[РЕШЕНО] Подозрение на майнер

[Milink]

скачал игру с торрента, после чего в браузере Chrome после каждого перезапуска пк начало устанавливаться левое расширение якобы Adblock. Так же в temp появляется папка 2xzjMMUGjeobOYtjoc0gOuMKKHC. Пробовал чистить антивирусами - не помогло.

Нашел решение, avz скачал, Autologger я так понимаю тоже надо качать: 

Актуально ли оно?

 

Изменено 7 июля пользователем Milink

[thyrex]

Здравствуйте.

 

Рекомендации, написанные не для Вас, выполнять не рекомендуется. Они пишутся индивидуально.

Выполните Порядок оформления запроса о помощи.
Новую тему создавать не нужно, логи прикрепите к следующему сообщению в текущей теме.
 

[Milink]

Adblock перестал появлятся а setup и папка 2xzjMMUGjeobOYtjoc0gOuMKKHC чкрез некоторое время после запуска ПК пропадают

CollectionLog-2025.07.08-11.41.zip

[Sandor]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe');
 TerminateProcessByName('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe');
 QuarantineFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe', '');
 QuarantineFile('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe', '');
 DeleteSchedulerTask('CCleaner Update');
 DeleteSchedulerTask('UpdateTorrent');
 DeleteFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe', '');
 DeleteFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe', '64');
 DeleteFile('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe', '32');
 DeleteFile('C:\Users\StaS\AppData\Roaming\utorrent\UtorrentWeb.exe', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

 

[thyrex]

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe');
 TerminateProcessByName('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe');
 QuarantineFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe','');
 DeleteFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe','32');
 DeleteFile('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe','32');
 DeleteSchedulerTask('UpdateTorrent');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Milink]

setup и папка 2xzjMMUGjeobOYtjoc0gOuMKKHC после перезагрузки перестали появлятся

CollectionLog-2025.07.08-16.14.zip

[Sandor]

Хорошо. Дополнительно, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Milink]

