[РЕШЕНО] Вирусы удалены, а записи wuauserv_bkp, UsoSvc_bkp, WaaSMedicService_bkp, BITS_bkp и Dosvc_bkp в реестре остались. Повредился Центр обновления Windows.

[Сергей Пивень]

Поймал вирусы типа:
VirTool:PowerShell/WDAVTamper
Trojan:Win32Vigof.A
были и ещё трояны не запомнил

 

Повредился Центр обновления Windows.
Постоянно висят кнопки: «Обновить и завершить работу» и «Обновить и перезагрузить» при перезагрузки установка не выполняется.
Также пустой экран в Центре обновлений Windows.

 

В реестре появились записи wuauserv_bkp, UsoSvc_bkp, WaaSMedicService_bkp, BITS_bkp и Dosvc_bkp, а старые (wuauserv, UsoSvс, WaaSMedicService и т.д.) с ошибками.
В сервисах/Службах записи сервисов wuauserv, UsoSvс, WaaSMedicService и т.д. дублируются с wuauserv_bkp, UsoSvc_bkp, WaaSMedicService_bkp и т.д..

 

Вирусы удалил с помощью Dr.Web CureIt!.
Потом ещё раз прошел Dr.Web CureIt!, Kaspersky Virus Removal Tool, MS Defender они сказали вирусов нет.  
Записи в реестре и в сервисах остались, кнопки также висят.

Подскажите как можно это исправить.

CollectionLog-2026.01.04-20.52.zip

[thyrex]

Здравствуйте.

 

Загрузитесь в безопасном режиме.

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SetServiceStart('GoogleUpdateTaskMachineQC', 4);
 QuarantineFile('C:\ProgramData\google\chrome\updater.exe','');
 QuarantineFile('C:\Users\Piven\AppData\Roaming\Sandboxie\sandboxie.exe','');
 QuarantineFile('C:\ProgramData\Google\Chrome\updater.exe','');
 DeleteFile('C:\ProgramData\Google\Chrome\updater.exe','64');
 DeleteFile('C:\Users\Piven\AppData\Roaming\Sandboxie\sandboxie.exe','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleUpdateTaskMachineQC','x64');
 DeleteService('GoogleUpdateTaskMachineQC');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Загрузитесь в нормальном режиме.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Сергей Пивень]

Большое спасибо за ответ.

Скрипт запустил, файл 7z отправил на почту quarantine@safezone.cc.

Лог файл после выполнения скрипта прилагаю.

CollectionLog-2026.01.05-12.31.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).

• Будьте внимательны: при сканировании секции Другие области программа не зависает, а продолжает работать, нужно просто немного подождать.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Сергей Пивень]

Добрый день!

FRST установил, просканировал. Архив прикладываю.

 

