Перейти к содержанию
Правила раздела

[РЕШЕНО] Помогите очистить комп от ратки скрытой которую др веб не может вылечить

234234234234

Автор 234234234234
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

234234234234

234234234234

Опубликовано
Опубликовано

Сидел в дискорде с ребятами они якобы проверили на читы и через повер шел в cmd скачали ратки и стилеры др веб не берет  отчет вот

 

DESKTOP-P3PJ2JJ_2025-11-14_02-17-49_v5.0.3v x64.zip

 

Сообщение от модератора Mark D. Pearlstone

Тема перемещена из раздела "Компьютерная помощь"

safety

safety

Опубликовано
Опубликовано (изменено)

(!) Не удалось открыть ключ: [Error: 0x5 - Отказано в доступе. ]

HKLM\SYSTEM\ControlSet001\Services\4fcb0f21e

+

ПОДОЗРИТ(А)| FAKE:C:\WINDOWS\SYSTEM32\DIALER.EXE [15764]
ПОДОЗРИТ(А)| FAKE:C:\WINDOWS\SYSTEM32\DIALER.EXE [16296]
ПОДОЗРИТ(А)| FAKE:C:\WINDOWS\SYSTEM32\DIALER.EXE [16628]
ПОДОЗРИТ(А)| FAKE:C:\WINDOWS\SYSTEM32\DIALER.EXE [18748]
+

Множественные потоки в системных файлах:

(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\SVCHOST.EXE [3600], tid=11224

--------------

Возможно, что цепочка запускается через эту задачу:

 

image.png

 

Сделайте новый образ автозапуска с отслеживанием процессов и задач.

 

Если антивирус будет блокировать запуск, или получение файла образа - временно отключите защиту антивируса.

 

1. Скачайте архив с актуальной версией утилиты uVS c зеркала программы отсюда (1) или отсюда(2) (здесь дополнительно встроен архиватор 7zip), распакуйте данный архив с программой в отдельный каталог.

2. запустите из каталога с модулями uVS файл Start.exe
(для Vista, W7- W11 выберите запуск от имени Администратора)
3. В стартовом окне программы - нажать "запустить под текущим пользователем". (если текущий пользователь с правами локального администратора)

3.1 Если запросили обычный образ автозапуска, переходим сразу к п.4
Если запросили образ автозапуска с отслеживанием процессов и задач:
В главном меню выбираем "Дополнительно" - Твики" - нажимаем "твик 39" и перегружаем систему. После перезагрузки переходим к п.2 и выполняем все действия из 2, 3, 4, 5, 6.

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

 

5. Дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время*.txt) автоматически добавится в архив 7z. (если используется uVS из зеркала со встроенным архиватором 7z)

--------------------------

 

 

 

Изменено пользователем safety
  • Спасибо (+1) 1
safety

safety

Опубликовано
Опубликовано (изменено)

Судя по новому образу, ситуация в системе нормализовалась с потоками и фейковыми процессами.

Замена антивируса пошла на пользу системе.

 

По дальнейшей очистке системы

 

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу с перезагрузкой системы 

;uVS v5.0.3v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

delref HTTPS://FIND-IT.PRO/?UTM_SOURCE=DISTR_M
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\MICROSOFT\EDGE\USER DATA\DEFAULT\EXTENSIONS\OIKGCNJAMBFOOAIGMDLJBLBAEELMEKEM\2.0.0.7_0\XFINDER. SEARCH
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLDGPJDIADOMHINPIMGCHMEEMBBGOJNJK%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGCECLJEMIBCFDFMKHEEGNDAPBJJFEALP%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DKADAOHCKDKGHFACLHJMKMPLEBCDCNFNP%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\ODBMJGIKEDENICICOOKNGDCKHKJBEBPD\1.0.0.2_0\T-СASHBACK — КЭШБЭК-СЕРВИС
delall %SystemDrive%\PROGRAM FILES (X86)\360\TOTAL SECURITY\QHSAFEMAIN.EXE
delref WDE:\.EXE
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\TEMP\FILES
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\TEMP\.OPERA\99EF77C7AB9A\INSTALLER.EXE
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL
delref %SystemDrive%\PROGRAM FILES
delref %SystemDrive%\PROGRAM FILES (X86)
delref %SystemDrive%\PROGRAMDATA
delref %SystemDrive%\USERS\TIMPV\APPDATA\ROAMING
apply

