[РЕШЕНО] Вирус powershell AVKill 10

[Кашапова Алина]

Здравствуйте. Подхватила вирус, источник неизвестен, но возможно вместе с торрентом. Ноутбук сильно шумит и греется, диспетчер задач показывает загруженность ЦП 100%. Cureit сначала указывал на файлы dialer.exe в \net\18308\tcp, после перезагрузки их не видит, но нашел powershell AVKill 10. Удалить файлы не получается. Заранее благодарю за помощь.

CollectionLog-2025.09.01-01.06.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Кашапова Алина]

Сделано

Logs.7z

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-19\...\RunOnce: [NTLDelay09] => cmd.exe /C "del /F "%localappdata%\Microsoft\Windows\WinX\Group3\09 - Mobility Center.lnk"" (Нет файла)
HKU\S-1-5-20\...\RunOnce: [NTLDelay09] => cmd.exe /C "del /F "%localappdata%\Microsoft\Windows\WinX\Group3\09 - Mobility Center.lnk"" (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
U2 BITS_bkp; C:\WINDOWS\System32\qmgr.dll [1481728 2025-05-15] (Microsoft Windows -> Microsoft Corporation)
U2 dosvc_bkp; C:\WINDOWS\system32\dosvc.dll [1534976 2025-07-19] (Microsoft Windows -> Microsoft Corporation)
U2 UsoSvc_bkp; C:\WINDOWS\system32\usosvc.dll [583168 2025-05-15] (Microsoft Windows -> Microsoft Corporation)
U3 WaaSMedicSvc_bkp; C:\WINDOWS\System32\WaaSMedicSvc.dll [434176 2025-07-19] (Microsoft Windows -> Microsoft Corporation)
U3 wuauserv_bkp; C:\WINDOWS\system32\wuaueng.dll [3441152 2025-07-19] (Microsoft Windows -> Microsoft Corporation)
Unlock: C:\WINDOWS\system32\Drivers\b3ff9da1d17.sys
U5 b3ff9da1d17;  <==== ВНИМАНИЕ: Заблокированная служба
C:\Users\Alina\Desktop\paintdotnet.exe — ярлык.lnk
FirewallRules: [{6D3034DE-E760-4BD6-A83D-74126C2C6321}] => (Block) C:\users\alina\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [{D68EFD69-61A4-49DD-A6DA-22FBA2922E4A}] => (Block) C:\users\alina\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [UDP Query User{BA9B37FE-0294-4F56-A55B-65BBA4917845}C:\users\alina\appdata\local\programs\yandexmusic\яндекс музыка.exe] => (Allow) C:\users\alina\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [TCP Query User{916A702F-26AF-4EEC-8871-582AE5E25DF4}C:\users\alina\appdata\local\programs\yandexmusic\яндекс музыка.exe] => (Allow) C:\users\alina\appdata\local\programs\yandexmusic\яндекс музыка.exe => Нет файла
FirewallRules: [UDP Query User{76B6A590-D84F-47AE-8655-5B81CDDF5675}C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-gamma\windows\java-runtime-gamma\bin\javaw.exe] => (Block) C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-gamma\windows\java-runtime-gamma\bin\javaw.exe => Нет файла
FirewallRules: [TCP Query User{1D0FE722-B582-4274-BDAA-B6A3BE2C0A19}C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-gamma\windows\java-runtime-gamma\bin\javaw.exe] => (Block) C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-gamma\windows\java-runtime-gamma\bin\javaw.exe => Нет файла
FirewallRules: [{C0C34973-A77D-4A89-A22F-26F181907845}] => (Block) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.10-windows-x64\bin\java.exe => Нет файла
FirewallRules: [{88096D67-C38D-455B-BBD7-9B440621DDA8}] => (Block) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.10-windows-x64\bin\java.exe => Нет файла
FirewallRules: [UDP Query User{2DC7C1C8-FAF2-49C2-B7EF-41759367EB82}C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.10-windows-x64\bin\java.exe] => (Allow) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.10-windows-x64\bin\java.exe => Нет файла
