Перейти к содержанию
Правила раздела

Поймал друг на моем ноуте вирус CAAServises (он же под именем SQL Servises). Он постоянно висит в автозагрузках, при удалении появляется вновь. Сторонними прогами, Virus Total'ом удалить также не получилось.

DEFFlorator

Автор DEFFlorator
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

DEFFlorator

DEFFlorator

Опубликовано
Опубликовано (изменено)

Обнаружил данный вирус, так как при подключении к Инету сильно нагружается и греется ЦП. Использование почти всегда 100 %, частоты выше 3,5 ГГц при штатной 2,3 ГГц. После поисков ответов в инете обнаружил связанный с вирусом файл explorer.exe, в разделе "Безопасность" которого имеется некий админ. Изменение разрешений невозможно (требуется разрешение этого самого левого админа), при удалении сразу появляется вновь.

Сам вирус находится в папке Program Files.

Скрин автозагрузок.jpg

Скрин папки с эксрлорер.jpg

Скрин разрешений файла эксплорер.jpg

CollectionLog-2026.01.09-13.55.zip

Скрин расположения вируса.jpg

Изменено пользователем DEFFlorator
thyrex

thyrex

Опубликовано
Опубликовано

Здравствуйте.

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\CAAService\CAAServices.exe','');
 DeleteFile('C:\ProgramData\CAAService\CAAServices.exe','64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','CAA Service','x64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

  • Обратите внимание: будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

DEFFlorator

DEFFlorator

Опубликовано
  • Автор
Опубликовано (изменено)
В 09.01.2026 в 18:35, thyrex сказал:

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.

Большое спасибо за помощь и прошу прощения за долгий ответ, срочно улетел в командировку. Выполнил все как Вы сказали, файлы прикрепляю.

 

Имя карантина: 2026.01.12_quarantine_2b820592792c1085e95faa4ef2df4d6c.7z

 

P.S. Файл explorer.exe никуда не пропал, файл CAAServises исчез из пути C:\ProgramData\CAAService

CollectionLog-2026.01.12-20.26.zip

Изменено пользователем DEFFlorator
thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan (Сканировать).

  • Будьте внимательны: при сканировании секции Другие области программа не зависает, а продолжает работать, нужно просто немного подождать.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

DEFFlorator

DEFFlorator

Опубликовано
  • Автор
Опубликовано
15 часов назад, thyrex сказал:

Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.

Здравствуйте! Сделал как Вы сказали.

Отчеты FRST.rar

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать) 