regt 27
deltmp
delref %SystemDrive%\PROGRAM FILES\NVIDIA CORPORATION\NVCONTAINER\NVCONTAINERTELEMETRYAPI.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ASROCK UTILITY\AUTO DRIVER INSTALLER\ASRAPPSHOP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT OFFICE\ROOT\VFS\PROGRAMFILESCOMMONX86\MICROSOFT SHARED\OFFICE16\OPUSHUTIL.EXE
delref {E984D939-0E00-4DD9-AC3A-7ACA04745521}\[CLSID]
delref %Sys32%\CLIPESU.EXE
delref %Sys32%\MBAEPARSERTASK.EXE
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\PROGRAMS\EADF610C247A\CB2AFBC0BF.MSI
delref %SystemRoot%\MICROSOFT.NET\FRAMEWORK\V2.0.50727\MSCORSEC.DLL
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref {930F6476-55F3-4C35-9481-E3AFC97817FD}\[CLSID]
delref %SystemRoot%\MICROSOFT.NET\FRAMEWORK64\V2.0.50727\MSCORSEC.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT OFFICE\ROOT\OFFICE16\VPREVIEW.EXE
delref {C885AA15-1764-4293-B82A-0586ADD46B35}\[CLSID]
delref %Sys32%\MSPAINT.EXE
delref %Sys32%\OCPUPDATEAGENT.DLL
delref %Sys32%\DRIVERS\SYNTH3DVSC.SYS
delref %Sys32%\IDLISTEN.DLL
delref %Sys32%\WINJSON.DLL
delref %Sys32%\SETTINGSYNC.DLL
delref %Sys32%\PACKAGESTATEROAMING.DLL
delref %Sys32%\CELLULARAPI.DLL
delref %Sys32%\RFXVMT.DLL
delref %Sys32%\NETWORKSTATUS.DLL
delref %Sys32%\DRIVERS\RFXVMT.SYS
delref %Sys32%\SETTINGSYNCCORE.DLL
delref %Sys32%\PERFCTRS.DLL
delref %Sys32%\NETCELLCORECELLMANAGERPROVIDERRESOURCES.DLL
delref %Sys32%\AZURESETTINGSYNCPROVIDER.DLL
delref %Sys32%\LISTSVC.DLL
delref %Sys32%\DRIVERS\WCNFS.SYS
delref %Sys32%\PERFTRACK.DLL
delref %Sys32%\PROVSVC.DLL
delref %Sys32%\DUCUPDATEAGENT.DLL
delref %Sys32%\ONEDRIVESETTINGSYNCPROVIDER.DLL
delref %Sys32%\AZURECHECK-EVENTS.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\120.0.6099.200\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН CHROME
delref %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\140.0.7339.208\RESOURCES\NETWORK_SPEECH_SYNTHESIS/MV3\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\120.0.6099.200\RESOURCES\PDF\CHROME PDF VIEWER
delref %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\131.0.6778.265\RESOURCES\NETWORK_SPEECH_SYNTHESIS\GOOGLE NETWORK SPEECH
delref %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\141.0.7390.108\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\24.12.3.781\RESOURCES\WEB_STORE\МАГАЗИН ПРИЛОЖЕНИЙ
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\23.9.1.967\RESOURCES\YANDEX\BOOK_READER\BOOKREADER
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\23.9.1.967\RESOURCES\OPERA_STORE\OPERA STORE
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\23.9.1.967\RESOURCES\PDF\CHROMIUM PDF VIEWER
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\23.9.1.967\RESOURCES\HANGOUT_SERVICES\GOOGLE HANGOUTS
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\117.0.2045.43\RESOURCES\WEB_STORE\ИНТЕРНЕТ-МАГАЗИН
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\EDGE_CLIPBOARD\MICROSOFT CLIPBOARD EXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\117.0.2045.43\RESOURCES\EDGE_SUPPRESS_CONSENT_PROMPT\SUPPRESS CONSENT PROMPT
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\MEDIA_INTERNALS_SERVICES\MEDIA INTERNALS SERVICES EXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\EDGE_COLLECTIONS\EDGE COLLECTIONS
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\MICROSOFT_WEB_STORE\MICROSOFT STORE
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\EDGE_FEEDBACK\EDGE FEEDBACK
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\MICROSOFT_VOICES\MICROSOFT VOICES
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\CRYPTOTOKEN\CRYPTOTOKENEXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\92.0.902.67\RESOURCES\EDGE_PDF\MICROSOFT EDGE PDF VIEWER
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\141.0.3537.85\RESOURCES\WEBRTC_INTERNALS\WEBRTC INTERNALS EXTENSION
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT\EDGE\APPLICATION\141.0.3537.85\RESOURCES\HANGOUT_SERVICES\WEBRTC EXTENSION
delref %SystemDrive%\USERS\TIMPV\APPDATA\ROAMING\ZOOM\BIN\NPZOOMPLUGIN.DLL
delref {611B6CB4-ACE6-4655-8D60-15FAC4AD0952}\[CLSID]
delref {8ABE89E2-1A1E-469B-8AF0-0A111727CFA5}\[CLSID]
delref {8AC780E1-BCDB-4816-A6EA-A88BCC064453}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\MICROSOFT OFFICE\ROOT\OFFICE16\LYNC.EXE
delref %SystemDrive%\USERS\TIMPV\DOWNLOADS\UVS_LATEST (1)\GNAQBY
delref %SystemDrive%\USERS\TIMPV\APPDATA\LOCAL\TEMP\.OPERA\EED9C73B9274\ASSISTANT_INSTALLER.EXE
delref %SystemDrive%\USERS\TIMPV\ONEDRIVE\РАБОЧИЙ СТОЛ\TOR BROWSER\BROWSER\FIREFOX.EXE
;-------------------------------------------------------------

