Прощу помощи в удалении следов заражения

[FlangeIR]

Компьютер был заражен майнером, малварью и троянами. Была произведена очистка через KVRT. После этого пытался инсталлировать MBAM, но он не запускается после установки.

Addition.txt FRST.txt avz_log.txt

[Sandor]

Здравствуйте!

 

Скачайте AV block remover (или с зеркала).
Распакуйте, запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe в, например, AV-br.exe (или любое другое имя). Можно также воспользоваться версией со случайным именем.

Если и так не сработает, запускайте программу из любой папки кроме папок Рабочий стол (Desktop) и Загрузки (Downloads).

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.

После перезагрузки системы соберите CollectionLog Автологером по Правилам оформления запроса о помощи

[FlangeIR]

CollectionLog-2025.10.03-11.31.zip AV_block_remove_2025.10.03-11.21.log

[Sandor]

Продолжаем.

 

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O4 - Autorun.inf: D:\autorun.inf - open - CDSetup.exe (file missing)
O4 - Autorun.inf: E:\autorun.inf - (unknown target)
O4 - MountPoints2: HKCU\..\{79692ef4-b953-11ee-abf0-806e6f6e6963}\shell\AutoRun\command: (default) = F:\setup.exe (file missing)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [ConsentPromptBehaviorAdmin] = 0
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [PromptOnSecureDesktop] = 0
O7 - Policy: HKLM\Software\Microsoft\Windows Defender\Real-Time Protection: [DisableRealtimeMonitoring] = 1
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

Перезагрузите компьютер.

 

Соберите новые логи FRST.txt и Addition.txt

 

 

[FlangeIR]

Addition.txt FRST.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\laddjijkcfpakbbnnedbhnnciecidncp
  C:\Users\Admin\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\laddjijkcfpakbbnnedbhnnciecidncp
  StartPowerShell:
  Remove-MpPreference -ExclusionPath "C:\Windows\SysWow64\unsecapp.exe"
  Remove-MpPreference -ExclusionPath "C:\Program Files\RDP Wrapper"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AMD.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\audiodg.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhostw.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhost.exe"
  Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppModule.exe"
  EndPowerShell:
  FirewallRules: [{803CE728-20C3-4FE6-83D8-D6FA5345C68C}] => (Block) LPort=445
  FirewallRules: [{699E2EC0-6589-4D80-874D-D1FA19E3B1F7}] => (Block) LPort=445
  FirewallRules: [{97B878E3-7973-4C12-BE6C-A09B8666DBCB}] => (Block) LPort=139
  FirewallRules: [{1FBD7C69-C411-4678-AD98-1D9754A0C5D3}] => (Block) LPort=139
  FirewallRules: [{98443CB4-4819-4BB2-B7B4-F5B342153396}] => (Allow) LPort=3389
  FirewallRules: [{4FE1D18C-0E62-421F-AF03-E71469A9A1F6}] => (Allow) LPort=30305
  FirewallRules: [{11135C1B-F10B-4AC9-8D98-8EE694D889D3}] => (Allow) LPort=30306
  FirewallRules: [{EB4DF3B6-4D79-44BB-A80D-C9617D9F5DA0}] => (Allow) LPort=30301
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.