Не могу удалить Trojan.BitCoinMiner, Trojan MalPack.Themida

[Sp1kon]

Здравствуйте, не могу удалить вирусы. Уже даже читал посты на вашем форуме, но все же не получается от них избавиться. При каждой загрузке системы запускается cmd и PowerShell
После чего антивирус ловит данные вирусы и помещает в карантин. Скриншот приложил. 
Скачал uvs_latest, вот "Полный образ автозапуска." прикрепил в архиве. Помогите пожалуйста...

DESKTOP-NL0I2HI_2025-09-18_09-21-22_v5.0.1v x64.7z

[Sp1kon]

Здравствуйте не могу удалить вирусы Trojan.BitCoinMiner, Trojan MalPack.Themida. При каждом запуске системы запускается cmd и powershell. После чего антивирус сразу находит вирусы. Логи с программы AutoLogger предоставил.  

CollectionLog-2025.09.18-09.41.zip

[Sandor]

Здравствуйте!

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

[Sp1kon]

15 минут назад, Sandor сказал:

Здравствуйте!

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

Систему перезагрузил, вроде не вылазило больше, новые логи так же собрал. 

AV_block_remove_2025.09.18-12.10.log CollectionLog-2025.09.18-12.19.zip

[Sandor]

Не спешите, есть ещё чем заняться.

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

Adobe Flash Player 32 PPAPI

Avast Update Helper

CCleaner Update Helper

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\uTorrentPro\uTorrentPro.exe', '');
 DeleteSchedulerTask('ASC_PerformanceMonitor');
 DeleteSchedulerTask('ASC_SkipUac_Антон');
 DeleteSchedulerTask('CCleaner Browser Heartbeat Task (Logon)');
 DeleteSchedulerTask('CCleanerUpdateTaskMachineCore');
 DeleteSchedulerTask('CCleanerUpdateTaskMachineUA');
 DeleteSchedulerTask('uTorrentProUpdaterV5');
 DeleteFile('C:\Program Files (x86)\CCleaner Browser\Application\CCleanerBrowser.exe', '64');
 DeleteFile('C:\Program Files (x86)\CCleaner Browser\Update\CCleanerBrowserUpdate.exe', '64');
 DeleteFile('C:\Program Files (x86)\IObit\Advanced SystemCare\ASC.exe', '64');
 DeleteFile('C:\Program Files (x86)\IObit\Advanced SystemCare\Monitor.exe', '64');
 DeleteFile('C:\Program Files\uTorrentPro\uTorrentPro.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

p.s.

Полностью цитировать предыдущее сообщение не нужно.

Пишите в нижнем поле быстрого ответа.

[Sp1kon]

1)Adobe Flash Player 32 PPAPI - Удалил

Avast Update Helper - данной программы нет в Удаление программ (Приложения)

CCleaner Update Helper - данной программы нет в Удаление программ (Приложения)

Я их удалял уже давно. На сколько я помню. 
2)Скрип выполнил, компьютер перезагрузился. 

3) Farbar Recovery Scan Tool - сканирование так же сделал! Файлы ниже. 

FRST.txt Addition.txt

[Sandor]

Деинсталлируйте ещё одно нежелательное приложение:

