Перейти к содержанию
Правила раздела

[РЕШЕНО] Подозрение на майнер

Milink

Автор Milink
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Milink

Milink

Опубликовано
Опубликовано (изменено)

скачал игру с торрента, после чего в браузере Chrome после каждого перезапуска пк начало устанавливаться левое расширение якобы Adblock. Так же в temp появляется папка 2xzjMMUGjeobOYtjoc0gOuMKKHC. Пробовал чистить антивирусами - не помогло.

Нашел решение, avz скачал, Autologger я так понимаю тоже надо качать: 

Актуально ли оно?

 

Изменено пользователем Milink
thyrex

thyrex

Опубликовано
Опубликовано

Здравствуйте.

 

Рекомендации, написанные не для Вас, выполнять не рекомендуется. Они пишутся индивидуально.


Выполните Порядок оформления запроса о помощи.
Новую тему создавать не нужно, логи прикрепите к следующему сообщению в текущей теме.
 

Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт): 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe');
 TerminateProcessByName('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe');
 QuarantineFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe', '');
 QuarantineFile('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe', '');
 DeleteSchedulerTask('CCleaner Update');
 DeleteSchedulerTask('UpdateTorrent');
 DeleteFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe', '');
 DeleteFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe', '64');
 DeleteFile('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe', '32');
 DeleteFile('C:\Users\StaS\AppData\Roaming\utorrent\UtorrentWeb.exe', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

  

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

 

thyrex

thyrex

Опубликовано
Опубликовано

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
TerminateProcessByName('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe');
 TerminateProcessByName('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe');
 QuarantineFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe','');
 DeleteFile('c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc\setup.exe','32');
 DeleteFile('c:\users\stas\appdata\roaming\utorrent\utorrentweb.exe','32');
 DeleteSchedulerTask('UpdateTorrent');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

  • Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

Sandor

Sandor

Опубликовано
Опубликовано

Хорошо. Дополнительно, пожалуйста:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать) 

