2 угрозы не лечатся Cureit и возникают снова (Trojan.BtcMine.3968,HOSTS:SUSPICIOUS.URL)

[Blin]

Доброго времени суток!

Недавно заметил, что пк стал работать довольно  медленно, но при открытии диспетчера задач, работоспособность вроде бы восстанавливается. Сразу пошёл проверять пк на вирусы и обнаружил данные проблемы. После перезагрузки компьютера угрозы возникают снова. Переустановка  операционной системы нежелательна, поэтому ищу иной способ лечения. Буду благодарен за помощь в решении данной проблемы.

log.zip

[thyrex]

Здравствуйте.

Выполните Порядок оформления запроса о помощи.
Новую тему создавать не нужно, логи прикрепите к следующему сообщению в текущей теме.
 

[Blin]

CollectionLog-2026.05.23-00.38.zip

[thyrex]

Загрузитесь в безопасном режиме.

 

Запустите AVZ из папки Autologger от имени Администратора по правой кнопке мыши.

 

Выполните скрипт в AVZ (Файл – Выполнить скрипт – вставить текст скрипта из окна Код)

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\dyqupxqtgmykot.exe','');
 SetServiceStart('CXMOTKMG', 4);
 DeleteService('CXMOTKMG');
 DeleteFile('C:\ProgramData\dyqupxqtgmykot.exe','64');
 DeleteSchedulerTask('NodeUpdate');
 DeleteSchedulerTask('msdriverruntimem');
 DeleteSchedulerTask('fontdrvhostf');
 DeleteSchedulerTask('EdgeUpdate');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

 

Загрузитесь в нормальном режиме. 

 

Выполните скрипт в AVZ

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine ./Quarantine/', 1, 0, true);
end.

Отправьте quarantine.7z из папки с распакованной утилитой AVZ с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи.
 

[Blin]

CollectionLog-2026.05.23-02.34.zip

[thyrex]

Цитата

Client Helper 6.1.6
uTorrentClients 2.8.4

удалите через Панель управления – Программы и компоненты или принудительно с помощью Geek Uninstaller

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan (Дополнительные опции) отмечены List BCD и 90 Days Files.
3. Нажмите кнопку Scan (Сканировать).

• Будьте внимательны: при сканировании секции Другие области программа не зависает, а продолжает работать, нужно просто немного подождать.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Blin]

