Вирус после использования KMS Auto

[Матвей_123]

Вирус в папке ProgramData, создает папку qhpxndiguijf. Началось после того, как хотел полноCollectionLog-2025.09.25-12.14.zipCollectionLog-2025.09.25-12.14.zipстью удалить старый офис на ноутбуке через KMS Auto. Файл логов прикладываю. Помогите, пожалуйста, ноутбук рабочий, не могу полностью сносить виндовс, заранее спасибо

[Sandor]

Здравствуйте!

Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:

Цитата

 

McAfee

WebAdvisor by McAfee

 

 

Перезагрузите компьютер.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Матвей_123]

Addition.txtFRST.txtПрисылаю результат работы FRST64

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус, но не отключайте сеть.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  ProxyServer: [S-1-5-21-624384763-3209521592-2877319647-1001] => hxxp://127.0.0.1:12334
  RemoveProxy:
  C:\Users\unrav\AppData\Local\Google\Chrome\User Data\Default\Extensions\fheoggkfdfchfphceeifdbepaooicaho
  CHR HKLM\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho]
  CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho]
  S2 BITS_bkp; C:\Windows\System32\qmgr.dll [1474560 2025-09-11] (Microsoft Windows -> Microsoft Corporation)
  U2 dosvc_bkp; C:\Windows\system32\dosvc.dll [98304 2025-09-11] (Microsoft Windows -> Microsoft Corporation)
  S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [114688 2025-09-11] (Microsoft Windows -> Microsoft Corporation)
  S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [94208 2025-09-11] (Microsoft Windows -> Microsoft Corporation)
  S3 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [184720 2025-09-11] (Microsoft Windows -> Корпорация Майкрософт)
  S2 RRYYLMHO; C:\ProgramData\qhpxndiguijf\pzawovtjthaq.exe [2898936 2025-09-25] (Microsoft Corporation -> Microsoft® Windows®) [Файл не подписан] <==== ВНИМАНИЕ
  C:\ProgramData\qhpxndiguijf\pzawovtjthaq.exe
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Скачайте этот архив, извлеките из него файлы и последовательно запустите каждый, соглашаясь с внесением изменений в реестр.

Изменено вчера в 04:49 пользователем Sandor
Изменен скрипт

[Матвей_123]

Исправление выполняется более часа и продолжает выполняться, оставлю на всю ночь и утром напишу результат. Это уже 3 попытка выполнить исправление. Файлы из архива еще не запускал

[Sandor]

Если так и не получилось, перезагрузите компьютер и выполните ещё раз тот же скрипт. Я его изменил.

[Матвей_123]

Добрый вечер, новый скрипт отработал за несколько секунд успешно, файлы из архива выполнил после исправления. Присылаю лог, спасибо, что помогаете Fixlog.txt