Addition.txt FRST.txt

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\ DisallowedCertificates: 47D92D49E6F7F296260DA1AF355F941EB25360C4 (U)
HKLM\ DisallowedCertificates: EE45853E5C81DB8FDBB7F92C18B20972C744911C (U)
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {768F0C5A-93F0-42C4-8C87-33A1EE4CBD28} - System32\Tasks\ASUS\P508PowerAgent_sdk => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\ShareFromArmouryIII\Mouse\ROG STRIX CARRY\P508PowerAgent.exe  (Нет файла)
C:\Users\StaS\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\eefhkoabofekdipldenljkncoegdblgk
S3 cpuz159; \??\C:\Windows\temp\cpuz159\cpuz159_x64.sys [X] <==== ВНИМАНИЕ
S3 HWiNFO_190; \??\C:\Users\StaS\AppData\Local\Temp\HWiNFO64A_190.SYS [X] <==== ВНИМАНИЕ
2025-07-07 13:31 - 2025-07-07 13:31 - 000000389 _____ C:\Users\StaS\setup.dat
c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc
AlternateDataStreams: C:\Windows\tracing:? [16]
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [264]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [9976]
FirewallRules: [{C7C98892-A565-48FC-B9BC-AA568C225051}] => (Allow) C:\Program Files\WindowsApps\MSTeams_24135.300.2876.2873_x64__8wekyb3d8bbwe\ms-teams.exe => Нет файла
FirewallRules: [{F918A1FE-F519-4FB8-ADA5-77A46CE38304}] => (Allow) C:\Program Files\WindowsApps\MSTeams_24135.300.2876.2873_x64__8wekyb3d8bbwe\ms-teams.exe => Нет файла
FirewallRules: [{CEF0A8CB-82E0-445D-BA39-84A31E4B7811}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\Launcher.exe => Нет файла
FirewallRules: [{6B5952C0-76D2-402B-A782-A9CC7CC3FCF0}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{46DF5D44-54B2-4875-BF86-A7EBC99A4734}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{547A0E8A-FF1C-45EB-933D-FAC929C98510}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\RemoteCrashSender.exe => Нет файла
FirewallRules: [{44993C58-3A60-4B98-87D2-DFB5C81EC698}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\Launcher.exe => Нет файла
FirewallRules: [{C060410F-DD11-4636-8E34-A68373DFF437}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{2ECD9893-F450-4C92-85A7-D26A8FFF92C7}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{CE9CB28E-28C2-43EA-99BA-7008151B8B78}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\RemoteCrashSender.exe => Нет файла
FirewallRules: [{5236BF8C-55EE-4EB2-BD92-0AB96761A8AE}] => (Allow) C:\Program Files (x86)\BlueStacks X\Cloud Game.exe => Нет файла
FirewallRules: [TCP Query User{5F1C074A-C5CD-4059-80CA-E55303C20D83}D:\sdio_update\sdio_x64_r773.exe] => (Allow) D:\sdio_update\sdio_x64_r773.exe => Нет файла
FirewallRules: [UDP Query User{481856BD-B788-4B83-948A-ADD314901F15}D:\sdio_update\sdio_x64_r773.exe] => (Allow) D:\sdio_update\sdio_x64_r773.exe => Нет файла
FirewallRules: [{49E12449-F09D-440E-8434-05594EFC73ED}] => (Allow) C:\Users\StaS\AppData\Local\nikkeminiloader\nikkeminiloader.exe => Нет файла
FirewallRules: [{75A4A749-706C-455C-8082-87D098F3C80E}] => (Allow) C:\Users\StaS\AppData\Local\nikkeminiloader\nikkeminiloader.exe => Нет файла
FirewallRules: [{BB88674B-C902-4AAA-8A51-C841F945921C}] => (Allow) D:\SteamLibrary\steamapps\common\Skyrim Special Edition\SkyrimSELauncher.exe => Нет файла
FirewallRules: [{2AF82128-1A17-493F-ADB4-4884B14332F6}] => (Allow) D:\SteamLibrary\steamapps\common\Skyrim Special Edition\SkyrimSELauncher.exe => Нет файла
FirewallRules: [TCP Query User{72740AF6-CBA3-415F-BC3D-1198B70A5A6D}E:\command and conquer - red alert 3\data\ra3_1.12.game] => (Allow) E:\command and conquer - red alert 3\data\ra3_1.12.game => Нет файла
FirewallRules: [UDP Query User{3F046F2A-88EF-46B8-89E3-14B5DD62652E}E:\command and conquer - red alert 3\data\ra3_1.12.game] => (Allow) E:\command and conquer - red alert 3\data\ra3_1.12.game => Нет файла
FirewallRules: [TCP Query User{6A07CA01-CB45-4DFA-806E-E8B47A274CD0}E:\gtav\gta5.exe] => (Allow) E:\gtav\gta5.exe => Нет файла
FirewallRules: [UDP Query User{E350FF42-8DED-441C-B177-4E545B1168D4}E:\gtav\gta5.exe] => (Allow) E:\gtav\gta5.exe => Нет файла