logs.zip

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
HKLM\...\Run: [AdGuardVpn] => "C:\Program Files\AdGuardVpn\AdGuardVpn.exe" /nosplash (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\...\Run: [spoolsv] => "C:\new1\spoolsv.exe" (Нет файла) <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\...\Run: [msdriverruntime] => "C:\Users\USER\AppData\Local\Temp\main\msdriverruntime.exe" (Нет файла) <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\...\Run: [WarThunderLauncher] => "C:\Users\USER\AppData\Local\WarThunder\launcher.exe" (Нет файла)
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
Task: {60D1A535-8772-4065-AF05-387815EA7F84} - System32\Tasks\Seelen\Seelen UI Service => C:\all\Seelen UI\slu-service.exe  --startup (Нет файла)
Task: {46D155D2-8025-47C8-BC5E-27DF90EB63D2} - System32\Tasks\spoolsvs => "C:\new1\spoolsv.exe"  (Нет файла) <==== ВНИМАНИЕ
Task: {963C9B74-B9E5-4E9A-A83D-8EE0EC80D7BB} - System32\Tasks\UpdateTorrent => "C:\Users\USER\AppData\Roaming\utorrent\client\uTorrentClients.exe"  /T (Нет файла)
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
C:\Users\USER\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\abaieemgaahhabppinbbjfmocklgiceh
C:\Users\USER\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\hpfffdagmfdmihkdehffogmjiccongdg
C:\Users\USER\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\kiogajdicpckpdmdkfgddbgjajkcfldl
C:\Users\USER\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\pjmbmbmcndocabflekiigmfcjgfbfibc
C:\Users\USER\AppData\Local\Google\Chrome\User Data\Default\Extensions\dclcegegehcfappncmaciadmgeekckfm
C:\Users\USER\AppData\Local\Google\Chrome\User Data\Default\Extensions\fengaoalgonocblmdglihanomaphccal
C:\Users\USER\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjdmlcanlbihkbnjdbapdklkedndolia
C:\Users\USER\AppData\Local\Google\Chrome\User Data\Default\Extensions\mggejfjnmbjlnphlcpjpempbmojjekbd
C:\Users\USER\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\bmnpoioldlfcomfehlkbkhhdbaflkmhk
C:\Users\USER\AppData\Roaming\Opera Software\Opera Stable\Extensions\afcbmgfpnlfmompankgncbllhigfomio
C:\Users\USER\AppData\Roaming\Opera Software\Opera Stable\Extensions\cddcecegpjjmheoeeifiajbkipmbdnog
C:\Users\USER\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\mjkcaoeoaamcdigkdnfeillikmopnlkl
S3 BITS_bkp; C:\Windows\System32\qmgr.dll [1481216 2022-12-23] (Microsoft Windows -> Microsoft Corporation)
S2 dosvc_bkp; C:\Windows\system32\dosvc.dll [1527296 2023-08-11] (Microsoft Windows -> Microsoft Corporation)
S2 UsoSvc_bkp; C:\Windows\system32\usosvc.dll [570368 2023-08-11] (Microsoft Windows -> Microsoft Corporation)
S3 WaaSMedicSvc_bkp; C:\Windows\System32\WaaSMedicSvc.dll [427520 2023-07-18] (Microsoft Windows -> Microsoft Corporation)
S2 wuauserv_bkp; C:\Windows\system32\wuaueng.dll [3447296 2023-06-20] (Microsoft Windows -> Microsoft Corporation)
S2 Adguard VPN Service; "C:\Program Files\AdGuardVpn\AdGuardVpnSvc.exe" (Нет файла)
S3 Rockstar Service; "C:\Program Files\Rockstar Games\Launcher\RockstarService.exe" (Нет файла)
S3 ace-game-0; \SystemRoot\System32\drivers\ace-game-0.sys (Нет файла)
S3 cpuz150; \??\C:\Windows\temp\cpuz150\cpuz150_x64.sys (Нет файла) <==== ВНИМАНИЕ
S3 GPUZ-v2; \??\C:\Windows\TEMP\GPUZ-v2.sys (Нет файла) <==== ВНИМАНИЕ
S2 MozillaVPNSplitTunnel; \??\C:\Program Files\Mozilla\Mozilla VPN\mullvad-split-tunnel.sys (Нет файла)
S3 NEProtect; \??\C:\Program Files (x86)\Steam\steamapps\common\Lost Light\Engine\Binaries\Win64\NEProtect.sys (Нет файла)
2024-12-31 21:11 - 2025-02-21 10:53 - 000000344 _____ () C:\Users\USER\node.dat
2025-07-03 20:22 - 2026-03-08 18:22 - 000000925 _____ () C:\Users\USER\setup.dat
2025-10-25 02:38 - 2025-10-30 16:09 - 000000970 _____ () C:\Users\USER\uTorrentClient.dat
2026-03-08 18:24 - 2026-05-01 17:26 - 000000945 _____ () C:\Users\USER\uTorrentClients.dat
C:\Program Files\Google\Libs\WR64.sys
ContextMenuHandlers1: [AIMP] -> {1F77B17B-F531-44DB-ACA4-76ABB5010A28} => C:\Program Files (x86)\AIMP\System\aimp_menu64.dll -> Нет файла
ContextMenuHandlers4: [AIMP] -> {1F77B17B-F531-44DB-ACA4-76ABB5010A28} => C:\Program Files (x86)\AIMP\System\aimp_menu64.dll -> Нет файла
AlternateDataStreams: C:\Windows\System32:tdsrinu.gfc [5882]
AlternateDataStreams: C:\Windows\tracing:? [16]
AlternateDataStreams: C:\Users\Public\desktop.ini:WinDeviceId [64]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [8524]
AlternateDataStreams: C:\Users\USER\Application Data:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\USER\Application Data:d0353b486a0f166ba47ab293d0b1004e [394]
AlternateDataStreams: C:\Users\USER\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\USER\AppData\Roaming:d0353b486a0f166ba47ab293d0b1004e [394]
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\Software\Classes\regfile:  <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\Software\Classes\.reg:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\Software\Classes\.bat:  =>  <==== ВНИМАНИЕ
HKU\S-1-5-21-1870853510-2248711907-1339930866-1001\Software\Classes\.cmd:  =>  <==== ВНИМАНИЕ
StartPowershell:
Remove-MpPreference -ExclusionExtension ".exe"
Remove-MpPreference -ExclusionExtension ".sys"
Remove-MpPreference -ExclusionPath "C:\ProgramData"
Remove-MpPreference -ExclusionPath "C:\Windows\system32\config\systemprofile"
Remove-MpPreference -ExclusionPath "C:\ProgramData\dyqupxqtgmykot.exe"
Remove-MpPreference -ExclusionPath "C:\Windows"
Remove-MpPreference -ExclusionProcess "powershell.exe"
Remove-MpPreference -ExclusionProcess "dyqupxqtgmykot.exe"
Remove-MpPreference -ExclusionProcess "WinRing0x64.sys"
EndPowerShell:
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

