Перейти к содержанию
Правила раздела

[РЕШЕНО] Не могу удалить Trojan.BitCoinMiner, Trojan MalPack.Themida

Sp1kon

Автор Sp1kon
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Sp1kon

Sp1kon

Опубликовано
Опубликовано

Здравствуйте, не могу удалить вирусы. Уже даже читал посты на вашем форуме, но все же не получается от них избавиться. При каждой загрузке системы запускается cmd и PowerShell
После чего антивирус ловит данные вирусы и помещает в карантин. Скриншот приложил. 
Скачал uvs_latest, вот "Полный образ автозапуска." прикрепил в архиве. Помогите пожалуйста...

изображение_2025-09-18_091821381.png

DESKTOP-NL0I2HI_2025-09-18_09-21-22_v5.0.1v x64.7z

Sp1kon

Sp1kon

Опубликовано
  • Автор
Опубликовано

Здравствуйте не могу удалить вирусы Trojan.BitCoinMiner, Trojan MalPack.Themida. При каждом запуске системы запускается cmd и powershell. После чего антивирус сразу находит вирусы. Логи с программы AutoLogger предоставил.  

вирус.JPG

CollectionLog-2025.09.18-09.41.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

Sp1kon

Sp1kon

Опубликовано
  • Автор
Опубликовано
15 минут назад, Sandor сказал:

Здравствуйте!

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите новый CollectionLog Автологером.
 

Систему перезагрузил, вроде не вылазило больше, новые логи так же собрал. 

AV_block_remove_2025.09.18-12.10.log CollectionLog-2025.09.18-12.19.zip

Sandor

Sandor

Опубликовано
Опубликовано

Не спешите, есть ещё чем заняться.


Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

Adobe Flash Player 32 PPAPI

Avast Update Helper

CCleaner Update Helper

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт): 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\uTorrentPro\uTorrentPro.exe', '');
 DeleteSchedulerTask('ASC_PerformanceMonitor');
 DeleteSchedulerTask('ASC_SkipUac_Антон');
 DeleteSchedulerTask('CCleaner Browser Heartbeat Task (Logon)');
 DeleteSchedulerTask('CCleanerUpdateTaskMachineCore');
 DeleteSchedulerTask('CCleanerUpdateTaskMachineUA');
 DeleteSchedulerTask('uTorrentProUpdaterV5');
 DeleteFile('C:\Program Files (x86)\CCleaner Browser\Application\CCleanerBrowser.exe', '64');
 DeleteFile('C:\Program Files (x86)\CCleaner Browser\Update\CCleanerBrowserUpdate.exe', '64');
 DeleteFile('C:\Program Files (x86)\IObit\Advanced SystemCare\ASC.exe', '64');
 DeleteFile('C:\Program Files (x86)\IObit\Advanced SystemCare\Monitor.exe', '64');
 DeleteFile('C:\Program Files\uTorrentPro\uTorrentPro.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

p.s.

Полностью цитировать предыдущее сообщение не нужно.

Пишите в нижнем поле быстрого ответа.

Sp1kon

Sp1kon

Опубликовано
  • Автор
Опубликовано

1)Adobe Flash Player 32 PPAPI - Удалил

Avast Update Helper - данной программы нет в Удаление программ (Приложения)

CCleaner Update Helper - данной программы нет в Удаление программ (Приложения)

Я их удалял уже давно. На сколько я помню. 
2)Скрип выполнил, компьютер перезагрузился. 

3) Farbar Recovery Scan Tool - сканирование так же сделал! Файлы ниже. 

FRST.txt Addition.txt

Sandor

Sandor

Опубликовано
Опубликовано

Деинсталлируйте ещё одно нежелательное приложение:

