[РЕШЕНО] Не могу избавиться от вируса CAAServices.exe, который хранится в C:\ProgramData\CAAService

[Morelax]

Добрый день! Заметил в автозагрузках странный процесс CAAServices.exe. Но при удалении он снова восстанавливается. Отключил из автозагрузки, вроде не включается теперь, но всё равно не даёт покоя и хочется избавиться. Подскажите, пожалуйста, как это сделать? Я не особо шарю в этих делах. Смотрел похожие темы, но не особо понял инструкции по устранению вируса. Заранее спасибо. 

ps/ он автоматически добавляет в исключения в дефендер (последний скрин)

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Morelax]

Дополняю тему ) а что в касперском выбрать, "продолжить" ?

CollectionLog-2025.07.03-11.31.zip

1 час назад, Mark D. Pearlstone сказал:

Порядок оформления запроса о помощи

проверьте, пожалуйста, сейчас правильно оформлено ?

 

Kaspersky Virus Removal Tool походу помог и вылечил данный стилер, при перезагрузке больше не восстанавливается экзэшник) Спасибо)) не знал, что у касперского есть такой бесплатный антивирус, который не нужно устанавливать на ПК

[Sandor]

Здравствуйте!

 

Некоторое время подождите, готовлю ответ.

@Morelax, дополнительно, пожалуйста, сделайте такие логи:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Morelax]

11 минут назад, Sandor сказал:

Здравствуйте!

 

Некоторое время подождите, готовлю ответ.

@Morelax, дополнительно, пожалуйста, сделайте такие логи:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

Addition.txt FRST.txt

[Sandor]

Сделаем некоторую очистку.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  Task: {1A8DA39C-1E6A-43D7-B868-E7C2700C6DFF} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe  (Нет файла)
  Task: {FF141F80-4F2D-4A5D-BFE4-DA531EB1A561} - System32\Tasks\MaintenanceUninstalledSystemApps => C:\Windows\System32\cmd.exe [376832 2025-06-30] (Microsoft Windows -> Microsoft Corporation) -> %SystemRoot%\System32\\/d /q /e:on /v:on /c "chcp 65001>nul&set err=0&set key=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore&(for /f "tokens=1* delims=" %I in ('^(reg.exe query !key!\InboxApplications^&reg.exe query !key!\UpdatedApplications^)^|findstr /ir "\\Microsoft\.Microso (запись имеет ещё 192 символов).
  Task: {61F7F3E0-E3A7-4C45-8C4B-5D3D7F0F5A97} - System32\Tasks\StartPersistentWindowsuser => "C:\!my files\!PersistentWindows\PersistentWindows.exe"  -splash=0 (Нет файла)
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3955266773-592230617-3270593797-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  CHR HomePage: Default -> hxxp://mail.ru/cnt/7993/
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\ProgramData\CAAService\"
  Remove-MpPreference -ExclusionProcess "powershell.exe"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Morelax]

3 минуты назад, Sandor сказал:

Сделаем некоторую очистку.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  Task: {1A8DA39C-1E6A-43D7-B868-E7C2700C6DFF} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe  (Нет файла)
  Task: {FF141F80-4F2D-4A5D-BFE4-DA531EB1A561} - System32\Tasks\MaintenanceUninstalledSystemApps => C:\Windows\System32\cmd.exe [376832 2025-06-30] (Microsoft Windows -> Microsoft Corporation) -> %SystemRoot%\System32\\/d /q /e:on /v:on /c "chcp 65001>nul&set err=0&set key=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore&(for /f "tokens=1* delims=" %I in ('^(reg.exe query !key!\InboxApplications^&reg.exe query !key!\UpdatedApplications^)^|findstr /ir "\\Microsoft\.Microso (запись имеет ещё 192 символов).
  Task: {61F7F3E0-E3A7-4C45-8C4B-5D3D7F0F5A97} - System32\Tasks\StartPersistentWindowsuser => "C:\!my files\!PersistentWindows\PersistentWindows.exe"  -splash=0 (Нет файла)
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3955266773-592230617-3270593797-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  CHR HomePage: Default -> hxxp://mail.ru/cnt/7993/
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\ProgramData\CAAService\"
  Remove-MpPreference -ExclusionProcess "powershell.exe"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