regt 40
restart

После перезагрузки системы:

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

+

добавьте новые логи FRST для контроля

Изменено пользователем safety
  • Спасибо (+1) 1
safety

safety

Опубликовано
Опубликовано

Скрипт из uVS можно еще раз выполнить, но только при отключенной защите антивируса, так как он блокирует (скорее всего) очистку ненужных исключений WinDef

Цитата

Ошибка удаления исключения WD - ExclusionExtension: .exe [Error: 0x80041001 - ]
Если WD отключен или вы используете сторонний антивирус то удаление исключений доступно лишь при использовании виртуализации реестра.
--------------------------------------------------------------------------------------------------
Ошибка удаления исключения WD - ExclusionPath: C:\ProgramData [Error: 0x80041001 - ]
Если WD отключен или вы используете сторонний антивирус то удаление исключений доступно лишь при использовании виртуализации реестра.

+

Логи FRST необходимы полные: т.е. оба файлв - Addition,txt и FRST.txt

safety

safety

Опубликовано
Опубликовано (изменено)

На момент выполнения скрипта WD должен быть включен. А штатный антивирус (у вас ESET)  временно отключен.

Цитата

--------------------------------------------------------------------------------------------------
Ошибка удаления исключения WD - ExclusionExtension: .exe [Error: 0x80041001 - ]
Если WD отключен или вы используете сторонний антивирус то удаление исключений доступно лишь при использовании виртуализации реестра.

 

Можно еще раз повторить выполнение скрипта в uVS.

---------------

Далее,

 

в системе остались поврежденные системные службы, которые надо исправить, и удалить службы созданные зловредом.

