прикладываю архив с логами сканирования от автологгера.

CollectionLog-2025.06.26-15.13.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\WinAIJService\WinAIJService.exe', '');
 DeleteSchedulerTask('Microsoft\Office\Office Persistent Activation');
 DeleteFile('C:\ProgramData\WinAIJService\WinAIJService.exe', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Win AIJ Service', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

 

[Turpal]

Готово.

CollectionLog-2025.06.26-17.03.zip

[Sandor]

Уже должно полегчать. Сделайте ещё такие логи, пожалуйста.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Turpal]

Да, полегчало. Проблемного файла больше нет.

Прикрепляю отчеты из FRST.

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\...\Run: [pac] => C:\Program Files\Autodesk\Personal Accelerator for Revit\RevitAccelerator.exe (Нет файла)
  2025-06-26 14:56 - 2025-06-26 17:00 - 000000000 ____D C:\ProgramData\WinAIJService
  AlternateDataStreams: C:\Windows:CM_be7995bdfc8d8ab791fbfefa187c3875a89ccddaea42f3929155d8af0adee7c6 [26]
  FirewallRules: [{FE728BC5-F289-417A-B16C-76388AF623F8}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
  FirewallRules: [{0B258E92-122A-400B-89C0-530179E9FE90}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
  FirewallRules: [{C512308A-097F-4D7F-A6AA-1DF3E2283FD1}] => (Allow) C:\Users\Admin\AppData\Local\360extremebrowser\Chrome\Application\22.3.5080.64\installer\ceup.exe => Нет файла
  FirewallRules: [{55909C4D-1088-46D0-995D-79D424637470}] => (Allow) C:\Users\Admin\AppData\Local\360extremebrowser\Chrome\Application\22.3.5080.64\installer\ceup.exe => Нет файла
  FirewallRules: [{F3CFEEF6-9302-4DD5-AC56-53034AB20E5D}] => (Allow) C:\Users\Admin\AppData\Local\360extremebrowser\Chrome\Application\360extremebrowser.exe => Нет файла
  FirewallRules: [{FCF2E9B2-66A7-45EA-9250-E04482806DFE}] => (Allow) C:\Users\Admin\AppData\Local\360extremebrowser\Chrome\Application\360extremebrowser.exe => Нет файла
  FirewallRules: [{06FF6F2B-CDEA-4500-B2F1-0749E803CCE1}] => (Allow) C:\Users\Admin\AppData\Local\360extremebrowser\Chrome\Application\22.3.5080.64\installer\360mlupdate.exe => Нет файла
  FirewallRules: [{F862B1CB-338A-4990-8D03-CECD463B5C6C}] => (Allow) C:\Users\Admin\AppData\Local\360extremebrowser\Chrome\Application\22.3.5080.64\installer\360mlupdate.exe => Нет файла
  FirewallRules: [{3855E92C-79DD-4DA1-B23C-C98435F4806F}] => (Allow) LPort=30305
  FirewallRules: [{F24158E2-D490-4899-A766-0297E5821218}] => (Allow) LPort=30306
  FirewallRules: [{C5D1046A-46B5-40C1-9BC1-A0AB40292EC9}] => (Allow) LPort=30301
  FirewallRules: [{10ad6635-690f-4674-b267-50e6377fdd7c}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{8e969b0c-477a-4c4d-9bb9-408b90436c8f}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{53800991-01c3-4eae-b6c9-655f1276c5fe}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{066c7580-4c2c-4cd9-8653-6bb3ca48431f}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{d26efade-e709-4f31-9417-1d65f8454b9c}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{2a8e6734-c2bc-4fb3-8fca-88f48e52153d}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{71d959d7-f99a-44c8-9ef4-cf01f0f1b23a}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{819c3bb3-b601-4246-97a7-85f23216e9bb}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{b1687cf2-255e-49b8-825a-d4ca38d85315}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{83326002-7db9-4b89-9145-d9143b740e1b}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{7967d844-b2e9-414d-9430-a527bd14e236}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{ede4d2ac-5c61-4d20-ad7b-af35b0dd98bb}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{bfb5cb9c-f493-445b-8fb7-f1180c4f9fbf}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{938acf22-3dff-4a27-b23e-3332b19a375a}] => (Allow) C:\ProgramData\WinAIJService\WinAIJService.exe => Нет файла
  FirewallRules: [{C834A353-DA17-44D4-A862-3BB1216F8962}] => (Allow) LPort=32683
  FirewallRules: [{6FC3F467-703B-4D99-AC64-FD340D45FFC2}] => (Allow) LPort=33683
  FirewallRules: [{4C47FB22-AAEC-4C26-BCCF-1E7B5C2CD456}] => (Allow) LPort=26822
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WinAIJService\"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Сообщите что с проблемой.

[Turpal]

Есть. Прикрепляю файл.

Fixlog.txt

 

Проблемы сейчас не наблюдаю. Папка с майнером полностью удалена, нагрузки на ГП больше нет. Всё сработало по вашим рекомендациям. Спасибо большое за помощь!

[Sandor]

Хорошо. В завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Turpal]

Готово.

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
 

Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.40.33810 v.14.40.33810.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
WinRAR 7.10 (64-разрядная) v.7.10.0 Внимание! Скачать обновления
Discord v.1.0.9003 Внимание! Скачать обновления
Zoom Workplace v.6.4.7 (64367) Внимание! Скачать обновления
µTorrent v.3.6.0.47196 Внимание! Клиент сети P2P с рекламным модулем!
Java 8 Update 131 v.8.0.1310.11 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u451-windows-i586.exe - Windows Offline)^
Adobe Acrobat (64-bit) v.24.005.20414 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
Google Chrome v.137.0.7151.120 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

Читайте Рекомендации после удаления вредоносного ПО

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".