[РЕШЕНО] Trojan:PowerShell/Bynoco.RR!ams

[Vladimir752]

Здравствуйте!
Не удаляется троян. Делал проверку через Dr.Web Cureit и он его не видит, + отключилось обновление Windows (выдает "что-то пошло не так. Попытайтесь повторно открыть позже").

CollectionLog-2026.04.11-13.59.zip 

SecurityCheck.txt

Изменено 11 апреля пользователем Vladimir752

[thyrex]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).

• Будьте внимательны: при сканировании секции Другие области программа не зависает, а продолжает работать, нужно просто немного подождать.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Vladimir752]

@thyrex
FRST.zip

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\...\RunOnce: [8e46e11e-28f7-4c03-8915-b1a0f50a6733] => "C:\Users\Vulga\AppData\Local\Temp\{7b329e36-59e7-4441-b5ae-28484f003790}\8e46e11e-28f7-4c03-8915-b1a0f50a6733.cmd" (Нет файла) <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Task: {29264746-D53E-407C-B56F-69C97F13E44C} - System32\Tasks\UpdateTorrent => "C:\Users\Vulga\AppData\Roaming\utorrent\client\uTorrentClients.exe"  /T (Нет файла)
C:\Users\Vulga\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\mbnpaejoaocckfcfmmaajmafgdffbghb
C:\Users\Vulga\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\foohbldpjdelilbdjnbejcenhpepnppb
Edge StartupUrls: Default -> "hxxp://rusearch.co/"
S3 BITS_bkp; C:\WINDOWS\System32\qmgr.dll [1474560 2026-03-03] (Microsoft Windows -> Microsoft Corporation)
U2 dosvc_bkp; C:\WINDOWS\system32\dosvc.dll [98304 2026-03-10] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\WINDOWS\system32\usosvc.dll [106496 2026-03-10] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\WINDOWS\System32\WaaSMedicSvc.dll [94208 2026-03-03] (Microsoft Windows -> Microsoft Corporation)
S3 wuauserv_bkp; C:\WINDOWS\system32\wuaueng.dll [184736 2026-03-10] (Microsoft Windows -> Корпорация Майкрософт)
S3 EAAntiCheat; system32\drivers\eaanticheat.sys [X]
2026-04-08 19:40 - 2026-04-11 13:01 - 000000000 ____D C:\ProgramData\deafrqsiaenk
2026-04-08 19:34 - 2026-04-11 13:01 - 000000000 ____D C:\ProgramData\dmnxhvzbkpku
2025-08-16 23:22 - 2026-03-15 00:21 - 000000925 _____ () C:\Users\Vulga\setup.dat
2026-03-15 00:22 - 2026-04-07 18:35 - 000000925 _____ () C:\Users\Vulga\uTorrentClients.dat
2026-03-15 00:22 - 2026-04-08 20:11 - 000000000 ____D C:\Users\Vulga\AppData\Roaming\uTorrentClients
2026-03-15 00:21 - 2026-03-15 00:21 - 000000000 ____D C:\Users\Vulga\AppData\Local\utorrentclients-updater
2026-03-15 00:22 - 2025-08-16 23:22 - 000000000 ____D C:\Users\Vulga\AppData\Roaming\utorrent
Unlock: C:\WINDOWS\system32\Drivers\27ea07366.sys
C:\WINDOWS\system32\Drivers\27ea07366.sys
U5 27ea07366; C:\Windows\System32\Drivers\27ea07366.sys [247848 0] (Доступ не разрешён)  [Файл не подписан?]
CustomCLSID: HKU\S-1-5-21-1010672353-3657651942-3526750244-1001_Classes\CLSID\{D5C4136A-93E5-4678-A6F8-0B2D9BB10999}\localserver32 -> C:\Windows\System32\RunDll32.exe "E:\Reg Organizer\Notifications.dll",Activate -ToastActivated => Нет файла
CustomCLSID: HKU\S-1-5-21-1010672353-3657651942-3526750244-1001_Classes\CLSID\{DFF20505-B08F-455B-AD70-4FBD055088E0}\localserver32 -> "C:\Program Files\Google\Chrome\Application\PlatformExperienceHelper\platform_experience_helper.exe" -toastactivated => Нет файла
HKU\S-1-5-21-1010672353-3657651942-3526750244-1001\...\StartupApproved\Run: => "utweb"
FirewallRules: [UDP Query User{245A2BA1-1CB0-4648-99B7-E70768812631}E:\doomsday\doomsday_1.54.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.54.0\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{DCC160D8-6C57-4F22-A022-FDFCE65A06AF}E:\doomsday\doomsday_1.54.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.54.0\doomsday.exe => Нет файла
FirewallRules: [UDP Query User{AFC9FEB0-6D55-4100-91B6-0B4D2E76BFF6}D:\steamlibrary\steamapps\common\forzahorizon4\forzahorizon4.exe] => (Allow) D:\steamlibrary\steamapps\common\forzahorizon4\forzahorizon4.exe => Нет файла
FirewallRules: [TCP Query User{2769DC04-4773-4437-BC94-B32A1A8F8D81}D:\steamlibrary\steamapps\common\forzahorizon4\forzahorizon4.exe] => (Allow) D:\steamlibrary\steamapps\common\forzahorizon4\forzahorizon4.exe => Нет файла
FirewallRules: [UDP Query User{2109BAB1-9F2F-45ED-8545-1D4FA3F22B64}E:\doomsday\doomsday_1.53.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.53.0\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{BB08EB72-6C61-49C3-8467-67A8B38B39B4}E:\doomsday\doomsday_1.53.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.53.0\doomsday.exe => Нет файла
