Тормозит компьютер

[Serg1309]

Здравствуйте, не могу победить вирус, 
Через некоторое время после включения компьютер  начинает жестко тормозить, и так пока не перегрузишь, а затем все по новой
так же наблюдается повышенная нагрузка на видеокарту в простое

CollectionLog-2025.09.05-15.12.zip

[Sandor]

Здравствуйте!

 

Эта папка вам знакома?

Цитата

d:\soft\nekoray

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 StopService('AtiDCM');
 QuarantineFile('C:\Windows\Setup\Scripts\PauseWindowsUpdate.ps1', '');
 QuarantineFile('C:\Windows\Temp\atdcm64a.sys', '');
 DeleteSchedulerTask('PauseWindowsUpdate');
 DeleteFile('C:\Windows\Temp\atdcm64a.sys', '64');
 DeleteService('AtiDCM');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
 DeleteFile(GetAVZDirectory+'quarantine.7z');
 ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O4 - MountPoints2: HKCU\..\{fb719bc1-2044-11f0-9e8a-8410714191f1}\shell\AutoRun\command: (default) = F:\HonorSuiteOnlineInstaller.exe (file missing)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O23 - Driver S3: efavdrv - C:\WINDOWS\system32\drivers\efavdrv.sys (file missing)
O23 - Driver S3: esihdrv - C:\Users\Admin\AppData\Local\Temp\esihdrv.sys (file missing)
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0
O27 - RDP: (Port) 3389 TCP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик TCP)) - C:\WINDOWS\system32\svchost.exe
O27 - RDP: (Port) 3389 UDP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик UDP)) - C:\WINDOWS\system32\svchost.exe

Перезагрузите компьютер ещё раз.

 

Соберите новый контрольный CollectionLog Автологером.

 

 

[Serg1309]

20 часов назад, Sandor сказал:

Полученный архив quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

2025.09.06_quarantine_43df8c760c9ceec389911a6938b3a2ed.7z
 

 

20 часов назад, Sandor сказал:

d:\soft\neko

да, это ВПН

 

20 часов назад, Sandor сказал:

Соберите новый контрольный CollectionLog Автологером.

 

CollectionLog-2025.09.06-15.49.zip

[Sandor]

Дополнительно, пожалуйста:

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Serg1309]

1 час назад, Sandor сказал:

Прикрепите отчеты

 

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  ProxyServer: [S-1-5-21-3252461927-336928655-3012238238-1000] => 127.0.0.1:2080
  RemoveProxy:
  CHR StartupUrls: Default -> "hxxp://isearch.avg.com/?cid={DE40225D-5B50-46BA-A1D0-89BBCBC90ADD}&mid=&lang=&ds=&pr=&d=&v=&sap=hp","hxxp://isearch.avg.com/?cid={DE40225D-5B50-46BA-A1D0-89BBCBC90ADD}&mid=eb0c0b1bc06547d083acd16f1cf711e8-8f21eb6165c0003a73950adc6d577da4d9a7653a&lang=ru&ds=st011&pr=sa&d=2012-07-15 20:25:58&v=11.1.0.12&sap=hp","hxxps://isearch.avg.com/?cid={DE40225D-5B50-46BA-A1D0-89BBCBC90ADD}&mid=eb0c0b1bc06547d083acd16f1cf711e8-8f21eb6165c0003a73950adc6d577da4d9a7653a&lang=ru&ds=st011&pr=sa&d=2012-07-15 20:25:58&v=12.2.5.32&sap=hp","hxxp://search.babylon.com/?affID=114436&tt=101012_24_4112_3&babsrc=HP_ss&mntrId=e86da7ec00000000000000265ed614b3","hxxp://mail.ru/cnt/7993/","hxxp://ru.msn.com/?pc=UP97&ocid=UP97DHP&dt=071413","hxxp://mail.ru/cnt/10445?gp=789162","hxxp://mail.ru/cnt/10445?gp=818409","hxxps://find-it.pro/?utm_source=distr_m"
  AV: Malwarebytes (Disabled - Out of date) {0D452135-A081-B000-D6B6-132E52638543}
  FirewallRules: [{B170E5E8-FB46-4233-8310-36054C36992E}] => (Allow) LPort=5130
  startbatch:
  del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
  del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Code Cache\Js\*.*"
  endbatch:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Serg1309]

20 минут назад, Sandor сказал:

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

 

Fixlog.txt