file.rar

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1591884492-41947376-1000435265-1001\...\MountPoints2: {80a5e6d1-6496-11ec-8315-a81e84b691e6} - "D:\HiSuiteDownLoader.exe" 
HKU\S-1-5-21-1591884492-41947376-1000435265-1001\...\MountPoints2: {910dcbd0-f4e0-11ec-8323-a81e84b691e6} - "D:\HiSuiteDownLoader.exe" 
HKU\S-1-5-21-1591884492-41947376-1000435265-1001\...\MountPoints2: {a9ee4f1b-6074-11ec-8315-a81e84b691e6} - "D:\HiSuiteDownLoader.exe" 
Task: {02F58CA4-1840-4654-8CAE-AF2E3DAC7F36} - System32\Tasks\RtsCM => %windir%\RtsCM64.exe  (Нет файла)
CHR HKLM-x32\...\Chrome\Extension: [gjaojbkkfpedgefidkagjeibcbfnakke] - hxxps://fastproxy.app/service/update2/crx?partner=02
S2 BITS_bkp; C:\WINDOWS\System32\qmgr.dll [1481728 2025-05-14] (Microsoft Windows -> Microsoft Corporation)
S3 dosvc_bkp; C:\WINDOWS\system32\dosvc.dll [1534976 2025-07-14] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\WINDOWS\system32\usosvc.dll [583168 2025-05-14] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\WINDOWS\System32\WaaSMedicSvc.dll [434176 2025-07-14] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\WINDOWS\system32\wuaueng.dll [3441152 2025-07-14] (Microsoft Windows -> Microsoft Corporation)
S3 Bonjour Service; "C:\Program Files (x86)\Bonjour\mDNSResponder.exe" [X]
S2 gupdate; "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /svc [X]
S3 gupdatem; "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /medsvc [X]
CustomCLSID: HKU\S-1-5-21-1591884492-41947376-1000435265-1001_Classes\CLSID\{DFF20505-B08F-455B-AD70-4FBD055088E0}\localserver32 -> "C:\Program Files (x86)\Google\Chrome\Application\PlatformExperienceHelper\platform_experience_helper.exe" -toastactivated => Нет файла
AlternateDataStreams: C:\Windows:CM_be7995bdfc8d8ab791fbfefa187c3875a89ccddaea42f3929155d8af0adee7c6 [26]
StartPowershell:
Remove-MpPreference -ExclusionExtension ".exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData"
Remove-MpPreference -ExclusionPath "C:\Users\Piven"
Remove-MpPreference -ExclusionPath "C:\WINDOWS"
Remove-MpPreference -ExclusionPath "C:\WINDOWS\system32\config\systemprofile"
EndPowerShell:
FirewallRules: [{76C9173E-81A6-40B2-8E10-28BEB46DADB3}] => (Allow) C:\Users\Piven\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{B98F6232-71E3-49D0-9B50-D777C9CC2F22}] => (Allow) C:\Users\Piven\AppData\Roaming\Zoom\bin\Zoom.exe => Нет файла
FirewallRules: [UDP Query User{FE084385-22A5-45A5-96BD-5D00BA8B330F}C:\program files (x86)\java\jre1.8.0_161\bin\javaw.exe] => (Block) C:\program files (x86)\java\jre1.8.0_161\bin\javaw.exe => Нет файла
FirewallRules: [TCP Query User{DD93C5F9-1901-4314-9558-9CDE38DABB1D}C:\program files (x86)\java\jre1.8.0_161\bin\javaw.exe] => (Block) C:\program files (x86)\java\jre1.8.0_161\bin\javaw.exe => Нет файла
FirewallRules: [{92830786-FE87-42BE-8D7C-4210DEE2520C}] => (Allow) C:\Users\Piven\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [{DB29B433-9208-4052-93BB-4020BEF50103}] => (Allow) C:\Users\Piven\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [TCP Query User{A333BFBA-3D28-4063-A5D2-72834A587E6B}C:\program files (x86)\droidcam\droidcamapp.exe] => (Allow) C:\program files (x86)\droidcam\droidcamapp.exe => Нет файла
FirewallRules: [UDP Query User{59EAFAE7-D3BE-42B3-9855-567089612E60}C:\program files (x86)\droidcam\droidcamapp.exe] => (Allow) C:\program files (x86)\droidcam\droidcamapp.exe => Нет файла
FirewallRules: [TCP Query User{B54123A9-D2F0-4014-8DC4-D65337D05819}C:\program files\dbeaver\dbeaver.exe] => (Allow) C:\program files\dbeaver\dbeaver.exe => Нет файла
FirewallRules: [UDP Query User{32A159C9-76CF-4A4A-A6EF-A4F715D42FEA}C:\program files\dbeaver\dbeaver.exe] => (Allow) C:\program files\dbeaver\dbeaver.exe => Нет файла
FirewallRules: [TCP Query User{25F7AF06-E712-44EF-A76E-34A37A9DA533}C:\program files (x86)\droidcam\droidcamapp.exe] => (Allow) C:\program files (x86)\droidcam\droidcamapp.exe => Нет файла
FirewallRules: [UDP Query User{35154DFC-1E09-4A3F-993C-07F49A545050}C:\program files (x86)\droidcam\droidcamapp.exe] => (Allow) C:\program files (x86)\droidcam\droidcamapp.exe => Нет файла
FirewallRules: [{DCDF7E4D-E04D-4540-9F66-8CC1AB7210D1}] => (Allow) C:\Users\Piven\Downloads\4ddig-file-repair.exe => Нет файла
FirewallRules: [{3725CD61-FB99-4B29-AB7C-5CBCA2392F76}] => (Allow) C:\Users\Piven\Downloads\4ddig-file-repair.exe => Нет файла
FirewallRules: [{C4109EE2-5FE7-46EB-AAF2-FCA8AA13C83B}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\4DDiG File Repair.exe => Нет файла
FirewallRules: [{AA6CA0A8-9174-4FFB-91B6-0A49DED97402}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\4DDiG File Repair.exe => Нет файла
FirewallRules: [{E513447E-8513-443D-8808-83ECFBE0D1C5}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\NetFrameCheck.exe => Нет файла
FirewallRules: [{8A4D9606-840D-427C-9857-034D2568CBDB}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\NetFrameCheck.exe => Нет файла
FirewallRules: [{676B2BA7-5BEB-41DD-A1CB-10302DBF6898}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\Monitor\Monitor.exe => Нет файла
FirewallRules: [{9C027AAF-8180-4676-B165-A80D66749419}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\Monitor\Monitor.exe => Нет файла
FirewallRules: [{8EDCAB73-EBF3-4413-BE3E-752B68CE4B3A}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\VideoRepairService.exe => Нет файла
FirewallRules: [{3EE319D1-03A3-4837-B1F3-62C3A1C0E5A1}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\VideoRepairService.exe => Нет файла
FirewallRules: [{529CE02B-BD63-4ABB-B539-D15C92910F72}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\PhotosRepairService.exe => Нет файла
FirewallRules: [{9924062B-D2EA-4314-A22D-1CBF4715A11F}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\PhotosRepairService.exe => Нет файла
FirewallRules: [{32C4A859-BBAA-49CB-A586-E2ABADF6F720}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\AudioRepairService.exe => Нет файла
FirewallRules: [{2DCBE5FC-3806-4AD6-BA85-DAD1E08C8FCA}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\AudioRepairService.exe => Нет файла
FirewallRules: [{5106BC39-2088-4EA1-9D29-3B7D4984A5EA}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\DocsRepair.exe => Нет файла
FirewallRules: [{E1ED9755-F493-44F6-9805-DCE5E0A5F6AD}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\DocsRepair.exe => Нет файла
FirewallRules: [{539F37AF-124F-422E-928D-58A45DE55AC2}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\MediaPlayerService.exe => Нет файла
FirewallRules: [{3D50B968-8399-47E8-A930-9F46A813FE2E}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\MediaPlayerService.exe => Нет файла
FirewallRules: [{8CB3BCEC-F57F-4F48-A3E3-6A6D21B7481C}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\MediaInfoService.exe => Нет файла
FirewallRules: [{B7107DF9-0134-4AD5-BB0F-F8FC702A562C}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\MediaInfoService.exe => Нет файла
FirewallRules: [{12A5C138-3CC9-4795-9A88-A44EEEEFFC1D}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\PhotoPreviewService.exe => Нет файла
FirewallRules: [{5C517A04-67E5-44AB-9754-1AFCB4E15355}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\PhotoPreviewService.exe => Нет файла
FirewallRules: [{100E4DB1-24BC-4669-AE39-867C953A5841}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\UpdateService.exe => Нет файла
FirewallRules: [{85089AB8-B012-41A9-9983-8D9D2E279B92}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\UpdateService.exe => Нет файла
FirewallRules: [{490E64D7-3F4A-4760-A2BC-106F17DAD409}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\TsRepairService.exe => Нет файла
FirewallRules: [{D548773C-8882-4CA6-904A-B1F27230994A}] => (Allow) C:\Program Files (x86)\Tenorshare\4DDiG File Repair\TsRepairService.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Скачайте по ссылке https://download.bleepingcomputer.com/win-services/windows-10-22H2/ reg-файлы для служб BITS, dosvc, UsoSvc, WaaSMedicSvc, wuauserv. Запустите каждый из файлов и подтвердите внесение информации в реестр.
 