 

Скачайте с данной страницы

https://download.bleepingcomputer.com/win-services/windows-11-24H2/

следующие твики для исправления поврежденных служб:

BITS;
dosvc;
UsoSvc
WaaSMedicSvc
wuauserv

 

Запускаем каждый из загруженных файлов *.reg от имени Администратора, разрешаем внести изменения в реестр

Перезагружаем систему,

------------

Далее,

 

Выполнить очистку системы в FRST:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы 

Start::
AlternateDataStreams: C:\ProgramData\droidcam-client-options-v2:8329C6407A [3442]
AlternateDataStreams: C:\ProgramData\droidcam-settings:3FFAD04353 [3442]
AlternateDataStreams: C:\ProgramData\fontcacheev1.dat:D758CE5CE2 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Ahk2Exe.lnk:0676F50C01 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoHotkey Dash.lnk:B4B3884CBE [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoHotkey Window Spy.lnk:88F1223DAF [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Blend for Visual Studio 2022.lnk:D689419597 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [3442]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [7246]
FirewallRules: [{02353513-0E0A-4476-80F8-EA619AF44789}] => (Allow) 㩃啜敳獲瑜浩癰䅜灰慄慴剜慯業杮瑜捯停扢⹲硥e => Нет файла
FirewallRules: [{C06BCB28-A42E-4726-AFEC-A91EEE282F60}] => (Allow) 㩃啜敳獲瑜浩癰䅜灰慄慴剜慯業杮瑜捯䍜牨浯履灁汰捩瑡潩屮桃潲敭攮數 => Нет файла
FirewallRules: [{3FB0B026-3FEC-4F84-B41C-1AFC20DEB827}] => (Allow) 㩃啜敳獲瑜浩癰䅜灰慄慴剜慯業杮瑜捯捜牨浯摥楲敶⹲硥e => Нет файла
FirewallRules: [{EEA1C172-A3AD-4C9A-9095-FBAA02A25A18}] => (Allow) 㩃啜敳獲瑜浩癰䅜灰慄慴剜慯業杮瑜捯晜偐䙭攮數 => Нет файла
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
Task: {18D83F37-6F37-4BBA-B718-876B081E3930} - System32\Tasks\EdgeUpdate => C:\Windows\system32\cmd.exe [344064 2025-09-15] (Microsoft Windows ->
CHR DefaultSearchURL: Default -> hxxp://search-cdn.net/fip/?q={searchTerms}
CHR DefaultSearchKeyword: Default -> cdn
[2025-01-25] [UpdateUrl:hxxps://clients73.google.com/service/update2/crx] <==== ВНИМАНИЕ
[2025-01-25] [UpdateUrl:hxxps://clients10.google.com/service/update2/crx] <==== ВНИМАНИЕ
C:\Users\timpv\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\eamogjcliimpkbhanhgmagnkoobinmoo
C:\Users\timpv\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\ggnchfknjkebijkdlbddehcpgfebapdc
C:\Users\timpv\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi
C:\Users\timpv\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi
C:\Users\timpv\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\oikgcnjambfooaigmdljblbaeelmekem
C:\Users\timpv\AppData\Local\Google\Chrome\User Data\Default\Extensions\joppflcaadlkjfdfkegclpicigphcaep
C:\Users\timpv\AppData\Local\Google\Chrome\User Data\System Profile\Extensions\iddmabhekhhonkmomaklnflhhgbfnioe
C:\Users\timpv\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\npnamhkjoagokhohbongdemlhedipfjg

OPR Extension: (Adblocker for Youtube™) - C:\Users\timpv\AppData\Roaming\Opera Software\Opera Stable\Extensions\idimnjcjkopkcbalclocjcbcmkkcfpec
YAN Extension: (Torrent Scanner) - C:\Users\timpv\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\npnamhkjoagokhohbongdemlhedipfjg
U2 dosvc_bkp; C:\WINDOWS\system32\dosvc.dll [98304 2025-09-15] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\WINDOWS\system32\usosvc.dll [114688 2025-09-15] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\WINDOWS\System32\WaaSMedicSvc.dll [94208 2025-09-15] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\WINDOWS\system32\wuaueng.dll [184720 2025-09-15] (Microsoft Windows -> Корпорация Майкрософт)
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

+

если очистка пройдет успешно, и не останется вопросов и проблем в работе системы:

 

завершающие шаги:

 

    Загрузите SecurityCheck by glax24 & Severnyj, https://safezone.cc/resources/security-check-by-glax24.25/ сохраните утилиту на Рабочем столе и извлеките из архива.
    Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
    Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
    Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
    Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
    Прикрепите этот файл к своему следующему сообщению.