а можете, пожалуйста, что именно затронет данная очистка? заметил, что установится mail.ru в хроме как домашняя страница?)) и что поменяется в дефендере виндовс? он включится по полной (со всеми своими ненужными функциями)  или что? просто мне важно, чтобы система было производительной, без лишних фоновых процессов и тд. Заранее спасибо за ответ)

[Sandor]

3 минуты назад, Morelax сказал:

заметил, что установится mail.ru в хроме как домашняя страница?

Наоборот, удалится. И это не просто mail.ru, а со ссылкой на адварь.

 

В Защитнике будут удалены добавленные вредоносом исключения.

[Morelax]

1 час назад, Sandor сказал:

Сделаем некоторую очистку.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  Task: {1A8DA39C-1E6A-43D7-B868-E7C2700C6DFF} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe  (Нет файла)
  Task: {FF141F80-4F2D-4A5D-BFE4-DA531EB1A561} - System32\Tasks\MaintenanceUninstalledSystemApps => C:\Windows\System32\cmd.exe [376832 2025-06-30] (Microsoft Windows -> Microsoft Corporation) -> %SystemRoot%\System32\\/d /q /e:on /v:on /c "chcp 65001>nul&set err=0&set key=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore&(for /f "tokens=1* delims=" %I in ('^(reg.exe query !key!\InboxApplications^&reg.exe query !key!\UpdatedApplications^)^|findstr /ir "\\Microsoft\.Microso (запись имеет ещё 192 символов).
  Task: {61F7F3E0-E3A7-4C45-8C4B-5D3D7F0F5A97} - System32\Tasks\StartPersistentWindowsuser => "C:\!my files\!PersistentWindows\PersistentWindows.exe"  -splash=0 (Нет файла)
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-3955266773-592230617-3270593797-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  CHR HomePage: Default -> hxxp://mail.ru/cnt/7993/
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\ProgramData\CAAService\"
  Remove-MpPreference -ExclusionProcess "powershell.exe"
  EndPowerShell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Fixlog.txt

[Sandor]

Хорошо. Если проблема решена, в завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Morelax]

4 минуты назад, Sandor сказал:

Хорошо. Если проблема решена, в завершение:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

 

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
 

Так ли страшен Контроль учётных записей
 

Среда выполнения Microsoft Edge WebView2 Runtime v.136.0.3240.64 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
WinRAR 7.11 (64-разрядная) v.7.11.0 Внимание! Скачать обновления
Discord v.1.0.9191 Внимание! Скачать обновления
µTorrent v.3.6.0.47178 Внимание! Клиент сети P2P с рекламным модулем!
Adobe Acrobat (64-bit) v.24.005.20320 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
Microsoft Edge v.136.0.3240.64 Внимание! Скачать обновления
^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^
 

Читайте Рекомендации после удаления вредоносного ПО

[Morelax]

5 минут назад, Sandor сказал:

Исправьте по возможности:

 

Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
 

Так ли страшен Контроль учётных записей
 

Среда выполнения Microsoft Edge WebView2 Runtime v.136.0.3240.64 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34433 v.14.42.34433.0 Внимание! Скачать обновления
WinRAR 7.11 (64-разрядная) v.7.11.0 Внимание! Скачать обновления
Discord v.1.0.9191 Внимание! Скачать обновления
µTorrent v.3.6.0.47178 Внимание! Клиент сети P2P с рекламным модулем!
Adobe Acrobat (64-bit) v.24.005.20320 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
Microsoft Edge v.136.0.3240.64 Внимание! Скачать обновления
^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^
 

Читайте Рекомендации после удаления вредоносного ПО

Большое спасибо)

 

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".