Цитата

gt-launcher 5.1.9

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {52F18BF5-7F45-411E-907A-0702083D1F62} - System32\Tasks\CCleaner Browser Heartbeat Task (Hourly) => C:\Program Files (x86)\CCleaner Browser\Application\CCleanerBrowser.exe  --type=heartbeat --hourly (Нет файла)
ProxyServer: [S-1-5-21-3914877051-2142950953-4247603459-1001] => hxxp://127.0.0.1:10809
RemoveProxy:
C:\Users\Антон\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\mijgofcjahpebjalgieihbdnplphghin
FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\autoconfig.js [2018-11-08] <==== ВНИМАНИЕ (Указывает на *.cfg файл)
FF ExtraCheck: C:\Program Files\mozilla firefox\cck2.cfg [2018-11-08] <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-3914877051-2142950953-4247603459-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [djgdgdcfmdkficbifbnaacknblbkhhoc]
CHR HKLM-x32\...\Chrome\Extension: [aegnopegbbhjeeiganiajffnalhlkkjb]
CHR HKLM-x32\...\Chrome\Extension: [ibknafobnmndicojahlppolcaaibngjf]
OPR Notifications: Opera Stable -> hxxps://1.ernorvious.com; hxxps://10.mirnewsinfo.com; hxxps://2.torrent-my.ru; hxxps://3.torrent-my.ru; hxxps://36.restonovius.com; hxxps://4.zollectric.com; hxxps://42134.preferuniversal.com; hxxps://42134.supremember.com; hxxps://69.restonovius.com; hxxps://filmitorrentbiz1582981383391.thevtk.com; hxxps://loderlas.ru; hxxps://loderls.ru; hxxps://mmoreigrcom1615701780789.mp3bars.com; hxxps://msto.me; hxxps://premier.one; hxxps://retoore0.biz; hxxps://retoore2.biz; hxxps://torrent-dru159671726924818.mp3vizor.com; hxxps://torrentvelon1571194499711.karuna4u.com; hxxps://web-telegram.ru; hxxps://www.fotor.com; hxxps://www.kinotreiler.com
C:\Users\Антон\AppData\Roaming\Opera Software\Opera Stable\Extensions\nngohnfipedpjopdfibhllfbpplbpcam
C:\Users\Антон\AppData\Roaming\Opera Software\Opera Stable\Extensions\pjjnpijnhcpehfckgchdjnmpelnkepnh
C:\Users\Антон\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\kehmhhdddjjcapdjfckclbnngplpemna
2019-06-24 02:13 C:\Program Files (x86)\Microleaves
2019-06-24 02:13 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser
2019-06-24 02:13 C:\Users\Антон\AppData\Roaming\Microleaves
2019-06-24 02:13 C:\Users\Антон\AppData\Local\AdvinstAnalytics
2019-06-24 02:13 C:\Users\Антон\AppData\Local\mpress
Avast Update Helper (HKLM-x32\...\{19C3AB22-3718-4E4D-B203-242F5001565B}) (Version: 1.8.1697.6 - AVAST Software) Hidden
CCleaner Update Helper (HKLM-x32\...\{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}) (Version: 1.8.1067.0 - Piriform Software) Hidden
CCleaner Update Helper (HKLM-x32\...\{E4EAC0E2-A80B-479F-BA45-DCDA595C9A93}) (Version: 1.8.1583.3 - Piriform Software) Hidden
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [125]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [129]
startpowershell:
# 4-14-2022 M. Naggar
# Funtion Remove-all-windefend-excludes to Remove all exclusions on MS Windefend
Set-MpPreference -DisableAutoExclusions $true -Force
set-mppreference -mapsreporting basic -Force
set-mppreference -DisableRealtimeMonitoring $false -Force
set-mppreference -DisablePrivacyMode $true -Force
set-mppreference -DisableIOAVProtection $false -Force
set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
set-mppreference -PUAProtection enabled -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -SignatureScheduleDay Everyday -force
set-mppreference -RealTimeProtectionEnabled $true -force
set-mppreference -OnAccessProtectionEnabled $true -force

Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

25 минут назад, Sp1kon сказал:

данной программы нет в Удаление программ

После скрипта одни должны появиться в перечне установленных. Удалите.

Если не получится стандартно, удалите принудительно с помощью Geek Uninstaller

Sp1kon

Sp1kon

Опубликовано
  • Автор
Опубликовано

1) gt-launcher 5.1.9 - удалил 
2) Скрипт выполнил ,файл прикрепил.
3) Avast Update Helper - программа появилась (удалил) через панель управления

    CCleaner Update Helper - программа появилась (удалил)  через панель управления

Fixlog.txt

Sandor

Sandor

Опубликовано
Опубликовано

Дважды не нужно было выполнять скрипт, отчёт перезаписался. Но не страшно.

Что сейчас с проблемой?

Sandor

Sandor

Опубликовано
Опубликовано

Отлично!