Start::
CreateRestorePoint:
HKLM\ DisallowedCertificates: 47D92D49E6F7F296260DA1AF355F941EB25360C4 (U)
HKLM\ DisallowedCertificates: EE45853E5C81DB8FDBB7F92C18B20972C744911C (U)
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {768F0C5A-93F0-42C4-8C87-33A1EE4CBD28} - System32\Tasks\ASUS\P508PowerAgent_sdk => C:\Program Files (x86)\ASUS\ArmouryDevice\dll\ShareFromArmouryIII\Mouse\ROG STRIX CARRY\P508PowerAgent.exe  (Нет файла)
C:\Users\StaS\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\eefhkoabofekdipldenljkncoegdblgk
S3 cpuz159; \??\C:\Windows\temp\cpuz159\cpuz159_x64.sys [X] <==== ВНИМАНИЕ
S3 HWiNFO_190; \??\C:\Users\StaS\AppData\Local\Temp\HWiNFO64A_190.SYS [X] <==== ВНИМАНИЕ
2025-07-07 13:31 - 2025-07-07 13:31 - 000000389 _____ C:\Users\StaS\setup.dat
c:\users\stas\appdata\local\temp\2xzjmmugjeoboytjoc0goumkkhc
AlternateDataStreams: C:\Windows\tracing:? [16]
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [264]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [9976]
FirewallRules: [{C7C98892-A565-48FC-B9BC-AA568C225051}] => (Allow) C:\Program Files\WindowsApps\MSTeams_24135.300.2876.2873_x64__8wekyb3d8bbwe\ms-teams.exe => Нет файла
FirewallRules: [{F918A1FE-F519-4FB8-ADA5-77A46CE38304}] => (Allow) C:\Program Files\WindowsApps\MSTeams_24135.300.2876.2873_x64__8wekyb3d8bbwe\ms-teams.exe => Нет файла
FirewallRules: [{CEF0A8CB-82E0-445D-BA39-84A31E4B7811}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\Launcher.exe => Нет файла
FirewallRules: [{6B5952C0-76D2-402B-A782-A9CC7CC3FCF0}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{46DF5D44-54B2-4875-BF86-A7EBC99A4734}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{547A0E8A-FF1C-45EB-933D-FAC929C98510}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\RemoteCrashSender.exe => Нет файла
FirewallRules: [{44993C58-3A60-4B98-87D2-DFB5C81EC698}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\Launcher.exe => Нет файла
FirewallRules: [{C060410F-DD11-4636-8E34-A68373DFF437}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{2ECD9893-F450-4C92-85A7-D26A8FFF92C7}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Warframe.x64.exe => Нет файла
FirewallRules: [{CE9CB28E-28C2-43EA-99BA-7008151B8B78}] => (Allow) D:\SteamLibrary\steamapps\common\Warframe\Tools\RemoteCrashSender.exe => Нет файла
FirewallRules: [{5236BF8C-55EE-4EB2-BD92-0AB96761A8AE}] => (Allow) C:\Program Files (x86)\BlueStacks X\Cloud Game.exe => Нет файла
FirewallRules: [TCP Query User{5F1C074A-C5CD-4059-80CA-E55303C20D83}D:\sdio_update\sdio_x64_r773.exe] => (Allow) D:\sdio_update\sdio_x64_r773.exe => Нет файла
FirewallRules: [UDP Query User{481856BD-B788-4B83-948A-ADD314901F15}D:\sdio_update\sdio_x64_r773.exe] => (Allow) D:\sdio_update\sdio_x64_r773.exe => Нет файла
FirewallRules: [{49E12449-F09D-440E-8434-05594EFC73ED}] => (Allow) C:\Users\StaS\AppData\Local\nikkeminiloader\nikkeminiloader.exe => Нет файла
FirewallRules: [{75A4A749-706C-455C-8082-87D098F3C80E}] => (Allow) C:\Users\StaS\AppData\Local\nikkeminiloader\nikkeminiloader.exe => Нет файла
FirewallRules: [{BB88674B-C902-4AAA-8A51-C841F945921C}] => (Allow) D:\SteamLibrary\steamapps\common\Skyrim Special Edition\SkyrimSELauncher.exe => Нет файла
FirewallRules: [{2AF82128-1A17-493F-ADB4-4884B14332F6}] => (Allow) D:\SteamLibrary\steamapps\common\Skyrim Special Edition\SkyrimSELauncher.exe => Нет файла
FirewallRules: [TCP Query User{72740AF6-CBA3-415F-BC3D-1198B70A5A6D}E:\command and conquer - red alert 3\data\ra3_1.12.game] => (Allow) E:\command and conquer - red alert 3\data\ra3_1.12.game => Нет файла
FirewallRules: [UDP Query User{3F046F2A-88EF-46B8-89E3-14B5DD62652E}E:\command and conquer - red alert 3\data\ra3_1.12.game] => (Allow) E:\command and conquer - red alert 3\data\ra3_1.12.game => Нет файла
FirewallRules: [TCP Query User{6A07CA01-CB45-4DFA-806E-E8B47A274CD0}E:\gtav\gta5.exe] => (Allow) E:\gtav\gta5.exe => Нет файла
FirewallRules: [UDP Query User{E350FF42-8DED-441C-B177-4E545B1168D4}E:\gtav\gta5.exe] => (Allow) E:\gtav\gta5.exe => Нет файла
FirewallRules: [{D76C17C7-757F-41E3-A8BD-229E146D08F2}] => (Allow) E:\SteamLibrary\steamapps\common\Tanki Online\Tanki Online.exe => Нет файла
FirewallRules: [{A928B1C8-0198-42DD-B8A8-939F1351080C}] => (Allow) E:\SteamLibrary\steamapps\common\Tanki Online\Tanki Online.exe => Нет файла
FirewallRules: [TCP Query User{4161D3F2-535E-46D7-B9B3-7146A5F71D36}E:\gtavenhanced\gta5_enhanced.exe] => (Allow) E:\gtavenhanced\gta5_enhanced.exe => Нет файла
FirewallRules: [UDP Query User{26629CEC-6617-4D17-8C6B-5F0F5D82BD6E}E:\gtavenhanced\gta5_enhanced.exe] => (Allow) E:\gtavenhanced\gta5_enhanced.exe => Нет файла
FirewallRules: [{301B544C-5FFF-410D-9989-9A813C1AAEB9}] => (Allow) C:\Users\StaS\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{A30FBF20-6F8A-4A4D-84B2-6C2757544622}] => (Allow) C:\Users\StaS\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [TCP Query User{58AC23A3-2BB2-4D10-91C1-D84DAA9DF088}D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe] => (Allow) D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe => Нет файла
FirewallRules: [UDP Query User{EC7A4838-D20A-4AC4-97C4-713B9C3BFEC7}D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe] => (Allow) D:\miniroyale\miniroyale\binaries\win64\miniroyale.exe => Нет файла
FirewallRules: [TCP Query User{57D0417D-7C7C-42D1-95C7-89F329E02A54}D:\punishing gray raven\punishing gray raven game\pgr.exe] => (Allow) D:\punishing gray raven\punishing gray raven game\pgr.exe => Нет файла
FirewallRules: [UDP Query User{F373F128-13CA-486C-AF65-6BDBFAAC985E}D:\punishing gray raven\punishing gray raven game\pgr.exe] => (Allow) D:\punishing gray raven\punishing gray raven game\pgr.exe => Нет файла
FirewallRules: [TCP Query User{132E5EA7-F35C-4C0D-A6A7-FB9DD7244FD0}C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe] => (Allow) C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe => Нет файла
FirewallRules: [UDP Query User{12E6D6EF-E7CB-4ADD-AF3D-51176B79CF7A}C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe] => (Allow) C:\users\stas\appdata\local\discord\app-1.0.9191\discord.exe => Нет файла
FirewallRules: [{05D81965-CB33-490A-81BF-A7B27438E10F}] => (Allow) C:\Program Files\FlashIntegro\VideoEditor\VideoEditor.exe => Нет файла
FirewallRules: [{D3FD1CFD-9D7D-4349-9210-D372C8A32342}] => (Allow) C:\Program Files\FlashIntegro\VideoEditor\VideoEditor.exe => Нет файла
FirewallRules: [TCP Query User{BACC9E85-CB01-43E8-9F0C-5293D5FD77D0}E:\riot games\riot client\riotclientelectron\riot client.exe] => (Allow) E:\riot games\riot client\riotclientelectron\riot client.exe => Нет файла
FirewallRules: [UDP Query User{D030CD87-D3C7-422B-B678-00118F776B3F}E:\riot games\riot client\riotclientelectron\riot client.exe] => (Allow) E:\riot games\riot client\riotclientelectron\riot client.exe => Нет файла
FirewallRules: [{C01C75B4-9043-4CDC-B6E0-4AEE2DE6C7F9}] => (Allow) E:\program files\asus\aacambienthal\aacambientlighting.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
thyrex

