tool.btcmine.2794

[silvers864]

Здраствуйте. Подцепила майнер неведомо где, cureit, естественно, с ним не справился. 

CollectionLog-2025.09.15-23.40.zip

[thyrex]

Здравствуйте.

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\programdata\caaservice\caaservices.exe');
 QuarantineFile('c:\programdata\caaservice\caaservices.exe','');
 DeleteFile('c:\programdata\caaservice\caaservices.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CAA Service','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[silvers864]

Не могу понять почему не создается архив с новыми логами

[thyrex]

6 часов назад, silvers864 сказал:

Не могу понять почему не создается архив с новыми логами

Наверное потому, что не выполнили

15 часов назад, thyrex сказал:

ЕЩЕ РАЗ запустите Autologger

 

[silvers864]

Не могу понять почему не создается архив с новыми логами

CollectionLog-2025.09.16-22.59.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[silvers864]

 

Downloads.rar

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-632408617-3573040707-3986496693-1001\...\Run: [utweb] => "C:\Users\katya\AppData\Roaming\uTorrent Web\utweb.exe" /MINIMIZED (Нет файла)
HKU\S-1-5-21-632408617-3573040707-3986496693-1001\...\MountPoints2: {222fee4f-4759-11f0-b436-48e7dac5d61a} - "E:\Autorun.exe" 
HKU\S-1-5-21-632408617-3573040707-3986496693-1001\...\MountPoints2: {646b9d76-db01-11ef-b36d-48e7dac5d61a} - "E:\HonorSuiteOnlineInstaller.exe" 
HKU\S-1-5-21-632408617-3573040707-3986496693-1001\...\MountPoints2: {646b9f9b-db01-11ef-b36d-48e7dac5d61a} - "E:\HonorSuiteOnlineInstaller.exe" 
Task: {60CE9C36-67B6-4899-ADBD-4B83384506FA} - System32\Tasks\OperaUpdate => C:\Windows\system32\cmd.exe [289792 2024-11-25] (Microsoft Windows -> Microsoft Corporation) -> /c auditpol /set /category:"Система" /success:enable && auditpol /set /category:"Подробное отслеживание" /subcategory:"Создание процесса" /success:enable <==== ВНИМАНИЕ
C:\Users\katya\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\bgjbbcegkbnmgkpjjnjgfnknijmideaf
C:\Users\katya\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\kmmbendihpiicnmkooljlpjlgbpjlbgc
2025-04-26 10:36 - 2025-04-26 10:36 - 000000364 _____ () C:\Users\katya\nodejs.dat
FirewallRules: [TCP Query User{F846376E-8651-4468-BCB9-C7462A51D7F2}D:\games\kingdom come deliverance\bin\win64\kingdomcome.exe] => (Allow) D:\games\kingdom come deliverance\bin\win64\kingdomcome.exe => Нет файла
FirewallRules: [UDP Query User{05E00157-03BC-403B-8D9A-220C74E8B936}D:\games\kingdom come deliverance\bin\win64\kingdomcome.exe] => (Allow) D:\games\kingdom come deliverance\bin\win64\kingdomcome.exe => Нет файла
FirewallRules: [{C47815E5-AF7B-4FE0-9722-3BBD0ECF32FE}] => (Allow) D:\gregt\Red.Dead.Redemption.2.Ultimate.Edition.RGL.Rip-InsaneRamZes\Red Dead Redemption 2\RDR2.exe => Нет файла
FirewallRules: [{AE08D5AD-9E8D-4682-8607-7B60C40BE377}] => (Allow) D:\gregt\Red.Dead.Redemption.2.Ultimate.Edition.RGL.Rip-InsaneRamZes\Red Dead Redemption 2\RDR2.exe => Нет файла
FirewallRules: [TCP Query User{C46E4040-8DBF-4D1F-921A-869CFBC1FE57}D:\gregt\kingdom come. deliverance ii (2025)\kingdomcomedeliverance2\bin\win64mastermastersteampgo\kingdomcome.exe] => (Allow) D:\gregt\kingdom come. deliverance ii (2025)\kingdomcomedeliverance2\bin\win64mastermastersteampgo\kingdomcome.exe => Нет файла