 

В завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Sandor

Sandor

Опубликовано
Опубликовано

Исправьте по возможности:

 

AMD Software v.24.3.1 Внимание! Скачать обновления
Git v.2.44.0 Внимание! Скачать обновления
Notepad++ (64-bit x64) v.8.1.1 Внимание! Скачать обновления
Microsoft Office профессиональный плюс 2019 - ru-ru v.16.0.12527.22286 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office.^
TeamViewer v.15.41.10 Внимание! Скачать обновления
FileZilla Client 3.54.1 v.3.54.1 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.36.32532 v.14.36.32532.0 Внимание! Скачать обновления
Microsoft Office 2010, версия null v.null Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft OneDrive v.25.091.0512.0001 Внимание! Скачать обновления
WinRAR 5.71 (64-разрядная) v.5.71.0 Внимание! Скачать обновления
Outline 1.15.1 v.1.15.1 Внимание! Скачать обновления
Audacity 3.7.0 v.3.7.0 Внимание! Скачать обновления
K-Lite Codec Pack 18.7.5 Standard v.18.7.5 Внимание! Скачать обновления
OBS Studio v.30.1.2 Внимание! Скачать обновления
Dolphin Anty 2024.362.120 v.2024.362.120 Антидетект браузер.
Mozilla Firefox 60.4.0 ESR (x64 ru) v.60.4.0 Внимание! Скачать обновления
Opera Stable 120.0.5543.161 v.120.0.5543.161 Внимание! Скачать обновления
^Проверьте обновления через меню Обновление и восстановление!^
 

Читайте Рекомендации после удаления вредоносного ПО

Sp1kon

Sp1kon

Опубликовано
  • Автор
Опубликовано

Хорошо ,еще раз спасибо вам и вашей команде и замечательному ресурсу www.safezone.cc 

  • Like (+1) 1
Sandor

Sandor

Опубликовано
Опубликовано

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • LaVVINa
      Подселился Trojan.Packed2.49814. Восстанавливается сам, не смогла удалить
      Автор LaVVINa
      Добрый день! 
      Либо через расширения для хрома, либо через игры с торрента занесла вирус. Неймингуется Trojan.Packed2.49814
      Через безопасный режим виндовс не убирается, возвращается.
      Помогите, пожалуйста, убрать его 🙏
      CollectionLog-2025.09.19-21.18.zip
    • volanchics
      Обнаружена активная вредоносная программа HEUR:Trojan.Win32.Miner.pef
      Автор volanchics
      Сегодня Касперский выдал такое сообщение: Обнаружена активная вредоносная программа HEUR:Trojan.Win32.Miner.pef
      Всплывает вот такое окно. Нажимаю Вылечить, пишет - удалено. Но через пару секунд всё повторяется. А чуть позже стало появляться еще и вот такое сообщение.. Как убрать этот вирус?


    • deamonlal
      Вирус (майнер) на компьютере
      Автор deamonlal
      Добрый день! Столкнулся с подозрительным поведением компьютера. При не использовании в течении 10 минут, начинает громко работать куллер процессора (когда экран монитора погас). Предполагаю, что это майнер. Думаю, он появился после скачивания и установки одной из пиратских игр. Прошу у вас помощи в его удалении!
      Логи из AutoLogger'а прикрепляю.

      Заранее спасибо!
      CollectionLog-2025.09.18-13.18.zip
    • dangertim
      Trojan.Siggen31.40053 , HOSTS:SUSPICIOUS.URL ; Trojan.Win32.Inject.aonos ; Trojan.Win32.Agentb.mmni ; HEUR:Trojan-Downloader.OLE2.Agent.gen ; HEUR:Trojan.OLE2.Alien.gen кто нибудь знает как избавиться от этих троянов?
      Автор dangertim
      Проверил сегодня пк через касперский выдал такие 5 троянов, что делать? Кто нибудь знает как удалить их?
    • Константин_grhok
      [РЕШЕНО] Не получается удалить Trojan.Siggen31.46344
      Автор Константин_grhok
      Изначально, вчера на своём компьютере обнаружил вирус Tool.btcmine.2714 с помощью dr web cureit. Удалил его и выключил компьютер, также отрубил интернет на всякий случай. Сегодня сутра проснулся и решил проверить пк снова, tool.btcmine.2714 уже не было, но появился некий Trojan.Siggen31.46344. Его я также попытался удалить \ вылечить. Но при перезагрузке ПК вирус остаётся на месте. Что делать? И связано ли это CollectionLog-2025.09.15-09.08.zipкак то с tool.btcmine.2714?

      По инструкции прикрепил логи.
×
×
  • Создать...