KVRT не может удалить троян.

[Lina_ko]

Добрый день, о великие. Прошу вас о помощи. Когда устанавливала пиратскую игру получила что-то наподобие недоделанного винлокера, который после перезапуска компа пропал. Проверила комп KVRT и он нашёл троян. После лечения с перезапуском он нашёл два трояна. После перезапуска с лечением снова, он снова нашёл два трояна. Так-же, при действии по инструкции я пошла отключать встроенный защитник windows и обнаружила что панели нет. Скрин и логи прилагаю. Помогите, кто чем может.

CollectionLog-2026.01.18-10.05.zip report1.log report2.log

[Sandor]

Здравствуйте!

 

Деинсталлируйте через Параметры - Приложения:

Цитата

 

MediaGet

uTorrentClient 2.8.1

 

Что не получится удалить стандартно, удаляйте принудительно с помощью Geek Uninstaller

 

Упакуйте в архив папку

Цитата

C:\KVRT2020_Data\Reports

и прикрепите к следующему сообщению.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[Lina_ko]

Логи прилагаю.

FRST.txt Addition.txt Reports.rar

[thyrex]

C:\ProgramData\installer.exe проверьте на virustotal.com и пришлите ссылку на результат анализа.

[Lina_ko]

https://www.virustotal.com/gui/file/cdb8f3161bfa006eb54c6b2bf9645b8d27dda8f4b008c537ca0dd9e568460469
Я в процессе случайно открыла этот файл... Визуально ничего не изменилось.

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center: Ограничение <==== ВНИМАНИЕ
  HKLM\Software\Policies\...\system: [EnableSmartScreen] 0 <==== ВНИМАНИЕ
  HKU\S-1-5-19\...\RunOnce: [GlobalUserDisabled] => REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications" /v "GlobalUserDisabled" /t REG_DWORD /d 1 /f (Нет файла) <==== ВНИМАНИЕ
  HKU\S-1-5-19\...\RunOnce: [HttpAcceptLanguageOptOut] => REG ADD "HKCU\Control Panel\International\User Profile" /v "HttpAcceptLanguageOptOut" /t REG_DWORD /d 1 /f (Нет файла) <==== ВНИМАНИЕ
  HKU\S-1-5-19\...\RunOnce: [ShellFeedsTaskbarViewMode] => REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Feeds" /v "ShellFeedsTaskbarViewMode" /t REG_DWORD /f /d 2 (Нет файла) <==== ВНИМАНИЕ
  HKU\S-1-5-20\...\RunOnce: [GlobalUserDisabled] => REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications" /v "GlobalUserDisabled" /t REG_DWORD /d 1 /f (Нет файла) <==== ВНИМАНИЕ
  HKU\S-1-5-20\...\RunOnce: [HttpAcceptLanguageOptOut] => REG ADD "HKCU\Control Panel\International\User Profile" /v "HttpAcceptLanguageOptOut" /t REG_DWORD /d 1 /f (Нет файла) <==== ВНИМАНИЕ
  HKU\S-1-5-20\...\RunOnce: [ShellFeedsTaskbarViewMode] => REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Feeds" /v "ShellFeedsTaskbarViewMode" /t REG_DWORD /f /d 2 (Нет файла) <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  Task: {40F8EE3E-E112-49DC-9774-F0F56D6048CD} - System32\Tasks\MagicMic => "C:\Program Files (x86)\iMyFone MagicMic\MagicMic.exe"  (Нет файла)
  Task: {64421C0C-A05E-4588-AD1C-8B239DB25EEF} - System32\Tasks\UpdateTorrent => "C:\Users\Linko\AppData\Roaming\utorrent\pro\uTorrentClient.exe"  /T (Нет файла)
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-19\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-20\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  HKU\S-1-5-21-2340380802-1378199489-3870311936-1002\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
  C:\Users\Linko\AppData\Local\Google\Chrome\User Data\Profile 5\Extensions\cahaoadgfefkokjgbdenonpamclfgglh
  2026-01-16 06:15 - 2026-01-16 06:15 - 000003432 _____ C:\Windows\system32\Tasks\UpdateTorrent
  2026-01-16 06:15 - 2026-01-16 06:15 - 000002175 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\uTorrentClient.lnk
  2026-01-16 06:15 - 2026-01-16 06:15 - 000000970 _____ C:\Users\Linko\uTorrentClient.dat
  2026-01-16 06:15 - 2026-01-16 06:15 - 000000000 ____D C:\Users\Linko\AppData\Local\utorrentclient-updater
  2026-01-16 06:14 - 2026-01-16 06:14 - 000000970 _____ C:\Users\Linko\setup.dat
  2026-01-16 06:13 - 2026-01-16 06:19 - 000000000 ____D C:\Users\Linko\AppData\Roaming\setup
  2026-01-16 06:17 - 2026-01-16 06:18 - 027587142 _____ () C:\ProgramData\installer.exe
  2026-01-16 06:14 - 2026-01-16 06:14 - 000000970 _____ () C:\Users\Linko\setup.dat
  2026-01-16 06:15 - 2026-01-16 06:15 - 000000970 _____ () C:\Users\Linko\uTorrentClient.dat
  AlternateDataStreams: C:\Windows\tracing:? [16]
  FirewallRules: [{D2E5B5E8-B4FB-4DE0-B8DA-05B2AAD6C426}] => (Allow) C:\Users\Linko\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{B14B398A-A5B2-44B6-A25A-C97FAB1593E8}] => (Allow) C:\Users\Linko\MediaGet2\mediaget.exe => Нет файла
  FirewallRules: [{777237AA-9666-4139-AF2B-1374999EE7FA}] => (Allow) C:\Users\Linko\MediaGet2\QtWebEngineProcess.exe => Нет файла
  FirewallRules: [{E3E2B83C-5935-4E1E-A740-90875B9C05FD}] => (Allow) C:\Users\Linko\MediaGet2\QtWebEngineProcess.exe => Нет файла
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Lina_ko]

Скрипт выполнила, логи прилагаю, также заметила, что расширения которые я удаляла недавно снова появились. 

Fixlog.txt