FirewallRules: [UDP Query User{A0AC877F-B765-4D80-B2E9-A272BE86F091}E:\doomsday\doomsday_1.52.5\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.52.5\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{62DF834C-DF08-4F67-960A-A28AB23C23E7}E:\doomsday\doomsday_1.52.5\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.52.5\doomsday.exe => Нет файла
FirewallRules: [UDP Query User{9862E1E9-5615-4E2B-8F37-764CD870334B}E:\steam1\steamapps\common\battlefield 6\sp\bf6.exe] => (Allow) E:\steam1\steamapps\common\battlefield 6\sp\bf6.exe => Нет файла
FirewallRules: [TCP Query User{05478723-32BB-4B23-9865-19914A6CA70E}E:\steam1\steamapps\common\battlefield 6\sp\bf6.exe] => (Allow) E:\steam1\steamapps\common\battlefield 6\sp\bf6.exe => Нет файла
FirewallRules: [UDP Query User{9306272D-36F6-48FF-AABC-0A3A07219056}E:\steam1\steamapps\common\battlefield 6\bf6.exe] => (Allow) E:\steam1\steamapps\common\battlefield 6\bf6.exe => Нет файла
FirewallRules: [TCP Query User{C9E3511F-895B-44BF-A8C1-6B17FA75A9F2}E:\steam1\steamapps\common\battlefield 6\bf6.exe] => (Allow) E:\steam1\steamapps\common\battlefield 6\bf6.exe => Нет файла
FirewallRules: [{FA7A6DBF-9FB1-45EF-A5AD-EE9E5AD0844C}] => (Allow) D:\SteamLibrary\steamapps\common\Hades II\Ship\Hades2.exe => Нет файла
FirewallRules: [{86C8B731-9922-466F-95A9-679591753C2D}] => (Allow) D:\SteamLibrary\steamapps\common\Hades II\Ship\Hades2.exe => Нет файла
FirewallRules: [UDP Query User{9398A788-6F71-4A09-9948-EA960B3FBFE9}E:\doomsday\doomsday_1.51.5\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.51.5\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{07B98389-A79F-48BB-AC80-74C6D0A1B86B}E:\doomsday\doomsday_1.51.5\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.51.5\doomsday.exe => Нет файла
FirewallRules: [UDP Query User{E77C54D0-9548-4849-B3EE-8C9135574E08}E:\doomsday\doomsday_1.51.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.51.0\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{A0ACA8FE-2DA5-4A94-A105-DD09ABD23986}E:\doomsday\doomsday_1.51.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.51.0\doomsday.exe => Нет файла
FirewallRules: [{58D960C5-0019-4E77-ADE0-39066C9DFEAA}] => (Allow) C:\Users\Vulga\AppData\Local\Yandex\YandexBrowser\Application\browser.exe => Нет файла
FirewallRules: [UDP Query User{C474F1BC-7361-4CAC-97D7-7890AFD93FC4}E:\doomsday\doomsday_1.50.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.50.0\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{42AB1579-1BF7-4243-A187-E9A3A6312926}E:\doomsday\doomsday_1.50.0\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.50.0\doomsday.exe => Нет файла
FirewallRules: [UDP Query User{349ADA01-4C34-484D-89A0-D542A2FF15D9}E:\steam1\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) E:\steam1\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
FirewallRules: [TCP Query User{B1DB7FB3-79D4-4785-8138-9252D1BFB12C}E:\steam1\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe] => (Allow) E:\steam1\steamapps\common\cyberpunk 2077\bin\x64\cyberpunk2077.exe => Нет файла
FirewallRules: [UDP Query User{B8C1E72D-4890-491C-98DB-35AFEFE35792}E:\doomsday\doomsday_1.49.5\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.49.5\doomsday.exe => Нет файла
FirewallRules: [TCP Query User{D04EE0D3-8911-4821-AC2E-0FB9C7300BA3}E:\doomsday\doomsday_1.49.5\doomsday.exe] => (Allow) E:\doomsday\doomsday_1.49.5\doomsday.exe => Нет файла
FirewallRules: [{5757C08C-DB13-424E-853A-3A6437BBE85F}] => (Allow) E:\Steam1\bin\cef\cef.win7x64\steamwebhelper.exe => Нет файла
FirewallRules: [{6248DDCF-66CB-49B4-ABB4-78A7641F3B22}] => (Allow) E:\Steam1\bin\cef\cef.win7x64\steamwebhelper.exe => Нет файла
FirewallRules: [{A9542F89-B3B4-429E-B770-50FAFBE02B2B}] => (Allow) C:\Users\Vulga\AppData\Roaming\uTorrent Web\utweb.exe => Нет файла
FirewallRules: [{E767DC05-CD11-4428-AEF6-A7EF981A6E7F}] => (Allow) C:\Users\Vulga\AppData\Roaming\uTorrent Web\utweb.exe => Нет файла
StartPowershell:
Remove-MpPreference -ExclusionExtension ".exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData"
Remove-MpPreference -ExclusionPath "C:\Users\Public"
Remove-MpPreference -ExclusionPath "C:\Users\Vulga"
Remove-MpPreference -ExclusionPath "C:\WINDOWS\system32\config\systemprofile"
EndPowerShell:
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