FirewallRules: [{D76C17C7-757F-41E3-A8BD-229E146D08F2}] => (Allow) E:\SteamLibrary\steamapps\common\Tanki Online\Tanki Online.exe => Нет файла
FirewallRules: [{A928B1C8-0198-42DD-B8A8-939F1351080C}] => (Allow) E:\SteamLibrary\steamapps\common\Tanki Online\Tanki Online.exe => Нет файла
FirewallRules: [TCP Query User{4161D3F2-535E-46D7-B9B3-7146A5F71D36}E:\gtavenhanced\gta5_enhanced.exe] => (Allow) E:\gtavenhanced\gta5_enhanced.exe => Нет файла
FirewallRules: [UDP Query User{26629CEC-6617-4D17-8C6B-5F0F5D82BD6E}E:\gtavenhanced\gta5_enhanced.exe] => (Allow) E:\gtavenhanced\gta5_enhanced.exe => Нет файла
FirewallRules: [{301B544C-5FFF-410D-9989-9A813C1AAEB9}] => (Allow) C:\Users\StaS\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{A30FBF20-6F8A-4A4D-84B2-6C2757544622}] => (Allow) C:\Users\StaS\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [TCP Query User{58AC23A3-2BB2-4D10-91C1-D84DAA9DF088}D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe] => (Allow) D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe => Нет файла
FirewallRules: [UDP Query User{EC7A4838-D20A-4AC4-97C4-713B9C3BFEC7}D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe] => (Allow) D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe => Нет файла
FirewallRules: [TCP Query User{57D0417D-7C7C-42D1-95C7-89F329E02A54}D:\punishing gray raven\punishing gray raven game\pgr.exe] => (Allow) D:\punishing gray raven\punishing gray raven game\pgr.exe => Нет файла
FirewallRules: [UDP Query User{F373F128-13CA-486C-AF65-6BDBFAAC985E}D:\punishing gray raven\punishing gray raven game\pgr.exe] => (Allow) D:\punishing gray raven\punishing gray raven game\pgr.exe => Нет файла
FirewallRules: [TCP Query User{132E5EA7-F35C-4C0D-A6A7-FB9DD7244FD0}C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe] => (Allow) C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe => Нет файла
FirewallRules: [UDP Query User{12E6D6EF-E7CB-4ADD-AF3D-51176B79CF7A}C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe] => (Allow) C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe => Нет файла
FirewallRules: [{05D81965-CB33-490A-81BF-A7B27438E10F}] => (Allow) C:\Program Files\FlashIntegro\VideoEditor\VideoEditor.exe => Нет файла
FirewallRules: [{D3FD1CFD-9D7D-4349-9210-D372C8A32342}] => (Allow) C:\Program Files\FlashIntegro\VideoEditor\VideoEditor.exe => Нет файла
FirewallRules: [TCP Query User{BACC9E85-CB01-43E8-9F0C-5293D5FD77D0}E:\riot games\riot client\riotclientelectron\riot client.exe] => (Allow) E:\riot games\riot client\riotclientelectron\riot client.exe => Нет файла
FirewallRules: [UDP Query User{D030CD87-D3C7-422B-B678-00118F776B3F}E:\riot games\riot client\riotclientelectron\riot client.exe] => (Allow) E:\riot games\riot client\riotclientelectron\riot client.exe => Нет файла
FirewallRules: [{C01C75B4-9043-4CDC-B6E0-4AEE2DE6C7F9}] => (Allow) E:\program files\asus\aacambienthal\aacambientlighting.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[Milink]

Fixlog.txt

[thyrex]

Проблема решена?

[Milink]

5 часов назад, Milink сказал:

setup и папка 2xzjMMUGjeobOYtjoc0gOuMKKHC после перезагрузки перестали появлятся

CollectionLog-2025.07.08-16.14.zip 120.18 kB · 1 загрузка

Думаю да

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Milink]

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
FurMark x64 v.1.0 Внимание! Скачать обновления
Среда выполнения Microsoft Edge WebView2 Runtime v.137.0.3296.93 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
TechPowerUp GPU-Z v.2.57.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.44.35208 v.14.44.35208.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34438 v.14.42.34438.0 Внимание! Скачать обновления
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
Discord v.1.0.9175 Внимание! Скачать обновления
µTorrent v.3.6.0.47196 Внимание! Клиент сети P2P с рекламным модулем!
Java 8 Update 401 (64-bit) v.8.0.4010.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u451-windows-x64.exe - Windows Offline (64-bit))^
Google Chrome v.138.0.7204.97 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

Читайте Рекомендации после удаления вредоносного ПО