Start::
CreateRestorePoint:
HKU\S-1-5-21-3355014642-880190946-2558581804-1001\...\MountPoints2: {00bdb240-aaf1-11ec-be81-f02f74475593} - "E:\setup.exe" 
HKU\S-1-5-21-3355014642-880190946-2558581804-1001\...\MountPoints2: {47ec252c-9652-11ec-be7d-f02f74475593} - "C:\Windows\system32\RunDLL32.EXE" Shell32.DLL,ShellExec_RunDLL F:\autorun.exe /auto
HKU\S-1-5-21-3355014642-880190946-2558581804-1003\...\MountPoints2: {47ec252c-9652-11ec-be7d-f02f74475593} - "C:\Windows\system32\RunDLL32.EXE" Shell32.DLL,ShellExec_RunDLL E:\autorun.exe /auto
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
Task: {DF74BB57-0BBE-4457-8C3D-7D4FE3A96D2A} - \CCleaner Update -> Нет файла <==== ВНИМАНИЕ
Task: {89014556-59E5-4E34-969E-509D41F37020} - System32\Tasks\Avast Emergency Update => C:\Program Files\Avast Software\Avast\AvEmUpdate.exe  (Нет файла)
Task: {93674EB9-C193-4CA7-8CB2-C743D6329955} - System32\Tasks\Avast Software\Overseer => C:\Program Files\Common Files\Avast Software\Overseer\overseer.exe  /from_scheduler:1 (Нет файла)
C:\Users\Андрей\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\cogklfaafijonfomiggpimlpelgikokc
C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Default\Extensions\beaemfjbidfkddjpnpcjpnmiijgapaon
C:\Users\Андрей\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\bmdahfnioheekklkfggakcdhlcfcbadc
2026-01-09 13:03 - 2026-01-12 20:07 - 000000000 ____D C:\ProgramData\CAAService
2025-10-12 08:29 - 2025-10-12 08:29 - 000000621 _____ () C:\Users\Андрей\setup.dat
ContextMenuHandlers2: [AlcoholShellEx] -> {32020A01-506E-484D-A2A8-BE3CF17601C3} =>  -> Нет файла
ContextMenuHandlers2: [AlcoholShellEx64] -> {AF67B665-D752-424E-9A03-C7C218F2844F} =>  -> Нет файла
AlternateDataStreams: C:\Users\Андрей\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Андрей\Application Data:48e63d4de0a63256000858a7c61c87df [394]
AlternateDataStreams: C:\Users\Андрей\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Андрей\AppData\Roaming:48e63d4de0a63256000858a7c61c87df [394]
FirewallRules: [{F1353C46-BAA0-4DAF-A2BF-A297BE7B7D64}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Counter-Strike Global Offensive\csgo.exe => Нет файла
FirewallRules: [{ACC84127-EDA1-4D56-96D4-284D27DF6AFD}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Counter-Strike Global Offensive\csgo.exe => Нет файла
FirewallRules: [{769F9E05-6078-4151-B168-686D635F824F}] => (Allow) C:\Windows\System32\DriverStore\FileRepository\asussci2.inf_amd64_4fc38a913e0f2ea5\ASUSLinkRemote\AsusLinkRemoteAgent.exe => Нет файла
FirewallRules: [{84CC1EC2-F2FE-4269-916A-E54CBD91FB4F}] => (Allow) C:\Windows\System32\DriverStore\FileRepository\asussci2.inf_amd64_4fc38a913e0f2ea5\ASUSLinkRemote\AsusLinkRemoteAgent.exe => Нет файла
FirewallRules: [TCP Query User{9645708F-6150-4479-A969-64650AE4764C}D:\игры\god of war\gow.exe] => (Allow) D:\игры\god of war\gow.exe => Нет файла
FirewallRules: [UDP Query User{12ECF171-511C-4B95-9A57-6B87C58CE54D}D:\игры\god of war\gow.exe] => (Allow) D:\игры\god of war\gow.exe => Нет файла
FirewallRules: [{515F8062-8D85-4276-BAAC-62E4F16CA7BA}] => (Allow) C:\Program Files (x86)\PaladinVPN\Paladinsvc.exe => Нет файла
FirewallRules: [{32F15BA2-5136-4305-9FE5-D704BA8CE53B}] => (Allow) C:\Program Files (x86)\PaladinVPN\PaladinVPN.exe => Нет файла
FirewallRules: [{C60FEE77-429C-4F59-9351-BBF7F0627D43}] => (Allow) C:\Program Files (x86)\PaladinVPN\feedback.exe => Нет файла
FirewallRules: [{C3356703-D198-4648-8AAF-7DBD46C75F4C}] => (Allow) C:\Program Files (x86)\PaladinVPN\upgrade.exe => Нет файла
FirewallRules: [{EB1B4CB0-1B27-4E9A-A823-87D47FF2B0C8}] => (Allow) C:\Program Files (x86)\PaladinVPN\tun.exe => Нет файла
FirewallRules: [{CFF77A9C-6CF4-41B3-8215-06AA43BAD076}] => (Allow) C:\Program Files (x86)\PaladinVPN\line.exe => Нет файла
FirewallRules: [{DA8DD085-818C-4A24-B492-21CBE82B8524}] => (Allow) C:\Program Files (x86)\PaladinVPN\tunnle\tunnle.exe => Нет файла
FirewallRules: [{8493EF11-FDED-4695-8CBC-B0A3F4672F7D}] => (Allow) C:\Program Files (x86)\PaladinVPN\pldsvc.exe => Нет файла
FirewallRules: [TCP Query User{AB66B924-DE20-4EB2-9103-6069FD019C5E}D:\steamlibrary\steamapps\common\the first descendant\m1\binaries\win64\m1-win64-shipping.exe] => (Allow) D:\steamlibrary\steamapps\common\the first descendant\m1\binaries\win64\m1-win64-shipping.exe => Нет файла
FirewallRules: [UDP Query User{2D3D5F14-AF6A-4E4E-9C56-76C0797FA81E}D:\steamlibrary\steamapps\common\the first descendant\m1\binaries\win64\m1-win64-shipping.exe] => (Allow) D:\steamlibrary\steamapps\common\the first descendant\m1\binaries\win64\m1-win64-shipping.exe => Нет файла
FirewallRules: [TCP Query User{97613977-FCF9-47EF-B07B-672986AB851A}D:\steamlibrary\steamapps\common\skufs vs quadrobers\skufsvsquadrobers\binaries\win64\quadrobersvsskufs-win64-shipping.exe] => (Allow) D:\steamlibrary\steamapps\common\skufs vs quadrobers\skufsvsquadrobers\binaries\win64\quadrobersvsskufs-win64-shipping.exe => Нет файла
FirewallRules: [UDP Query User{263A07A2-7A88-4089-B6DA-B94FCAD99011}D:\steamlibrary\steamapps\common\skufs vs quadrobers\skufsvsquadrobers\binaries\win64\quadrobersvsskufs-win64-shipping.exe] => (Allow) D:\steamlibrary\steamapps\common\skufs vs quadrobers\skufsvsquadrobers\binaries\win64\quadrobersvsskufs-win64-shipping.exe => Нет файла
