[РЕШЕНО] Схватил Майнер, не даёт запускать антивирусы и сайты

[Chernov]

Здравствуйте, схватил майнер и он не даёт запускать никаких утилит. Что делать!?!?!

В автозагрузке есть подозрительный файл: Father. Его я уже снял с автозагрузки. 

Изменено 13 апреля пользователем Chernov

[thyrex]

Здравствуйте.
Выполните Порядок оформления запроса о помощи.
Новую тему создавать не нужно, логи прикрепите к следующему сообщению в текущей теме.
 

[Chernov]

вот:

CollectionLog-2026.04.13-22.35.zip

 

Отправил вам чуть выше если что. Но скорее всего вы ответите ужа завтра. Доброй ночи)

[thyrex]

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\programdata\windowstask\wildhost.exe');
 TerminateProcessByName('c:\programdata\reaitekhd\taskhostw.exe');
 TerminateProcessByName('c:\programdata\reaitekhd\taskhost.exe');
 TerminateProcessByName('c:\programdata\windowstask\audiodg.exe');
 TerminateProcessByName('c:\programdata\windowstask\apphost.exe');
 DeleteFile('c:\programdata\windowstask\apphost.exe','32');
 DeleteFile('c:\programdata\windowstask\audiodg.exe','32');
 DeleteFile('c:\programdata\reaitekhd\taskhost.exe','32');
 DeleteFile('c:\programdata\reaitekhd\taskhostw.exe','32');
 DeleteFile('c:\programdata\windowstask\wildhost.exe','32');
 DeleteSchedulerTask('ApplicationFrameHost');
 DeleteSchedulerTask('Microsoft\Windows\MasterDataM\RecoveryHosts');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\ExpressCheckUP');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\ManagerService');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\MapInfo');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\OnlogonCheck');
 DeleteSchedulerTask('Microsoft\Windows\WindowsBackup\WinlogonCheck');
 DeleteSchedulerTask('UpdateTorrent');
 DeleteFile('C:\ProgramData\windowstask\amd.exe','32');
 DeleteFile('C:\ProgramData\windowstask\appmodule.exe','32');
 DeleteFile('C:\ProgramData\windowstask\microsofthost.exe','32');
 DeleteFile('C:\Users\User\appdata\roaming\drpsu\alice\cloud.exe','32');
 DeleteFile('C:\ProgramData\microsoft\win.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Скачайте AV block remover.

Распакуйте (только не на Рабочий стол (Desktop) и не в папку Загрузки (Downloads)), запустите и следуйте инструкциям. Если не запускается, переименуйте файл AVbr.exe, например, в AVbr123.exe (или любое другое имя).
Если и так не запускается, запустите его в безопасном режиме с поддержкой сети.

 

В результате работы утилиты появится отчёт AV_block_remove_дата-время.log, прикрепите его к следующему сообщению.
 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Chernov]

AV_block_remove_2026.04.14-01.26.log CollectionLog-2026.04.14-01.40.zip

[thyrex]

Пофиксите в HiJackThis из папки Autologger (запускать HiJackThis от имени Администратора по правой кнопке мыши)

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyServer] = hxxp://127.0.0.1:12334 (disabled)
O27 - Account: (Hidden) User 'John' is invisible on logon screen
O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).

• Будьте внимательны: при сканировании секции Другие области программа не зависает, а продолжает работать, нужно просто немного подождать.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Chernov]

Вот: Мне стоит перезагрузиться? Просто у вас в ссылке на то как фиксить в HiJackThis было написано перезагрузитесь. А вы здесь этого не сказали и я сейчас могу только обновить и перезагрузить, ибо просто перезагрузить не даёт.

Desktop.zip

[thyrex]

Цитата

uTorrentClient 2.8.1 (HKLM\...\ff666c40-5268-5b3e-8142-9834f8ae2f4e) (Version: 2.8.1 - )

uTorrentClients 2.8.1 (HKLM\...\6557dbaa-0395-5d42-8742-d8b326a4a0e6) (Version: 2.8.1 - )
Кнопки сервисов Яндекса на панели задач

удалите через Панель управления – Программы и компоненты или принудительно с помощью Geek Uninstaller