FirewallRules: [TCP Query User{33BF3AB7-50C2-4E9D-A000-28CBBF5B8428}C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.10-windows-x64\bin\java.exe] => (Allow) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.10-windows-x64\bin\java.exe => Нет файла
FirewallRules: [UDP Query User{8BB75195-D486-4F50-9044-3B24B40C66FA}D:\games\lethalcompany\lethal company\lethal company.exe] => (Allow) D:\games\lethalcompany\lethal company\lethal company.exe => Нет файла
FirewallRules: [TCP Query User{6BF2B4B7-21AB-47DD-B838-6EE36C9B6704}D:\games\lethalcompany\lethal company\lethal company.exe] => (Allow) D:\games\lethalcompany\lethal company\lethal company.exe => Нет файла
FirewallRules: [{383527D7-2DBB-4A00-9708-48B76E1866C9}] => (Allow) LPort=8032
FirewallRules: [{BA3188B3-ED20-4FA0-A053-D5F7378D0864}] => (Allow) LPort=8042
FirewallRules: [{065F18C8-964E-41BE-887E-815A5CDCE545}] => (Allow) LPort=8041
FirewallRules: [{EB3A445B-BF43-4A68-BA9E-F3D4157F1D86}] => (Allow) LPort=8040
FirewallRules: [{8FF92252-FEAB-49C4-A595-EB5140B59801}] => (Allow) LPort=8039
FirewallRules: [{DD615F41-6B7C-431B-BFDE-EBA8F4CE590C}] => (Allow) LPort=8038
FirewallRules: [{36427C24-76C4-40CB-99C7-04EE947549EE}] => (Allow) LPort=8037
FirewallRules: [{6A52A1C4-FD43-4F7D-A95C-2D5A08D00E7A}] => (Allow) LPort=8036
FirewallRules: [{EBC2D6D4-ADA0-4F95-BDFD-B0AEA96F4D5D}] => (Allow) LPort=8035
FirewallRules: [{841A6B8A-5B95-40DE-B2D0-B6BF3F2E3B79}] => (Allow) LPort=8034
FirewallRules: [{8E5154FA-EDD2-477B-ACF1-3A0F7A8AFC87}] => (Allow) LPort=8033
FirewallRules: [{34EBCA75-9622-44C4-B438-CBE0ED93FB9C}] => (Allow) LPort=8032
FirewallRules: [{D0B319E4-3FA2-4D22-967B-445632F9D74E}] => (Allow) LPort=8032
FirewallRules: [{A2FE14BC-8E21-49F8-AF60-764F60C43E16}] => (Allow) LPort=8032
FirewallRules: [{B1855C04-21E2-4FB9-8606-59DEDF631F02}] => (Allow) LPort=8032
FirewallRules: [{AC8314A1-4804-4C8A-A347-2B2553AC00CC}] => (Allow) LPort=8032
FirewallRules: [{B4D06C54-5A93-472E-B882-1C25DEEC88DC}] => (Allow) LPort=8032
FirewallRules: [{0C404B6E-91F4-45D2-9270-BD09CB4B1321}] => (Allow) LPort=8032
FirewallRules: [{73D06DF6-D9B0-4649-A2A7-3A0DC55CE180}] => (Allow) LPort=8032
FirewallRules: [{0295DCF7-8EF5-4AA2-8FD8-B5013C27B430}] => (Allow) LPort=8032
FirewallRules: [{29F50B79-F1D3-4DE3-8A4F-0B1045015E66}] => (Allow) LPort=8032
FirewallRules: [{BFF18FD0-D592-456B-AE95-27B76FCA4652}] => (Allow) LPort=8032
FirewallRules: [{83EDD4AC-F8EB-49E9-AC58-E1F1704DF3CA}] => (Allow) LPort=8032
FirewallRules: [{A4C0D6AA-4F5D-43E0-9EAF-1FB9635F912A}] => (Allow) LPort=8032
FirewallRules: [{2BFD3A03-EA19-4E89-A565-39DB1F74ACDD}] => (Allow) LPort=8032
FirewallRules: [TCP Query User{9C67AF8F-8A81-4F2B-91B0-6A80CCAFB680}C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.11-windows-x64\bin\java.exe] => (Allow) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.11-windows-x64\bin\java.exe => Нет файла
FirewallRules: [UDP Query User{A1712AB6-E7C8-4CAA-9EC0-53205998A4EC}C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.11-windows-x64\bin\java.exe] => (Allow) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.11-windows-x64\bin\java.exe => Нет файла
FirewallRules: [{5F05731E-56DC-418C-B01F-23373F926A88}] => (Block) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.11-windows-x64\bin\java.exe => Нет файла
FirewallRules: [{84104C91-AFC0-4096-A75F-4F20DDB9F1D0}] => (Block) C:\users\alina\appdata\roaming\.tlauncher\starter\jre_default\jre-17.0.11-windows-x64\bin\java.exe => Нет файла