FirewallRules: [UDP Query User{2F105397-C8FD-443F-939D-ED3C01330F58}D:\gregt\kingdom come. deliverance ii (2025)\kingdomcomedeliverance2\bin\win64mastermastersteampgo\kingdomcome.exe] => (Allow) D:\gregt\kingdom come. deliverance ii (2025)\kingdomcomedeliverance2\bin\win64mastermastersteampgo\kingdomcome.exe => Нет файла
FirewallRules: [TCP Query User{66ED4698-E937-4066-89E3-DE0A136FE5D1}D:\games\sid meiers civilization v\launcher.exe] => (Allow) D:\games\sid meiers civilization v\launcher.exe => Нет файла
FirewallRules: [UDP Query User{FD01B05D-33DF-4F9C-89E1-99579D9E46CC}D:\games\sid meiers civilization v\launcher.exe] => (Allow) D:\games\sid meiers civilization v\launcher.exe => Нет файла
FirewallRules: [TCP Query User{4802CEFA-13E6-4842-BCBA-AD3BF1DBE387}D:\games\sid meiers civilization v\civilizationv_dx11.exe] => (Allow) D:\games\sid meiers civilization v\civilizationv_dx11.exe => Нет файла
FirewallRules: [UDP Query User{931B193F-DAE5-4C56-95B5-962273098446}D:\games\sid meiers civilization v\civilizationv_dx11.exe] => (Allow) D:\games\sid meiers civilization v\civilizationv_dx11.exe => Нет файла
FirewallRules: [TCP Query User{C97419E5-7A0D-4A65-ABFA-5375DC1C6E25}D:\games\the sims legacy\sims.exe] => (Allow) D:\games\the sims legacy\sims.exe => Нет файла
FirewallRules: [UDP Query User{A116CA2B-539F-466A-BFB0-40F1DB6B62F5}D:\games\the sims legacy\sims.exe] => (Allow) D:\games\the sims legacy\sims.exe => Нет файла
FirewallRules: [TCP Query User{B2B5398A-1EE9-4F7E-AE12-BBE6F55A1474}D:\games\kingdom come deliverance 2\bin\win64mastermastersteampgo\kingdomcome.exe] => (Allow) D:\games\kingdom come deliverance 2\bin\win64mastermastersteampgo\kingdomcome.exe => Нет файла
FirewallRules: [UDP Query User{F02BDA3E-7F86-47F7-9E25-741896554A15}D:\games\kingdom come deliverance 2\bin\win64mastermastersteampgo\kingdomcome.exe] => (Allow) D:\games\kingdom come deliverance 2\bin\win64mastermastersteampgo\kingdomcome.exe => Нет файла
FirewallRules: [TCP Query User{57E0958E-FCEC-4383-8E75-65EE7AF699E7}D:\gregt\call.of.duty.black.ops.cold.war.campaign.only-insaneramzes\blackopscoldwar.exe] => (Allow) D:\gregt\call.of.duty.black.ops.cold.war.campaign.only-insaneramzes\blackopscoldwar.exe => Нет файла
FirewallRules: [UDP Query User{392E30CF-2250-4FB2-BF13-6797B84CC94F}D:\gregt\call.of.duty.black.ops.cold.war.campaign.only-insaneramzes\blackopscoldwar.exe] => (Allow) D:\gregt\call.of.duty.black.ops.cold.war.campaign.only-insaneramzes\blackopscoldwar.exe => Нет файла
FirewallRules: [{314c3012-366b-4eb6-9587-928f8985af59}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{1ff6e3b0-da25-46c1-bf48-5efd12737780}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{288AC149-1102-4350-BE92-3EA3C15F77A1}] => (Allow) D:\SteamLibrary\steamapps\common\Grand Theft Auto V Enhanced\GTA5_Enhanced.exe => Нет файла
FirewallRules: [{900E9BAD-D2EA-4220-AC11-4C39289A0E01}] => (Allow) D:\SteamLibrary\steamapps\common\Grand Theft Auto V Enhanced\GTA5_Enhanced.exe => Нет файла
