Есть подозрение на майнер. Касперский ничего не находит.

[Филимон]

Есть подозрение на майнер. Ноут достаточно теплый, шумит вентиляторами, быстро разряжает батарею. При открытии диспетчера задач вот такая картина, нагрузка с гпу резко падает, вентиляторы затихают. Стоит касперский плюс, ничего при проверках не находит. Сканирование при загрузки с флешки при помощи ремовал_тулз тоже ничего не показало.

 

 

 

Изменено Четверг в 08:05 пользователем Филимон

[Филимон]

Форум не дает вставить образ автозапуска из UVS

 

Изменено Четверг в 08:10 пользователем Филимон

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

[Филимон]

Прошу прощения, отредактировать первое сообщение уже не могу. KVRT проверял. Файл логгера прикладываю.

CollectionLog-2025.12.04-11.32.zip

[Sandor]

Пока явных признаков заражения не видно.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Филимон]

FRST.txt Addition.txt

[safety]

+ добавьте сразу образ автозапуска в uVS, если не получится прикрепить здесь, загрузите на облачный диск и дайте ссылку на скачивание.

[Филимон]

https://disk.yandex.ru/d/HbT3QSAAdlp07Q

Изменено Четверг в 08:58 пользователем Филимон

[safety]

Явной активности майнера нет. Есть подозрение к этому файлу: C:\USERS\USER\DOWNLOADS\APKINFO\APK-INFO.EXE

 

По очистке системы:

 

Выполните скрипт очистки в uVS

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню uVS выбираем: "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу с перезагрузкой системы

;uVS v5.0.3v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv11.0
v400c
OFFSGNSAVE
hide %SystemDrive%\PROGRAM FILES\NETMAKER DESKTOP\NETMAKER-DESKTOP.EXE
hide %SystemDrive%\PROGRAM FILES\BANDICAM\BDCAM.EXE
hide %SystemDrive%\USERS\USER\DOWNLOADS\APKINFO\APK-INFO.EXE
;------------------------autoscript---------------------------

apply


deltmp
delref %Sys32%\DRIVERS\SEMAV6MSR64.SYS
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\.OPERA\CA1776490A62\INSTALLER.EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\TEMP\.OPERA\FE1C17E8B5CC\ASSISTANT_INSTALLER.EXE
;-------------------------------------------------------------

restart

После перезагрузки системы:

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

 

[Филимон]

2025-12-05_09-22-34_log.txt

[safety]

В uVS через твик 40 отключите отслеживание процессов и задач. Явно активности майнера не обнаружено.

[Sandor]

+

Ещё некоторый мусор почистим.

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:windowsdefender <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  HKLM\Software\Policies\...\system: [EnableSmartScreen] 0 <==== ВНИМАНИЕ
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi
  HKU\S-1-5-21-94286497-2445334763-2508628009-1000\Software\Classes\regfile:  <==== ВНИМАНИЕ
  HKU\S-1-5-21-94286497-2445334763-2508628009-1000\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-94286497-2445334763-2508628009-1000\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
  HKU\S-1-5-21-94286497-2445334763-2508628009-1000\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
  FirewallRules: [{974AA8FE-2267-46BF-A911-5425975A9AAF}] => (Allow) C:\Users\User\AppData\Local\Temp\utorrent\utorrent.exe => Нет файла
  FirewallRules: [{8D31EB86-07E8-42C2-B5C1-82CDC806A640}] => (Allow) C:\Users\User\AppData\Local\Temp\utorrent\utorrent.exe => Нет файла
  FirewallRules: [{BCB65EC1-159F-48F0-B98C-0FE482269C17}] => (Allow) C:\Program Files (x86)\BlueStacks X\BlueStacksWeb.exe => Нет файла
  FirewallRules: [{1BC752DE-E75E-40BA-805E-338152301B1F}] => (Allow) C:\Program Files (x86)\BlueStacks X\Cloud Game.exe => Нет файла
  FirewallRules: [{F1CA6DD8-BED4-41D8-8316-9D47744FD195}] => (Allow) C:\Program Files\BlueStacks_nxt\HD-Player.exe => Нет файла
  FirewallRules: [{D7A61338-F640-43DA-A73F-C6536578039E}] => (Allow) C:\Program Files\BlueStacks_nxt\BlueStacksAppplayerWeb.exe => Нет файла
  FirewallRules: [{BB2EC461-84B2-499E-82CC-784E7FAA497D}] => (Allow) LPort=32683
  FirewallRules: [{B0F2B078-10E2-49A6-930B-96A3B4A374F7}] => (Allow) LPort=33683
  FirewallRules: [{F327CF5B-DE69-4371-8D13-F82085F25E7C}] => (Allow) LPort=26822
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.