FirewallRules: [TCP Query User{9E4FDE9D-15D0-48AA-8CE7-3D33E8D34B58}C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-beta\windows\java-runtime-beta\bin\javaw.exe] => (Allow) C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-beta\windows\java-runtime-beta\bin\javaw.exe => Нет файла
FirewallRules: [UDP Query User{ABAFBDE0-EE98-49A8-8280-A0B8822BB706}C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-beta\windows\java-runtime-beta\bin\javaw.exe] => (Allow) C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-beta\windows\java-runtime-beta\bin\javaw.exe => Нет файла
FirewallRules: [{6BCD669F-7197-4DF5-A95E-327DE36C2C2A}] => (Block) C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-beta\windows\java-runtime-beta\bin\javaw.exe => Нет файла
FirewallRules: [{ECF202C8-508B-4B33-BF2C-3714389ABEDA}] => (Block) C:\users\alina\appdata\roaming\.minecraft\runtime\java-runtime-beta\windows\java-runtime-beta\bin\javaw.exe => Нет файла
FirewallRules: [{49D652D8-7D53-46BB-80BA-76E4BA97A7CE}] => (Allow) LPort=8032
FirewallRules: [{21C047B5-EC37-41A8-BA5A-5F0DFAD1B206}] => (Allow) LPort=8032
FirewallRules: [TCP Query User{FAD744BF-3D7C-4937-98B0-82202EE54B57}D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe] => (Allow) D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe => Нет файла
FirewallRules: [UDP Query User{DA35811A-6228-405B-A991-28F6BB5FA449}D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe] => (Allow) D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe => Нет файла
FirewallRules: [TCP Query User{A129314D-780D-4338-A2FF-0FE6B01A32AE}D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe] => (Allow) D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe => Нет файла
FirewallRules: [UDP Query User{76E88BE1-B2FB-4971-AA65-AAB044634E77}D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe] => (Allow) D:\programm\foudry\foundry virtual tabletop\foundry virtual tabletop.exe => Нет файла
FirewallRules: [{9ED7D972-CBD7-4E57-8BD1-2C7C3C54B346}] => (Allow) LPort=8032
FirewallRules: [{3CFE141B-FDB2-42E1-A84E-9D632B6F36D2}] => (Allow) LPort=8032
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

Скачайте по ссылке https://download.bleepingcomputer.com/win-services/windows-10-22H2/ reg-файлы для служб BITS, dosvc, UsoSvc, WaaSMedicSvc, wuauserv. Запустите каждый из файлов и подтвердите внесение информации в реестр.

[Кашапова Алина]

Готово

Fixlog.txt

[thyrex]

Что сейчас с проблемой?

[Кашапова Алина]

Cureit больше ничего не видит, компьютер перестал шуметь и быстрее запускается. Все хорошо, спасибо большое.

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Кашапова Алина]

Готово

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14332.20358 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
Microsoft Office Access database engine 2007 (English) v.12.0.4518.1031 Данная программа больше не поддерживается разработчиком.
7-Zip 24.08 (x64) v.24.08 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Discord v.1.0.9161 Внимание! Скачать обновления
Java 8 Update 401 (64-bit) v.8.0.4010.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u451-windows-x64.exe - Windows Offline (64-bit))^

---------------------------- [ UnwantedApps ] -----------------------------
Кнопки сервисов Яндекса на панели задач v.3.7.9.0 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

На этом закончим.

[Кашапова Алина]

Спасибо большое за все

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".