thyrex

Опубликовано
Опубликовано

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

  • Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  • Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  • Прикрепите этот файл в своем следующем сообщении.


 
Sandor

Sandor

Опубликовано
Опубликовано

Исправьте по возможности:

 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
FurMark x64 v.1.0 Внимание! Скачать обновления
Среда выполнения Microsoft Edge WebView2 Runtime v.137.0.3296.93 Внимание! Скачать обновления
^При ошибках обновления, удалите старую версию, скачайте и установите новую. Или переустановите браузер Microsoft Edge.^
TechPowerUp GPU-Z v.2.57.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.44.35208 v.14.44.35208.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.42.34438 v.14.42.34438.0 Внимание! Скачать обновления
WinRAR 7.01 (64-разрядная) v.7.01.0 Внимание! Скачать обновления
Discord v.1.0.9175 Внимание! Скачать обновления
µTorrent v.3.6.0.47196 Внимание! Клиент сети P2P с рекламным модулем!
Java 8 Update 401 (64-bit) v.8.0.4010.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u451-windows-x64.exe - Windows Offline (64-bit))^
Google Chrome v.138.0.7204.97 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

Читайте Рекомендации после удаления вредоносного ПО

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Midas
      Высокая нагрузка на ПК под 100%, падает до 4%, если открыть диспетчер задач
      Автор Midas
      Заметил, что кулер сильно шумит, хотя ничего нагруженного не делал. Решил залезть в диспетчер задач, чтобы посмотреть, что его нагружает. На секунду показал загрузку под 100% и сразу упала. Антивирусы особо ничем не помогли. Файл результата работы автологгера из инструкции прикрепил
      CollectionLog-2026.02.18-18.35.zip
    • Leit
      Вирус майнер, самовосстанавливающийся архив
      Автор Leit
      После сканирование и удаления вирусов с помощью антивируса dr web cureit открывается самовосстанавливающийся архив и после перезагрузки вирусы появляются вновь, я понимаю что это вирус, но не могу понять где и как мне его удалить, помогите пожалуйста. В архиве лог с dr web cureit и логи с FRST, AV block remover даже в безопасном режиме не запускается, пишет отказано в доступе 
    • Андрей Востоков
      [РЕШЕНО] Помогите удалить майнер
      Автор Андрей Востоков
      Добрый Вечер! Не получается удалить майнер, после проверки через Malwarebytes программа удаляет майнер, после чего тот устанавливается снова и так каждые 5-10 минут и после перезапуска системы. Отчет по логам и отчет Malwarebytes прилагается 
      CollectionLog-2026.02.11-16.12.zip Malwarebytes Отчет о проверке 2026-02-11 111923.txt
    • Vamp1ri
      [РЕШЕНО] Подхватил майнер
      Автор Vamp1ri
      Подхватил майнер, adwcleaner находит вот это, но удалить не может, пк грузится и тормозит
    • shvedkov_vladimir
      Подхватил майнер. Хотел вычистить сам, но столкнулся с БСОДами
      Автор shvedkov_vladimir
      Доброго дня, уважаемые друзья!  Подхватил вирус.  Вычищал его долго и упорно, но хвосты остались видимо где то. Тепрь ПК или намертво зависает, или падает по БСОДу. Прогнал все через АВЗ и ФРСТ.  С написанием скриптов не понимаю--что надо сделать далее)  Прошу помощи... 
      AV_block_remove_2026.02.06-18.08.log FRST.txt
×
×
  • Создать...