Скачайте по ссылке https://download.bleepingcomputer.com/win-services/windows-10-22H2/ reg-файлы для служб BITS, dosvc, UsoSvc, WaaSMedicSvc, wuauserv. Запустите каждый из файлов и подтвердите внесение информации в реестр, после этого перезагрузите компьютер.

[Blin]

Fixlog.txt

[thyrex]

Что сейчас с проблемой?

[Blin]

Вроде бы устранена, большое спасибо за помощь.

 

 

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните архив на Рабочем столе.

• Разархивируйте, запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10/11);
  
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
  
• Дождитесь окончания сканирования, откроется лог в Блокноте с именем SecurityCheck.txt;
  
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
  
• Прикрепите этот файл в своем следующем сообщении.

[Blin]

SecurityCheck.txt

[thyrex]

По возможности исправьте:

 

Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^

Git v.2.45.1 Внимание! Скачать обновления
Microsoft Office Standard 2019 - ru-ru v.16.0.13328.20292 Внимание! Скачать обновления Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice
^Инструкция по обновлению Microsoft Office. (Главная - Учетная запись - Параметры обновления - Обновить).^
LibreOffice 25.8.4.2 v.25.8.4.2 Внимание! Скачать обновления
Node.js v.20.10.0 Внимание! Скачать обновления
NVIDIA App 11.0.6.383 v.11.0.6.383 Внимание! Скачать обновления
Figma v.126.0.4 Внимание! Скачать обновления
LibreOffice 5.1.12 v.5.1.12 Внимание! Скачать обновления
Hard Disk Sentinel v.6.20 Внимание! Скачать обновления
Microsoft Visual C++ 2015-2022 Redistributable (x86) - 14.44.35211 v.14.44.35211.0 Внимание! Скачать обновления
Google Update Helper v.1.3.36.31 Данная программа больше не поддерживается разработчиком.
Microsoft Visual C++ 2015-2022 Redistributable (x64) - 14.44.35211 v.14.44.35211.0 Внимание! Скачать обновления
WinRAR 5.91 (64-разрядная) v.5.91.0 Внимание! Скачать обновления
7-Zip 19.00 (x64 edition) v.19.00.00.0 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
paint.net v.5.0 Внимание! Скачать обновления
Notepad++ (64-bit x64) v.7.9.1 Внимание! Скачать обновления
Microsoft Visual Studio Code (User) v.1.120.0 Внимание! Скачать обновления
AmneziaVPN v.4.8.14.5 Внимание! Скачать обновления
AmneziaWG v.1.0.0 Внимание! Скачать обновления
AdGuardVPN v.2.5.1700.0 Внимание! Скачать обновления
qBittorrent v.5.1.0 Внимание! Скачать обновления
Java 8 Update 431 (64-bit) v.8.0.4310.10 Внимание! Скачать обновления
ASIO4ALL v.2.15 Внимание! Скачать обновления
OBS Studio v.30.0.2 Внимание! Скачать обновления
Google Chrome v.147.0.7727.138 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^

---------------------------- [ UnwantedApps ] -----------------------------
Bonjour v.3.1.0.1 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Кнопка "Яндекс" на панели задач v.3.7.7.0 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Голосовой помощник Алиса v.5.0.0.1903 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

На этом закончим.