Цитата

gt-launcher 5.1.9

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  Task: {52F18BF5-7F45-411E-907A-0702083D1F62} - System32\Tasks\CCleaner Browser Heartbeat Task (Hourly) => C:\Program Files (x86)\CCleaner Browser\Application\CCleanerBrowser.exe  --type=heartbeat --hourly (Нет файла)
  ProxyServer: [S-1-5-21-3914877051-2142950953-4247603459-1001] => hxxp://127.0.0.1:10809
  RemoveProxy:
  C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\mijgofcjahpebjalgieihbdnplphghin
  FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\autoconfig.js [2018-11-08] <==== ВНИМАНИЕ (Указывает на *.cfg файл)
  FF ExtraCheck: C:\Program Files\mozilla firefox\cck2.cfg [2018-11-08] <==== ВНИМАНИЕ
  CHR HKU\S-1-5-21-3914877051-2142950953-4247603459-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [djgdgdcfmdkficbifbnaacknblbkhhoc]
  CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
  CHR HKLM-x32\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
  OPR Notifications: Opera Stable -> hxxps://1.ernorvious.com; hxxps://10.mirnewsinfo.com; hxxps://2.torrent-my.ru; hxxps://3.torrent-my.ru; hxxps://36.restonovius.com; hxxps://4.zollectric.com; hxxps://42134.preferuniversal.com; hxxps://42134.supremember.com; hxxps://69.restonovius.com; hxxps://filmitorrentbiz1582981383391.thevtk.com; hxxps://loderlas.ru; hxxps://loderls.ru; hxxps://mmoreigrcom1615701780789.mp3bars.com; hxxps://msto.me; hxxps://premier.one; hxxps://retoore0.biz; hxxps://retoore2.biz; hxxps://torrent-dru159671726924818.mp3vizor.com; hxxps://torrentvelon1571194499711.karuna4u.com; hxxps://web-telegram.ru; hxxps://www.fotor.com; hxxps://www.kinotreiler.com
  C:\Users\Антон\AppData\Roaming\Opera Software\Opera Stable\Extensions\nngohnfipedpjopdfibhllfbpplbpcam
  C:\Users\Антон\AppData\Roaming\Opera Software\Opera Stable\Extensions\pjjnpijnhcpehfckgchdjnmpelnkepnh
  C:\Users\Антон\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\kehmhhdddjjcapdjfckclbnngplpemna
  2019-06-24 02:13 C:\Program Files (x86)\Microleaves
  2019-06-24 02:13 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser
  2019-06-24 02:13 C:\Users\Антон\AppData\Roaming\Microleaves
  2019-06-24 02:13 C:\Users\Антон\AppData\Local\AdvinstAnalytics
  2019-06-24 02:13 C:\Users\Антон\AppData\Local\mpress
  Avast Update Helper (HKLM-x32\...\{19C3AB22-3718-4E4D-B203-242F5001565B}) (Version: 1.8.1697.6 - AVAST Software) Hidden
  CCleaner Update Helper (HKLM-x32\...\{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}) (Version: 1.8.1067.0 - Piriform Software) Hidden
  CCleaner Update Helper (HKLM-x32\...\{E4EAC0E2-A80B-479F-BA45-DCDA595C9A93}) (Version: 1.8.1583.3 - Piriform Software) Hidden
  AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [125]
  AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [129]
  startpowershell:
  # 4-14-2022 M. Naggar
  # Funtion Remove-all-windefend-excludes to Remove all exclusions on MS Windefend
  Set-MpPreference -DisableAutoExclusions $true -Force
  set-mppreference -mapsreporting basic -Force
  set-mppreference -DisableRealtimeMonitoring $false -Force
  set-mppreference -DisablePrivacyMode $true -Force
  set-mppreference -DisableIOAVProtection $false -Force
  set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
  set-mppreference -PUAProtection enabled -Force
  Set-MpPreference -DisableBehaviorMonitoring $false -Force
  Set-MpPreference -SignatureScheduleDay Everyday -force
  set-mppreference -RealTimeProtectionEnabled $true -force
  set-mppreference -OnAccessProtectionEnabled $true -force
  
  Function Remove-all-windefend-excludes {
  $Paths=(Get-MpPreference).ExclusionPath
  $Extensions=(Get-MpPreference).ExclusionExtension
  $Processes=(Get-MpPreference).ExclusionProcess
  foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
  foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
  foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
  }
  Set-MpPreference -DisableAutoExclusions $true -Force
  Remove-all-windefend-excludes
  endpowershell:
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

25 минут назад, Sp1kon сказал:

данной программы нет в Удаление программ

После скрипта одни должны появиться в перечне установленных. Удалите.

Если не получится стандартно, удалите принудительно с помощью Geek Uninstaller