Изменено пользователем safety
  • 2 недели спустя...
safety

safety

Опубликовано
Опубликовано

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Alexxxxx
      У меня РАТ файл
      Автор Alexxxxx
      Я установил РАТ файл случайно 
      По ту сторону вируса со мной связался человек он говорит что у меня установлен dropper и bootkit вместе с rat вирусом он пытался получить доступ к аккаунтам , у некоторых я поменял пароль и отключил интернет кабель, что мне делать
    • 49advan
      Буткит, Майнер, Ратник в одном флаконе
      Автор 49advan
      Заражался раньше майнером и раткой в одном флаконе, после переустановки винды он типо удалился но мне кажется что там все ещё есть часть от ратника или даже ещё там keylogger ведь кто то все время заходит ко мне в Стим хотя я не вводил нигде свои данные Стима. Каждые 2 недели заходят на акк без Steam Guard и без Email 3 чела с Питера. Есть Native Shell (нативный режим NT до запуска Win32, обычно все вирусы работают на Win32), могу записать LiveCD, Kaspersky Rescue Disk не работает, Dr. Web LiveCD тоже. Но установщик убунту прекрасно запускается.
    • warnix
      Проблема с пк
      Автор warnix
      здравствуйте, недавно столкнулся с такой проблемой,что при открытии программ вылезает ошибка(я прикрепил фото)
      есть подозрение что это вирус или просто ошибка виндовс
      пробовал запускать разные антивирусы(Kaspersky, dr web cureit) они также не запускаются, абсолютно никакие программы не запускаются, кроме нескольких игр и системных приложений, в диспетчере задач есть много подозрительных процессов, в автозагрузке есть файл steam у которого отсутствует издатель, а открыть расположение файла не получается, хочу попробовать решить эту проблему без переустановки виндовс, на это есть причины

    • couitatg
      Очень странное и необычное заражение вирусом удалённого доступа
      Автор couitatg
      В субботу, пока я играл в игру, антивирус Касперского проводил сканирование в фоновом режиме. По отчетам, он обнаружил 56 попыток майнинга, а также удалил 351 вирусный объект.
      После этого я решил провести дополнительное сканирование. В результате была выявлена безфайловая угроза и фейковый процесс msedge.exe, который установил TCP-соединение.
      Спустя 20–30 минут попыток устранить угрозу, я заметил, что Windows Defender работает как единственный антивирус в системе, а Касперский будто бы не функционирует. Defender обнаружил троян Njrat в msedge.exe, но не смог его устранить. Более того, в исключениях Windows Defender оказались указаны диск, файл msedge.exe и папка Program Files.
      Позже я обнаружил майнер в поддельных файлах taskmgr.exe, regedit.exe и svchost.exe.
      Самым неприятным оказалось то, что был выявлен руткит (C:\Program Files\DrWeb\drwebnet.sys), хотя антивирус Dr.Web на системе отсутствовал. У руткита была действительная цифровая подпись от Microsoft. Windows Defender смог успешно устранить руткит, но с трояном Njrat так и не справился.
      Затем аналогичная копия руткита обнаружилась в папке антивируса Avast, который тоже не был установлен на системе.
      Наконец, система подверглась попытке шифрования вирусом (предположительно Chaos Ransomware). Мне удалось остановить процесс с помощью утилиты Process Hacker.

      CollectionLog-2024.12.15-13.23.zip
×
×
  • Создать...