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKU\S-1-5-21-2797316465-686488133-2541220537-1001\...\Run: [Adobe Acrobat Synchronizer] => "C:\Program Files\Adobe\Acrobat DC\Acrobat\AdobeCollabSync.exe" (Нет файла)
HKU\S-1-5-21-2797316465-686488133-2541220537-1001\...\Run: [YandexBrowserAutoLaunch_B64B7D5D07784CD66F00CA43360BB68B] => "C:\Program Files\Yandex\YandexBrowser\Application\browser.exe" --shutdown-if-not-closed-by-system-restart --zombie-wakeup (Нет файла)
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\debugkubernetes.lnk [2026-02-24] <==== ВНИМАНИЕ
ShortcutTarget: debugkubernetes.lnk -> C:\Users\User\Desktop\buhs\Father and Dau\data\.temp\x7EOxKcQn.exe (Нет файла) <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
C:\Users\User\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\igclnjjpiilipecjbnfofphjhmhlbeph
C:\Users\User\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\delijlngmgdpbjhijnndafiadofngcca
2026-04-12 11:48 - 2026-04-12 11:48 - 000000000 ___SH C:\ProgramData\temp.txt
2026-03-24 19:36 - 2026-04-13 19:24 - 000000000 ____D C:\Users\User\AppData\Roaming\uTorrentClients
2026-03-24 19:36 - 2026-04-12 00:44 - 000000945 _____ C:\Users\User\uTorrentClients.dat
2026-03-24 19:36 - 2026-03-24 19:36 - 000002202 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\uTorrentClients.lnk
2026-03-24 19:36 - 2026-03-24 19:36 - 000000000 ____D C:\Users\User\AppData\Local\utorrentclients-updater
2025-11-05 09:16 - 2026-03-24 19:36 - 000000925 _____ () C:\Users\User\setup.dat
2025-11-05 09:17 - 2026-01-21 22:43 - 000000925 _____ () C:\Users\User\uTorrentClient.dat
HKU\S-1-5-21-2797316465-686488133-2541220537-1001\...\StartupApproved\StartupFolder: => "debugkubernetes.lnk"
StartPowershell:
Remove-MpPreference -ExclusionPath "C:\ProgramData"
Remove-MpPreference -ExclusionPath "C:\Users\User"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AMD.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\ReaItekHD\taskhost.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppModule.exe"
Remove-MpPreference -ExclusionPath "C:\Program Files\RDP Wrapper"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\audiodg.exe"
Remove-MpPreference -ExclusionPath "C:\ProgramData\WindowsTask\AppHost.exe"
EndPowerShell:
FirewallRules: [TCP Query User{7CF90EEB-7440-4659-9789-C8787F8BA444}D:\users\user\downloads\sdi_r2408\sdi_x64_r2408.exe] => (Block) D:\users\user\downloads\sdi_r2408\sdi_x64_r2408.exe => Нет файла
FirewallRules: [UDP Query User{DB41B3A5-8CEA-4797-86DF-B4DEC832FEE6}D:\users\user\downloads\sdi_r2408\sdi_x64_r2408.exe] => (Block) D:\users\user\downloads\sdi_r2408\sdi_x64_r2408.exe => Нет файла
FirewallRules: [{668627B7-C177-4AE1-9D6A-2B948F7B639C}] => (Allow) C:\Users\User\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{7FC67753-9D11-4E25-BA5D-C4CE6AAF0550}] => (Allow) C:\Users\User\AppData\Roaming\DRPSu\Alice\cloud.exe => Нет файла
FirewallRules: [{1EB32FBE-8CF7-4C37-B647-3C4A7A35DE2A}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{14CF89D9-4375-41C0-87A0-3E0DB03E9919}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{24D057E8-0192-4B5A-9C03-668738727EBE}] => (Allow) C:\Program Files (x86)\Steam\Steam.exe => Нет файла
FirewallRules: [{88322915-468E-42AB-92C4-011A1B77444F}] => (Allow) C:\Program Files (x86)\Steam\Steam.exe => Нет файла
FirewallRules: [{51228195-F554-4612-93E4-638320DD4296}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => Нет файла
FirewallRules: [{DDD5E743-1F33-452E-9E25-7F7CFCFB2747}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win7x64\steamwebhelper.exe => Нет файла
FirewallRules: [{550F38C5-B5E6-453F-B432-2F6E7FF095AA}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Hollow Knight\hollow_knight.exe => Нет файла
FirewallRules: [{098DDCA8-B71F-409F-8BB9-3F93B6EFD1BB}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Hollow Knight\hollow_knight.exe => Нет файла
FirewallRules: [{7D8BCF91-E750-4898-A762-E7758A3E8A14}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Potion Craft\Potion Craft.exe => Нет файла
FirewallRules: [{1BE847A5-5318-4037-B220-604F833B7BD1}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Potion Craft\Potion Craft.exe => Нет файла
FirewallRules: [{955D51E9-3746-4A41-990D-A605ACCCFE91}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{D88CE999-6CF5-4AD4-AD69-0BF9D930669E}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{69803CF4-A30C-4F3A-A943-1779A08328F0}] => (Allow) C:\Users\User\AppData\Local\Roblox\Versions\version-fdda949d95e447e3\RobloxPlayerBeta.exe => Нет файла
FirewallRules: [{E7863274-0C9F-493B-9605-9EF10E115BF2}] => (Allow) C:\Users\User\AppData\Local\Roblox\Versions\version-fdda949d95e447e3\RobloxPlayerBeta.exe => Нет файла
FirewallRules: [{DD9F4FE9-F72C-4DFB-81B9-550AC02BAAFB}] => (Allow) C:\Users\User\AppData\Local\Roblox\Versions\version-fdda949d95e447e3\RobloxPlayerBeta.exe => Нет файла
FirewallRules: [{85801CC9-546A-4815-AC59-882F9701419B}] => (Allow) C:\Users\User\AppData\Local\Roblox\Versions\version-fdda949d95e447e3\RobloxPlayerBeta.exe => Нет файла
FirewallRules: [{1194C334-EABB-4DC5-B8E8-8887122B6232}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\One-armed robber\OAR.exe => Нет файла
FirewallRules: [{FDB84233-7BFC-453A-9E13-6572C3966C10}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\One-armed robber\OAR.exe => Нет файла
FirewallRules: [{E7BACCCE-5CCE-4B39-826F-51C958733821}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Counter-Strike Global Offensive\game\bin\win64\cs2.exe => Нет файла
FirewallRules: [{E880294D-7EF8-4429-9B49-9BEB24AC2031}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Counter-Strike Global Offensive\game\bin\win64\cs2.exe => Нет файла
FirewallRules: [{5ACEF143-732A-4A30-B57D-BC4F2A14C60B}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\OBS Studio\bin\64bit\obs64.exe => Нет файла
FirewallRules: [{ED7F27A6-AEDF-4507-9F81-CD694BCC04D7}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\OBS Studio\bin\64bit\obs64.exe => Нет файла
FirewallRules: [{82E7674F-2B44-4E6B-9CC9-79E3A8B0DC09}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Z Runaway\Windows\Z Runaway.exe => Нет файла
FirewallRules: [{30F689C8-75F0-4E00-BB58-D44451A4F2D9}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Z Runaway\Windows\Z Runaway.exe => Нет файла
FirewallRules: [{DEB6AEA6-DC44-4309-9EF9-C766216E5F9E}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win64\steamwebhelper.exe => Нет файла
FirewallRules: [{FCC5916D-42EB-4E9C-B09D-78B1E593FB5B}] => (Allow) C:\Program Files (x86)\Steam\bin\cef\cef.win64\steamwebhelper.exe => Нет файла
FirewallRules: [{9C4A1766-C7AF-4F8B-B827-9117CE3A061B}] => (Allow) D:\SteamLibrary\steamapps\common\Poppy Playtime\PlaytimeLauncher\PlaytimeLauncher.exe => Нет файла
FirewallRules: [{A09D9984-2981-489C-8974-D866F3FD29BA}] => (Allow) D:\SteamLibrary\steamapps\common\Poppy Playtime\PlaytimeLauncher\PlaytimeLauncher.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