Скачайте по ссылке https://download.bleepingcomputer.com/win-services/windows-11-24H2/ reg-файлы для служб BITS, dosvc, UsoSvc, WaaSMedicSvc, wuauserv. Запустите каждый из файлов и подтвердите внесение информации в реестр, после этого перезагрузите компьютер.

[Vladimir752]

@thyrex выполнено, центр обновления запустился

Изменено 11 апреля пользователем Vladimir752

[thyrex]

27 минут назад, thyrex сказал:

Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

ждем

[Vladimir752]

Fixlog.txt Похоже это оно

Выполнил обновления windows на всякий случай)

Изменено 11 апреля пользователем Vladimir752

[thyrex]

По возможности исправьте:

 

Sandboxie-Plus v1.14.10 v.1.14.10 Внимание! Скачать обновления
CPUID CPU-Z 2.16 v.2.16 Внимание! Скачать обновления
Microsoft Office LTSC профессиональный плюс 2021 - ru-ru v.16.0.14332.20238 Внимание! Скачать обновления
^Инструкция по обновлению Microsoft Office. (Главная - Учетная запись - Параметры обновления - Обновить).^
NVIDIA App 11.0.6.383 v.11.0.6.383 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.44.35211 v.14.44.35211.0 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.44.35211 v.14.44.35211.0 Внимание! Скачать обновления
Microsoft OneDrive v.26.040.0301.0001 Внимание! Скачать обновления
WinRAR 7.01 (32-разрядная) v.7.01.0 Внимание! Скачать обновления
AmneziaVPN v.4.8.12.9 Внимание! Скачать обновления
Google Chrome v.142.0.7444.163 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
Microsoft Edge v.146.0.3856.109 Внимание! Скачать обновления
^Проверьте обновления через меню Справка и отзывы - О программе Microsoft Edge!^

---------------------------- [ UnwantedApps ] -----------------------------
Reg Organizer, версия 9.71 v.9.71 Внимание! Подозрение на демо-версию антивредоносной программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
 

На этом закончим.

[Vladimir752]

Спасибо большое! Вроде бы всё стабильно теперь

 

[thyrex]

Мы были рады Вам помочь! Надеемся, что Вы остались довольны результатом. На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить технологии и технику, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно! Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете быть и Вы! Будем рады видеть Вас в наших рядах! Всегда ваш, клуб "Лаборатории Касперского".