[Сергей Пивень]

Добрый день!

 

Большое спасибо, записи в реестре изменились на штатные, кнопки "обновить установить" пропали, а центр обновления открывается, спасибо.

 

Подскажите теперь наверное нужно удалить артефакты связанные с программами инструментами типа:FRST, KVRT2020 на диске С, подскажите как лучше это сделать?

А потом установить cтарое обновление которое висит в центре обновлений (KB50663842), а потом планируют установить последнее накопительное типа:kb5074976-x64

 

Файл Fixlog.txt, прилагаю.

 

Fixlog.txt

[thyrex]

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.
Компьютер будет перезагружен автоматически.

 

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Прикрепите этот файл в своем следующем сообщении.

 

[Сергей Пивень]

Добрый день!

Сегодня загрузил компьютер и стали устанавливаться загруженные ранее обновления. Установились, теперь у меня сборка 19045.6456 и последний KB5066791 для этой сборки.

SecurityCheck запускал уже после обновления.

FRST удалил.

Файл SecurityCheck.txt прилагаю.

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^
Microsoft Office профессиональный плюс 2016 - ru-ru v.16.0.19127.20302 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.32.31332 v.14.32.31332.0 Внимание! Скачать обновления
Microsoft OneDrive v.25.222.1112.0002 Внимание! Скачать обновления
Яндекс.Диск v.3.2.45.5100 Внимание! Скачать обновления
WinRAR 5.40 (64-разрядная) v.5.40.0 Внимание! Скачать обновления
OpenVPN Connect v.3.3.2 Внимание! Скачать обновления
VLC media player v.3.0.20 Внимание! Скачать обновления
Adobe Reader XI (11.0.23) - Russian v.11.0.23 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.
Yandex v.25.12.0.2197 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
 

На этом закончим.

[Сергей Пивень]

Большое спасибо, очень помогли.

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".