[Chernov]

Fixlog.txt

[thyrex]

Что с проблемой?

[Chernov]

Вроде больше проц не грузит и вкладки не закрывает

 

Резервное копирование надо делать? Или может есть утилита которая хорошо защитит от подобных майнеров? Или просто использовать антивирусники?

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
  
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  
• Прикрепите этот файл в своем следующем сообщении.

[Chernov]

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^

 

Git v.2.51.2 Внимание! Скачать обновления
Microsoft Office профессиональный плюс 2013 - ru-ru v.15.0.5603.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
NVIDIA App 11.0.6.383 v.11.0.6.383 Внимание! Скачать обновления
Яндекс.Диск v.3.2.45.5100 Внимание! Скачать обновления
WinRAR 7.12 (64-разрядная) v.7.12.0 Внимание! Скачать обновления
Zoom Workplace v.6.7.8 (32670) Внимание! Скачать обновления
AmneziaVPN v.4.8.10.0 Внимание! Скачать обновления
AnyDesk v.ad 9.0.10 Внимание! Скачать обновления Внимание! Программа удаленного доступа!
Java 8 Update 401 (64-bit) v.8.0.4010.10 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u481-windows-x64.exe - Windows Offline (64-bit))^
Yandex v.25.12.2.1338 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

---------------------------- [ UnwantedApps ] -----------------------------
SearcherBar v.0.3 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция]. 
Элементы Яндекса 8.9 для Internet Explorer v.8.9.1.5100 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

На этом закончим.

[Chernov]

Сделал, спасибо вам большое!)