FirewallRules: [{F22EA5C5-BA99-406A-A1B4-B53D657674D6}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.35.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{E4894E0E-93AC-4B61-911E-B6746FFB4044}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.35.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{CC6DA232-69D1-4A14-AAE4-6A533205637D}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.35.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{C8B7B684-E5A1-4A83-960A-71AF1353FF94}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.35.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [TCP Query User{B3A85C9A-64F3-424D-826C-4740F91DA1AC}D:\игры\prototype 2\prototype2.exe] => (Allow) D:\игры\prototype 2\prototype2.exe => Нет файла
FirewallRules: [UDP Query User{85C4EFAE-A1B2-4C88-AFE2-E04052CA2A01}D:\игры\prototype 2\prototype2.exe] => (Allow) D:\игры\prototype 2\prototype2.exe => Нет файла
FirewallRules: [{3DDA6516-5BED-4D8B-8C2D-67A1F822D009}] => (Allow) C:\Program Files\ASUS\ARMOURY CRATE Service\MobilePlugin\AutoConnectHelper.exe => Нет файла
FirewallRules: [{D2ABCAC2-6D2A-49C4-90A5-CD7C661270B0}] => (Allow) C:\Program Files\ASUS\ARMOURY CRATE Service\MobilePlugin\AutoConnectHelper.exe => Нет файла
FirewallRules: [{3278804A-BE30-4179-8A77-23F3E1170C22}] => (Allow) C:\Users\Андрей\AppData\Local\Temp\ACFL20251024005307\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{B9D9BCD4-9EFC-4EAA-AF2B-2AB8BBB92001}] => (Allow) C:\Users\Андрей\AppData\Local\Temp\ACFL20251024005307\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{399965bb-a65d-40f5-888e-35cc03aa9ded}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{46ccc346-c598-4e2c-9392-a6f4204e090d}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [TCP Query User{FBACBCA8-3ABC-49AB-84D8-8448AD857CF6}C:\program files (x86)\farming simulator 17\dedicatedserver.exe] => (Allow) C:\program files (x86)\farming simulator 17\dedicatedserver.exe => Нет файла
FirewallRules: [UDP Query User{3B60434D-5880-4F9F-B625-068CB6115155}C:\program files (x86)\farming simulator 17\dedicatedserver.exe] => (Allow) C:\program files (x86)\farming simulator 17\dedicatedserver.exe => Нет файла
FirewallRules: [{FEFF278D-1A5A-4AF9-A0B1-D175ED5BFE1C}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.52.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{31E6C9F7-525F-447B-B967-F2FF60412D2E}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.52.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{E1F1B3BA-D1DE-452D-B2ED-D48842EE6EBE}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.52.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{9B6413B7-8321-4C57-BBB4-C54C9ACF533B}] => (Allow) C:\Program Files\WindowsApps\B9ECED6F.ASUSPCAssistant_4.0.52.0_x64__qmba6cd70vzyy\MyASUS\AsusMyASUS.exe => Нет файла
FirewallRules: [{6FD810B5-A23E-4C3B-86CE-F510999D257C}] => (Allow) C:\Users\Андрей\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{1B5B5250-9CD8-4CCF-BBF2-9F0D341C6AD1}] => (Allow) C:\Users\Андрей\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{AF56F68B-27FD-4F06-B8B5-D5D256A8E9A4}] => (Allow) D:\program files\asus\aacambienthal\aacambientlighting.exe => Нет файла
FirewallRules: [{A8ADD268-9CB5-4758-95E7-ECFB553C23FD}] => (Allow) C:\Users\Kseniya.DEFFLORATOR\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{8C9F92B9-DA2B-48D0-8FA4-EF22F3E60F75}] => (Allow) C:\Users\Kseniya.DEFFLORATOR\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Нет файла
FirewallRules: [{dfab11e8-87df-4ce9-98ee-14a88130d5d6}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{8b65160c-34ea-4ccb-9c37-d0ba57df30e6}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{fe300753-8a7d-42c5-8338-2077c07aba6b}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
FirewallRules: [{88286cf0-381d-4d21-ba86-b189abab9679}] => (Allow) C:\ProgramData\CAAService\CAAServices.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • pro100danya
      Угроза DPC:PowerShell.AVKill.10
      Автор pro100danya
      перестал работать запрет ,скачал фикс с ютуба после перезапуска пк удалился хром,скачал dr web и
      постоянно поврежденны файлы hosts и Chromiumconfig и недавно 200+ раз др веб отклонил DPC:PowerShell.AVKill.10
      я решил закинуть в вирус тотал ехешник и там было куча вирусов.
      пожалуйста помогите мне удалить вирус я не понимаю как его удалить но dr web постоянно детектит все его действия но АВ мне надо выключить для установки различных программ но я боюсь за свой пк
      также не хочу просто чтоб у меня был вирус на пк
    • Romchik45
      вирус закрывает антивирус
      Автор Romchik45
      1. Удалил антивирус 360 security.
      2. Захожу в антивирус винды (чтобы восстановить нужный мне файл) -журнал защиты и хочу восстановить один файл, в итоге там появляется непонятный файл и антивирус сам закрывается.
      3. Провел полное сканирование с помощью dr web cureit и обнаружились угрозы, переместились в карантин.
      После этого всего всеравно антивирус закрывается как на видео.
      Прилагаю еще скриншот с двумя непонятными программами которые установлены на пк.
      у меня виндовс 10 на пк
      https://www.youtube.com/watch?v=j5aPu8TweZI