FirewallRules: [{259139C8-3058-457B-9900-EC363B9403F2}] => (Allow) D:\SteamLibrary\steamapps\common\Grand Theft Auto V\GTA5.exe => Нет файла
FirewallRules: [{B5F06E02-277D-4F1D-869A-D3E0E10FEAF3}] => (Allow) D:\SteamLibrary\steamapps\common\Grand Theft Auto V\GTA5.exe => Нет файла
FirewallRules: [TCP Query User{1BE9B380-ADCE-45A2-B932-834250195451}D:\games\kingdom come deliverance ii\bin\win64mastermastergogpgo\kingdomcome.exe] => (Allow) D:\games\kingdom come deliverance ii\bin\win64mastermastergogpgo\kingdomcome.exe => Нет файла
FirewallRules: [UDP Query User{6DCAEFF2-6377-463E-A952-B03AB34D182F}D:\games\kingdom come deliverance ii\bin\win64mastermastergogpgo\kingdomcome.exe] => (Allow) D:\games\kingdom come deliverance ii\bin\win64mastermastergogpgo\kingdomcome.exe => Нет файла
FirewallRules: [TCP Query User{C5AFFF69-1824-4755-957E-99087DBAFE1A}D:\games\red alert 2\gamerb.exe] => (Allow) D:\games\red alert 2\gamerb.exe => Нет файла
FirewallRules: [UDP Query User{845B9350-58ED-437E-9E2E-198E62CD3C73}D:\games\red alert 2\gamerb.exe] => (Allow) D:\games\red alert 2\gamerb.exe => Нет файла
FirewallRules: [TCP Query User{3EE0248E-ACFA-4BE4-8374-D80D6FD9C745}C:\users\katya\desktop\tavern.manager.simulator v1.4.5 (build 18124866)\tavern.manager.simulator v1.4.5 (build 18124866)\tavern manager simulator.exe] => (Allow) C:\users\katya\desktop\tavern.manager.simulator v1.4.5 (build 18124866)\tavern.manager.simulator v1.4.5 (build 18124866)\tavern manager simulator.exe => Нет файла
FirewallRules: [UDP Query User{AB478234-4AA1-44FB-87D8-8DC8FDBD1BDB}C:\users\katya\desktop\tavern.manager.simulator v1.4.5 (build 18124866)\tavern.manager.simulator v1.4.5 (build 18124866)\tavern manager simulator.exe] => (Allow) C:\users\katya\desktop\tavern.manager.simulator v1.4.5 (build 18124866)\tavern.manager.simulator v1.4.5 (build 18124866)\tavern manager simulator.exe => Нет файла
FirewallRules: [TCP Query User{8EBAD590-823E-4EDF-91A2-F9B286EE1E54}D:\games\red alert 2\game.exe] => (Block) D:\games\red alert 2\game.exe => Нет файла
FirewallRules: [UDP Query User{C7905C30-8C08-4D20-8541-9D622BBB91EF}D:\games\red alert 2\game.exe] => (Block) D:\games\red alert 2\game.exe => Нет файла
FirewallRules: [{1e743b79-e1d8-470c-b418-9104fc0c1439}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{973ee85a-3342-4f73-99c3-2d9e276c8b81}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{fff05f8d-cf8f-407c-aa54-131c033513fd}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{a36a8264-7f23-491f-8277-52c3075345ed}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{88bd7df0-6c3b-4daf-8173-9796a399521c}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{f7bfed14-73b5-43d2-90fd-d0cbe6e2f8b6}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{0038ab95-0bf1-4b19-939d-e37c6686464a}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{ddd7021c-8964-46bf-868c-cf5a5d3bc204}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
C:\ProgramData\CAAService
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

[silvers864]

 

Fixlog.txt

[thyrex]

Проблема решена?

[silvers864]

да, огромное спасибо 

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[silvers864]

SecurityCheck.txt