      CollectionLog-2026.01.14-20.08.zip Архив ZIP - WinRAR.zip
    • KolanK
      Вирус Robotdemo
      Автор KolanK
      На пк сидит майнер Robotdemo. Антивирусы его не находят, только через Advance system care получается его снести на некоторое время. Спустя несколько дней (бывает даже раньше) он появляется снова.  В папке ProgramData он тоже не отображается.


      CollectionLog-2026.01.13-19.23.zip
    • Beshan
      После kms auto появляется самовосстанавливающаяся папка с trojan (czyuzabpfprl и ztbhbqffszlu)
      Автор Beshan
      Добрый день, пытался активировать виндовс через kms auto, после чего начали появляться самовосстанавливающиеся папки с файлом внутри, которые антивирус бесконечно теперь удаляет. Прикрепляю логи с Farbar Recovery Scan Tool. Спасибо
      Addition.zip FRST.zip
    • bl1nchik2287
      [РЕШЕНО] Вирус после kms-auto
      Автор bl1nchik2287
      Вирус в папке ProgramData, создает папку ztbhbqffszlu. После удаления восстанавливается. Началось после активации офис через KMS Auto. Видел похожую тему, потому прилагаю результаты скана frst64. Пожалуйста, помогите.
      FRST.txt Addition.txt
×
×
  • Создать...